Depuis 2010, le gouvernement des États-Unis exige que tous les systèmes d’information fédéraux se conforment au cadre de gestion des risques (RMF) « », un ensemble de normes de sécurité destinées à la conception, à la sécurisation et à la surveillance des systèmes informatiques.
Désormais gérées par l'Institut national des normes et des technologies (NIST) , au sein de l', les normes RMF proposent des bonnes pratiques détaillées visant à améliorer la sécurité informatique face à des menaces telles que les fuites de données et les attaques par ransomware.
Dans cet article de blog, je vous présenterai une vue d'ensemble du cadre RMF du NIST et vous expliquerai comment Tanium Risk et d'autres produits Tanium peuvent aider les administrations à se conformer à ces normes essentielles.
[À lire également : Qu'est-ce que la gestion des risques ? [Aperçu simplifié]
Cadres de sécurité du NIST pour la gestion des risques
Commençons par définir ce que nous cherchons à gérer.
Selon le NIST (), le risque est « une mesure du degré auquel une entité est menacée par une situation ou un événement potentiel ; il dépend généralement : (i) de l’impact négatif, ou de l’ampleur du préjudice, qui résulterait si cette situation ou cet événement venait à se produire ; et (ii) de la probabilité de survenue ». Pour appréhender les risques informatiques, une organisation doit donc prendre conscience de la valeur de ses ressources informatiques et des préjudices que pourrait entraîner leur perturbation ou leur endommagement.
Une organisation doit également évaluer la probabilité de chaque menace potentielle, afin de pouvoir hiérarchiser ses investissements et ses mesures de réponse de manière à réduire les risques de façon appropriée. Après tout, vous ne souhaitez pas consacrer des ressources à la prévention d’un risque dont la probabilité est de 0,01 %, tout en négligeant des risques dont la probabilité est de 10 %.
La norme principale du NIST servant à établir le cadre de sécurité et de gestion des risques du gouvernement fédéral est la norme « » (NIST SP 800-37 , rév. 2). Cette norme définit « un processus rigoureux, structuré et flexible de gestion des risques liés à la sécurité et à la protection de la vie privée, qui comprend la classification des informations en matière de sécurité ; la sélection, la mise en œuvre et l'évaluation des contrôles ; les autorisations relatives aux systèmes et aux contrôles communs ; ainsi que la surveillance continue ».
La précision et la rapidité sont essentielles dans ces évaluations. La norme NIST 800-37 exige des services informatiques qu'ils mettent en place une surveillance en temps réel ou quasi-temps réel, allant au-delà des rapports d'état quotidiens ou hebdomadaires sur lesquels les équipes de sécurité pouvaient s'appuyer par le passé pour l' de la sécurité des terminaux . Contrairement à une approche reposant sur des instantanés périodiques de l’état des infrastructures critiques, le RMF « favorise une gestion des risques en temps quasi réel ainsi qu’une autorisation continue des systèmes d’information et des contrôles communs grâce à la mise en œuvre de processus de surveillance continue… [et] fournit aux hauts responsables et aux dirigeants les informations nécessaires pour prendre des décisions efficaces et rentables en matière de gestion des risques concernant les systèmes qui soutiennent leurs missions et leurs fonctions opérationnelles. »
Réalisation d'évaluations des risques selon la norme NIST SP 800-30
Selon la norme NIST SP 800-39, les processus de gestion des risques comprennent : (i) la définition des risques ; (ii) l'
l'évaluation des risques ; (iii) la réponse aux risques ; et (iv) le suivi des risques.
Le document NIST SP 800-30 : « Guide pour la réalisation d'évaluations des risques dans le cadre du processus de gestion des risques de l' » () fournit des précisions sur la mise en œuvre du deuxième processus de cette liste, à savoir l'évaluation des risques. NIST SP 800-30 : un processus permettant de définir le champ d'application, l'objectif et d'autres éléments de l'évaluation. Il décrit ensuite comment mener l'évaluation proprement dite, qui se déroule selon les étapes suivantes :
- Identifier les sources de menaces et les incidents
- Identifier les vulnérabilités et les facteurs prédisposants
- Déterminez la probabilité de survenue
- Déterminer l'ampleur de l'impact
- Évaluation des risques
Cette évaluation ne marque pas la fin du travail. Les résultats de l'évaluation doivent être communiqués aux parties prenantes, et l'évaluation doit faire l'objet d'un suivi afin de « maintenir à jour les connaissances spécifiques relatives aux risques auxquels les organisations sont exposées ».
L'organisation dispose-t-elle des mécanismes de reporting nécessaires pour partager les évaluations des risques avec les parties prenantes des secteurs métier et informatique ? Existe-t-il une méthode systématique pour assurer la mise à jour de cette évaluation, garantissant, par exemple, qu'une évaluation réalisée il y a une semaine soit toujours d'actualité aujourd'hui ? Voici les questions que les responsables informatiques et de la sécurité pourraient se poser après avoir pris connaissance du document NIST SP 800-30.
Gestion des risques liés à la sécurité de l'information à l'aide de la norme NIST SP 800-39
Une autre norme, la NIST SP 800-39, intitulée « : Gestion des risques liés à la sécurité de l’information » (), fournit des recommandations concernant « un programme intégré, à l’échelle de l’organisation, destiné à gérer les risques liés à la sécurité de l’information pesant sur les activités de l’organisation (à savoir sa mission, ses fonctions, son image et sa réputation), ses actifs, les personnes, d’autres organisations et la Nation, et résultant de l’exploitation et de l’utilisation des systèmes d’information fédéraux ».
La norme propose une approche à trois niveaux de la gestion des risques : « (i) au niveau de l'organisation ; (ii) au niveau de la mission ou des processus métier ; et (iii) au niveau des systèmes d'information. » Une gestion efficace des risques, en d'autres termes, doit s'inscrire dans une perspective globale, englobant la mission et les stratégies de l'organisation, ses processus métier ainsi que l'ensemble de ses systèmes informatiques.
La norme NIST 800-39 préconise que les pratiques de gestion des risques de l'organisation comprennent :
- Mettre en place une architecture informatique en lien avec les buts et objectifs stratégiques des organisations, les missions et fonctions métier définies, ainsi que les processus opérationnels associés à ces missions et fonctions.
- Mise en place d'une architecture de sécurité de l'information qui répond aux exigences en matière de sécurité de l'information au niveau architectural.
- Traduire les exigences en matière de sécurité de l'information issues de l'architecture par « segment » ou par « domaine de mission » en contrôles de sécurité spécifiques pour les systèmes d'information et les environnements d'exploitation, dans le cadre de l'architecture de la solution.
- Mettre en place des contrôles de sécurité de nature managériale, opérationnelle et technique au sein des systèmes d'information et des environnements d'exploitation, conformément à l'architecture de sécurité de l'information.
La première étape consiste à identifier les risques potentiels en fonction de la mission de l'organisation et de ses systèmes informatiques. Commencez par identifier le rôle que jouent les différents systèmes et ressources dans la mise en œuvre de la stratégie et de la mission de l'entreprise. Procédez ensuite à une réflexion collective afin d'identifier tous les risques importants pesant sur chacun de ces systèmes et ressources.
Par exemple, si la mission de l'organisation repose sur un serveur web, prenez en compte toutes les menaces, qu'elles soient malveillantes ou non, susceptibles d'interrompre le fonctionnement de ce serveur ou de l'endommager. Votre liste pourrait inclure les attaques DDoS, les coupures de courant, les problèmes de configuration, les pics d'utilisation, etc.
Viennent ensuite la mesure et l'évaluation des risques, fondées sur la compréhension de la manière dont certains systèmes informatiques contribuent à la mission globale de l'organisation, ainsi que sur la probabilité que des risques spécifiques affectent ces systèmes.
Une fois les risques identifiés et classés par ordre de probabilité, l'organisation doit prendre des mesures pour les atténuer. Par exemple, si la présence de serveurs non mis à jour est identifiée comme un risque, l'entreprise pourrait mettre en place un système de gestion des correctifs afin d'atténuer ce risque.
Les résultats de ces trois étapes précédentes doivent être communiqués aux parties prenantes et faire l'objet d'un suivi afin de déterminer si la situation en matière de risques a évolué. Ce processus s'achève par la gouvernance. Au cours de cette étape, les responsables informatiques et les dirigeants d'entreprise décident où et comment investir afin de réduire les risques et d'optimiser la gestion globale des risques.
Comment Tanium contribue à soutenir le cadre de gestion des risques
La plateforme Tanium d' , accessible à l'adresse , offre aux équipes chargées de la sécurité et des opérations informatiques une vue unique, complète et en temps réel des données critiques relatives aux terminaux, afin que les entreprises puissent prendre des décisions éclairées et agir rapidement pour minimiser les perturbations et réduire les risques. Les modules Tanium — qui constituent les composants de la plateforme Tanium — répondent aux exigences clés du RMF.
Modules Tanium pour l'identification des risques
Trois modules Tanium fournissent les informations en temps réel sur les terminaux dont les entreprises ont besoin pour comprendre de quels systèmes informatiques elles disposent — qu’ils soient sur site, dans des sites distants ou dans le cloud — et comment ces systèmes fonctionnent ensemble pour soutenir leurs opérations et leurs processus.
- Découvrez – Réalisez un inventaire complet de l'environnement sur l'ensemble des terminaux en quelques minutes. Analysez les réseaux comptant des centaines de milliers de terminaux afin d'identifier les ressources non gérées, ce qui permettra aux administrateurs de les bloquer ou de les intégrer à leur système de gestion.
- des actifs – Créez et gérez rapidement un inventaire précis de vos actifs informatiques afin de prendre de meilleures décisions en matière de gestion des risques et de réussite opérationnelle.
Modules Tanium pour la mesure et l'évaluation des risques
Une fois que vous avez identifié les menaces, les vulnérabilités, l'impact, la probabilité et les facteurs prédisposants, vous pouvez calculer et hiérarchiser les risques auxquels votre organisation doit faire face à l'aide des modules Tanium suivants :
- Conformité – Identifiez les vulnérabilités et les lacunes en matière de conformité sur l'ensemble de vos terminaux en quelques minutes, au lieu de plusieurs jours ou semaines.
- Reveal – Identifiez rapidement les modifications apportées aux champs de données sensibles et intervenez directement sur le terminal.
- Impact – Identifiez rapidement les comptes et les systèmes à haut risque afin de réduire votre surface d'attaque.
- Integrity Monitor – Surveille en permanence les fichiers critiques de bas niveau du système d'exploitation, des applications et du registre, et intensifie les investigations lorsque des alertes sont déclenchées.
- des risques – Bénéficiez des données en temps réel, de l'automatisation et des informations nécessaires pour prendre plus rapidement des décisions éclairées grâce à une évaluation complète des risques liés aux terminaux. Utilisez ces données pour hiérarchiser les actions grâce à une évaluation intelligente des risques, fondée sur des indicateurs opérationnels et de sécurité.
Modules Tanium destinés à la réduction des risques
Ensuite, prenez votre liste de risques classés par ordre d'importance et commencez à déterminer comment atténuer ces menaces, en commençant par les plus graves. Vous et votre équipe pourriez décider que les risques inférieurs à un certain seuil ne méritent pas d'être pris en compte, soit parce que leur probabilité de survenue est trop faible, soit parce que vous avez identifié des risques bien plus urgents sur lesquels vous concentrer au cours du premier mandat. Ce n'est pas grave. La gestion des risques est un processus continu. Si un risque est réellement important, vous aurez l'occasion de le traiter lorsque vous réitérerez votre processus d'analyse des risques. Et si la probabilité de ce risque venait à augmenter soudainement, vous serez prêt grâce au logiciel de gestion des risques Tanium de , qui vous fournira des informations en temps réel sur les risques et vous permettra de mettre en place des contrôles en temps réel pour contenir et atténuer les menaces.
Les modules Tanium suivants peuvent vous aider à atténuer les risques.
- Déployez – Installez, mettez à jour et désinstallez des logiciels en fonction d'un ensemble flexible de groupes d'ordinateurs cibles ou d'une machine individuelle.
- Patch – Planifiez l'installation des correctifs du système d'exploitation afin de corriger en quelques secondes les correctifs manquants sur l'ensemble des terminaux.
- Appliquer les politiques – Centralisez et appliquez la gestion des politiques sur l'ensemble des systèmes d'exploitation et des emplacements des appareils.
- Threat Response – Recherche proactive des attaquants à l'aide d'heuristiques arbitraires.
Modules Tanium dédiés au reporting et au suivi des risques
Le RMF exige que les organisations tiennent à jour une liste des risques connus et assurent le suivi de ces risques afin de garantir le respect de toutes les politiques applicables.
- Tendances – Obtenez des informations sur les indicateurs clés de sécurité et l'état de santé opérationnel en créant des visualisations qui présentent les données actuelles et historiques provenant des terminaux.
- des risques – Élaborer des rapports afin de présenter les principales tendances, les améliorations et les références du secteur à l'intention de la direction et du conseil d'administration. En utilisant Risk pour surveiller en permanence vos terminaux, vous pouvez améliorer votre conformité et votre gestion des risques.
- Connectez-vous à – Intégrez facilement Tanium à des solutions tierces et au tableau de bord CDM fédéral américain.
Laissez Tanium vous aider à vous conformer à la norme RMF
Tanium a aidé les agences fédérales et d'autres organisations à adopter une approche proactive et efficace en matière de risques et de conformité. Grâce à la combinaison de son modèle de données extensible, de son protocole de communication distribué et de son agent léger, la plateforme Tanium permet à ses clients de gagner du temps et de réduire les coûts liés à la gestion des risques.
La plateforme Tanium :
- Elle offre et assure une visibilité complète non seulement sur les failles de sécurité et les écarts de conformité, mais aussi sur le risque global pesant sur l'ensemble de leurs terminaux, et ce en quelques minutes seulement, au lieu de plusieurs jours ou semaines.
- Elle offre une source unique, précise et complète de référence qui favorise le consensus en matière de hiérarchisation des priorités et de mise en œuvre des mesures correctives au sein des équipes chargées des opérations informatiques, de la sécurité et de la gestion des risques.
- Permettre aux équipes de résoudre rapidement les problèmes dans l'ensemble de leurs environnements sans avoir à changer d'outil.
- Cela évite aux entreprises les frais et les tracas liés à l'achat d'un nouvel outil et à la mise en place de l'infrastructure qui va avec.
Pour en savoir plus sur l’évaluation des risques liés aux terminaux dans le secteur public par , consultez notre dernier livre électronique. Si vous souhaitez découvrir comment Tanium peut aider votre organisation à se mettre en conformité avec le RMF, n'hésitez pas à nous contacter.
