Les organisations qui traitent des informations non classifiées contrôlées (CUI) et des informations sensibles contrôlées (CSI), y compris de nombreux établissements de recherche dans l’enseignement supérieur, sont confrontées à des menaces constantes de la part d’acteurs malveillants. Par exemple, en 2018, le ministère de la Justice a accusé neuf pirates iraniens de voler plus de 31 téraoctets d’informations auprès de plus de 300 établissements d’enseignement supérieur. Des rapports ont révélé que la valeur totale de la propriété intellectuelle volée s’élevait à plus de 3 milliards USD.
Le ministère de la Défense exige que ces institutions, y compris les Centres de recherche affiliés à l’université (University Affiliated Research Centers, UARC) et les Centres de recherche et de développement financés par le gouvernement fédéral (Federly Funded Research and Development Centers, FFRDC) qui reçoivent des subventions gouvernementales pour mener des recherches (et gérer les CUI/CSI) devront bientôt répondre à la certification du modèle de maturité de cybersécurité (Cybersecurity Maturity Model Certification, CMMC) du DoD, aux côtés de la communauté fédérale des entrepreneurs. Les nouvelles directives devraient entrer en vigueur à l’automne 2020.
Une organisation tierce formée et accréditée appelée Controlled Third Party Assessment Organization (C3PAO) auditera chaque sous-traitant ou institution de recherche, validant la conformité à une série d’exigences et de meilleures pratiques de cybersécurité, et attribuant un niveau de maturité de cybersécurité à l’organisation.
Comment CMMC évalue la cyber maturité
Le modèle CMMC mesure la cybersécurité sur cinq niveaux. Chaque niveau comprend un ensemble de processus et de pratiques, allant de « réalisés » au niveau 1 à « optimisés » au niveau 5. Chaque organisation devra non seulement démontrer l’institutionnalisation de la pratique, mais également la mise en œuvre de toutes les pratiques requises pour un niveau spécifié et tous les niveaux précédents, de manière continue.
Le processus d’audit prend en compte un certain nombre d’autres facteurs, notamment le type et la sensibilité des informations traitées, les menaces et la complexité de la mise en œuvre.
Malgré le nom du modèle, il ne s’agit pas d’un exercice de conformité à cocher. Le processus fournit un moyen d’améliorer l’alignement des pratiques de cybersécurité avec le type et la sensibilité des informations et des menaces associées.
Le défi CMMC pour l’enseignement supérieur
Historiquement, de nombreux FFDRC et UARC n’avaient pas de contrôles centralisés et étaient responsables de la mise en œuvre, de la surveillance et de la certification de la sécurité de leurs propres systèmes informatiques et de toute CUI/CSI du DoD stockée dans ces systèmes.
Aujourd’hui, pour se conformer aux directives du CMMC, beaucoup de ces institutions devront se tourner vers leurs équipes informatiques centrales ou des entreprises tierces pour créer l’infrastructure informatique nécessaire pour répondre aux normes du CMMC et protéger les informations sensibles contre les acteurs malveillants.
Beaucoup n’ont pas les processus de cyberhygiène de base nécessaires, et la plupart n’ont pas la visibilité nécessaire sur l’ensemble de leur réseau. Comme nous le savons, nous ne pouvons pas contrôler ce que nous ne pouvons pas voir. L’équipe a besoin d’une visibilité complète et continue sur tous les actifs du réseau (un objectif de plus en plus complexe dans le monde de l’Internet des objets (IdO)/Bring-Your-Own-Device (BYOD)).
Malheureusement, les établissements d’enseignement supérieur ont créé le dernier obstacle avec les meilleures intentions. Étant donné qu’ils ont travaillé pour traiter les vulnérabilités de cybersécurité individuelles, la plupart ont mis en œuvre un patchwork complexe de produits ponctuels qui ne s’intègrent pas, sont difficiles à gérer et à corriger, et ne peuvent pas donner à l’équipe de direction informatique une vue complète des menaces. La complexité est synonyme de risque et de coût. Si les institutions continuent à mettre en œuvre un produit nouveau/différent pour résoudre des problèmes individuels, elles augmenteront la complexité, les coûts et les risques. De plus, ils n’obtiendront pas la visibilité nécessaire pour gérer les risques et répondre aux exigences CMMC.
Comment Tanium contribue à la conformité CMMC
Les établissements d’enseignement supérieur ont besoin de la capacité de suivre et de signaler le statut de sécurité du réseau en temps quasi réel, conformément aux exigences du CMMC. Tanium permet d’unifier et non seulement d’identifier les risques et les vulnérabilités, mais également de les hiérarchiser dans l’ensemble de l’environnement, et de prendre des mesures pour réagir et y remédier en temps quasi réel.
Tanium exécute des requêtes quasi instantanées de l’environnement, y compris des millions d’endpoints à la fois, et crée des tableaux de bord de reporting en temps quasi réel. Cela offre rapidité et visibilité, afin que vous puissiez résoudre les problèmes, apporter des modifications rapidement et réduire les risques. Tanium permet également une surveillance continue de la conformité par rapport aux points de référence établis, réduisant ainsi les risques.
La conformité CMMC est l’une des nombreuses choses qui empêchent les RSSI de dormir. Dans le cas des universités de recherche, le non-respect des exigences du CMMC pourrait mettre en danger le financement des subventions du DoD. Cependant, avec les solutions de gestion des endpoints de Tanium, les RSSI ont une chose de moins à s’inquiéter. Ces solutions permettent de réduire la complexité, d’améliorer l’efficacité et de combler les écarts entre les équipes opérationnelles et de sécurité, tout en fournissant aux RSSI une plateforme unique pour comprendre leur environnement et les préparer aux futurs audits CMMC.
Tanium n’est pas un évaluateur C3PAO , mais nous fournissons aux clients des informations de haute fidélité sur la cyberhygiène requise pour la conformité CMMC. Voici quelques exemples de domaines d’évaluation :
Découverte et génération de rapports sur les actifs
Tanium fournit une détection et un reporting robustes des actifs. Avec l’essor de l’IdO et du BYOD, il existe un risque de (beaucoup) d’appareils inconnus sur le réseau. Lorsque nous exécutons nos outils de découverte et d’actifs dans l’environnement d’une organisation, nous identifions souvent 12 à 20 % supplémentaires d’appareils inconnus.
Surveillance complète des menaces
La gestion et la sécurité unifiées des endpoints de Tanium fournissent une surveillance complète des menaces avec une analyse détaillée des incidents via une plateforme unique pour aider à identifier, isoler et atténuer les menaces, et valider lorsqu’elles ont été corrigées.
Il est important de noter que, alors que Tanium effectue des requêtes presque instantanées sur l’environnement de l’institution, en évaluant et en analysant des millions d’endpoints à la fois, et en extrayant des informations dans des tableaux de bord de reporting de conformité, l’université a les meilleures chances d’empêcher la perte de propriété intellectuelle de grande valeur et de CUI/CSI.
Visibilité, contrôle et conformité : se préparer au CMMC
Bien que le processus d’audit soit toujours en cours de définition, C3PAO auditeurs commenceront probablement des évaluations dans des établissements de recherche de premier plan largement connus pour mener des recherches qui entraînent une CUI ou une CSI.
Lors de l’évaluation de la préparation à l’audit CMMC de votre institution, commencez par réfléchir aux questions suivantes :
- Combien d’ordinateurs avez-vous sur votre réseau ? Et sont-ils autorisés à y être ?
- Quelles applications sont installées ? Et sont-ils tous à jour ?
- Que font les utilisateurs ? Et est-il autorisé ?
- Dans quelle mesure êtes-vous à l’aise avec votre posture patch/vulnérabilité/risque ?
- Avez-vous récemment été victime d’une violation ou d’une panne qui aurait pu être évitée ?
La certification CMMC est essentielle pour que les établissements de recherche dans l’enseignement supérieur puissent poursuivre leurs recherches révolutionnaires. Une infrastructure informatique centrale saine est essentielle pour protéger les données de recherche sensibles et identifier, prévenir et atténuer les cyber-risques.
Pour en savoir plus sur la manière dont Tanium travaille avec les établissements d’enseignement supérieur, veuillez consulter https://www.tanium.com/solutions/higher-education/.
