Les organisations qui traitent des informations non classifiées mais soumises à un contrôle (CUI) et des informations sensibles soumises à un contrôle (CSI) – notamment de nombreux établissements de recherche de l'enseignement supérieur – sont confrontées à des menaces constantes de la part d'acteurs malveillants. Par exemple, en 2018, le Bureau des enquêtes criminelles du ministère de la Justice ( ) a inculpé neuf pirates informatiques iraniens pour avoir dérobé plus de 31 téraoctets d'informations à plus de 300 établissements d'enseignement supérieur. Selon ces rapports, la valeur totale de la propriété intellectuelle volée s'élevait à plus de 3 milliards de dollars.
Le ministère de la Défense impose à ces établissements, notamment les centres de recherche affiliés aux universités (UARC) de l’ et les centres de recherche et de développement financés par le gouvernement fédéral (FFRDC) , qui reçoivent des subventions gouvernementales pour mener des recherches (et traiter des informations classifiées « CUI » et « CSI »), de se conformer prochainement à la certification CMMC (Cybersecurity Maturity Model Certification) du ministère de la Défense, au même titre que l’ensemble des prestataires fédéraux. Les nouvelles directives devraient entrer en vigueur à l'automne 2020.
Un organisme tiers qualifié et agréé, dénommé « organisme d'évaluation tiers contrôlé » (C3PAO), procédera à l'audit de chaque prestataire ou établissement de recherche, afin de vérifier la conformité à une série d'exigences et de bonnes pratiques en matière de cybersécurité, et d'attribuer un niveau de maturité en cybersécurité à l'organisme concerné.
Comment le CMMC évalue la maturité cybernétique
Le modèle CMMC de l' , disponible à l'adresse , évalue la cybersécurité selon cinq niveaux. Chaque niveau comprend un ensemble de processus et de pratiques, allant de « mis en œuvre » au niveau 1 à « optimisé » au niveau 5. Chaque organisme devra non seulement démontrer que cette pratique est institutionnalisée, mais également que toutes les pratiques requises pour un niveau donné et pour tous les niveaux précédents sont mises en œuvre de manière continue.
Le processus d'audit prend en compte un certain nombre d'autres facteurs, notamment le type et la sensibilité des informations traitées, les menaces et la complexité de la mise en œuvre.
Malgré le nom de ce modèle, il ne s'agit pas d'un simple exercice de conformité consistant à cocher des cases. Ce processus permet de mieux adapter les pratiques en matière de cybersécurité au type et au niveau de sensibilité des informations, ainsi qu'aux menaces associées.
Le défi du CMMC pour l'enseignement supérieur
Historiquement, de nombreux FFDRC et UARC ne faisaient l'objet d'aucun contrôle centralisé et étaient chargés de mettre en œuvre, de surveiller et de certifier la sécurité de leurs propres systèmes informatiques, ainsi que celle des informations classifiées (CUI/CSI) du ministère de la Défense stockées au sein de ces systèmes.
Aujourd'hui, pour se conformer aux directives du CMMC, bon nombre de ces établissements devront faire appel à leurs équipes informatiques centrales ou à des sociétés tierces afin de mettre en place l'infrastructure informatique nécessaire pour respecter les normes du CMMC et protéger les informations sensibles contre les acteurs malveillants.
Beaucoup ne disposent pas de l' nécessaire aux processus élémentaires de cyberhygiène, et la plupart n'ont pas la visibilité requise sur l'ensemble de leur réseau – comme nous le savons, on ne peut pas contrôler ce qu'on ne voit pas. L'équipe a besoin d'une visibilité complète et continue sur l'ensemble des ressources du réseau (un objectif de plus en plus complexe dans le contexte de l'Internet des objets (IoT) et du « Bring-Your-Own-Device » (BYOD)).
Malheureusement, ce sont les établissements d'enseignement supérieur qui, malgré leurs meilleures intentions, ont dressé le dernier obstacle. En s'efforçant de remédier aux failles de cybersécurité individuelles, la plupart d'entre elles ont mis en place un ensemble hétéroclite et complexe de solutions ponctuelles qui ne s'intègrent pas entre elles, sont difficiles à gérer et à maintenir à jour, et ne permettent pas à l'équipe de direction informatique d'avoir une vue d'ensemble des menaces. La complexité équivaut au risque plus le coût. Si les institutions continuent à mettre en œuvre des solutions ponctuelles nouvelles ou différentes pour résoudre des problèmes ponctuels, elles ne feront qu'accroître la complexité, les coûts et les risques. De plus, elles ne bénéficieront pas de la visibilité nécessaire pour gérer les risques et satisfaire aux exigences du CMMC.
Comment Tanium facilite la mise en conformité avec la norme CMMC
Les établissements d'enseignement supérieur doivent être en mesure de suivre et de rendre compte de l'état de la sécurité du réseau en temps quasi réel, conformément aux exigences du CMMC. Tanium permet non seulement d'identifier les risques et les vulnérabilités, mais aussi de les regrouper et de les hiérarchiser à l'échelle de l'environnement, puis de prendre des mesures pour y répondre et y remédier en temps quasi réel.
Tanium effectue des requêtes quasi instantanées sur l'environnement, portant simultanément sur des millions de terminaux, et génère des tableaux de bord de reporting en temps quasi réel. Cela vous apporte rapidité et visibilité, ce qui vous permet de résoudre les problèmes, d'apporter des modifications rapidement et de réduire les risques. Tanium permet également d'assurer un suivi continu de la conformité par rapport aux critères de référence établis, ce qui contribue également à réduire les risques.
La conformité à la norme CMMC est l'une des nombreuses préoccupations qui empêchent les responsables de la sécurité des systèmes d'information (RSSI) de dormir la nuit. Dans le cas des universités de recherche, le non-respect des exigences du CMMC pourrait compromettre l'octroi de subventions par le ministère de la Défense. Grâce aux solutions de gestion des terminaux « » de Tanium, les RSSI ont toutefois un souci de moins. Ces solutions contribuent à réduire la complexité, à améliorer l'efficacité et à combler le fossé entre les équipes opérationnelles et les équipes de sécurité ; elles offrent en outre aux responsables de la sécurité des systèmes d'information (RSSI) une plateforme unique leur permettant de mieux appréhender leur environnement et de se préparer aux futurs audits CMMC.
Tanium n'est pas un organisme d'évaluation de niveau « C3PAO », mais nous fournissons à nos clients des informations très précises sur les mesures de cybersécurité nécessaires à la conformité CMMC. Voici quelques exemples de domaines d'évaluation :
Identification des actifs et rapports
Tanium offre des fonctionnalités performantes de recensement des actifs et de création de rapports. Avec l'essor de l'IoT et du BYOD, il existe un risque de voir apparaître (de nombreux) appareils inconnus sur le réseau. Lorsque nous utilisons nos outils de découverte et d'inventaire dans l'environnement d'une organisation, nous identifions souvent entre 12 et 20 % d'appareils inconnus supplémentaires.
Surveillance complète des menaces
La solution unifiée de gestion et de sécurité des terminaux de Tanium offre une surveillance complète des menaces ainsi qu’une analyse détaillée des incidents via une plateforme unique, afin de vous aider à identifier, isoler et atténuer les menaces, puis à vérifier qu’elles ont bien été résolues.
Il est important de noter que, grâce à Tanium, qui effectue des requêtes quasi instantanées sur l'environnement de l'établissement, en évaluant et en analysant simultanément des millions de terminaux, et qui intègre ces informations dans des tableaux de bord de reporting de conformité, l'université dispose des meilleures chances de prévenir la perte de propriété intellectuelle de grande valeur ainsi que d'informations classifiées (CUI/CSI).
Visibilité, contrôle et conformité : se préparer au CMMC
Bien que le processus d'audit soit encore en cours d'élaboration, C3PAO auditeurs devraient commencer à mener des évaluations au sein d'instituts de recherche de premier plan, largement reconnus pour mener des travaux de recherche débouchant sur des informations classifiées (CUI) ou sensibles (CSI).
Lorsque vous évaluez le niveau de préparation de votre établissement à l'audit CMMC, commencez par vous poser les questions suivantes :
- Combien d'ordinateurs compte votre réseau ? Et ont-ils le droit de se trouver là ?
- Quelles applications sont installées ? Et sont-ils tous à jour ?
- Que font les utilisateurs ? Et est-ce autorisé ?
- Dans quelle mesure êtes-vous à l'aise avec votre situation en matière de correctifs, de vulnérabilités et de risques ?
- Avez-vous récemment été victime d'une intrusion ou d'une panne qui aurait pu être évitée ?
La certification CMMC est essentielle pour que les établissements de recherche de l'enseignement supérieur puissent poursuivre leurs travaux de recherche novateurs. Une infrastructure informatique centrale performante est essentielle tant pour protéger les données de recherche sensibles que pour identifier, prévenir et atténuer les risques liés à la cybersécurité.
Pour en savoir plus sur la manière dont Tanium collabore avec les établissements d'enseignement supérieur, veuillez consulter les pages suivantes : , https://www.tanium.com/solutions/higher-education/, et .
