Conformité à la FISMA
La loi FISMA — Federal Information Security Management Act — est la loi qui impose aux agences fédérales, ainsi qu’aux sous-traitants et aux systèmes qui les soutiennent, de protéger les informations et les systèmes d’information selon une norme définie. Dans la pratique, cette norme correspond au cadre de gestion des risques du NIST : classer le système par catégorie, sélectionner et mettre en œuvre les contrôles prévus par la norme NIST SP 800-53, évaluer leur efficacité réelle, obtenir une autorisation d’exploitation, puis assurer une surveillance continue, plutôt que de considérer la sécurité comme un projet ponctuel.
Les points de blocage des organisations
Le travail lié à la FISMA a tendance à dérailler à certains stades prévisibles. La catégorisation des systèmes est effectuée à la hâte, ce qui signifie que la base de référence des contrôles est erronée dès le départ. La mise en œuvre des contrôles est documentée de manière générique au lieu de décrire ce que le système fait réellement. L’évaluation de sécurité se transforme en une simple revue de documents au lieu d’un véritable test visant à vérifier si les contrôles fonctionnent. Et la surveillance continue, qui est censée garantir la pertinence d’une autorisation d’exploitation (ATO) au fil du temps, cesse discrètement d’être assurée une fois l’autorisation accordée.
Mon approche des travaux relatifs à la loi FISMA
Je considère la catégorisation comme le fondement qu’elle est censée être : déterminer correctement les niveaux d’impact en matière de confidentialité, d’intégrité et de disponibilité avant toute autre chose. À partir de là, j’aide à sélectionner et à adapter des contrôles qui correspondent à l’architecture et aux risques réels du système, et non à une référence copiée-collée. Au moment de l’évaluation, j’insiste pour obtenir la preuve que les contrôles fonctionnent réellement comme décrit : exportations de configuration, échantillons de journaux, examens des accès, et pas seulement une déclaration affirmant « oui, cela est mis en œuvre ».
Je consacre également beaucoup de temps au Plan de sécurité du système ainsi qu’au Plan d’action et aux étapes clés, car ce sont ces deux documents que l’évaluateur et le responsable de l’autorisation lisent réellement avec attention. Un Plan d’action et étapes clés (POA&M) qui reconnaît honnêtement les lacunes et présente un calendrier de correction crédible a plus de valeur qu’un plan qui prétend que tout est parfait et qui s’effondre face aux questions.
À qui s'adresse ce document ?
Les agences fédérales et les prestataires qui les assistent, les entreprises qui sollicitent ou maintiennent une autorisation d’exploitation, ainsi que les organisations qui ont hérité d’une obligation au titre de la loi FISMA par le biais d’un contrat et qui ont besoin d’une personne ayant déjà mené ce type de mission pour mettre en conformité la documentation et le niveau de sécurité effectif.
Si vous vous apprêtez à obtenir une ATO ou si vous cherchez à la maintenir à jour, discutons ensemble de l’état d’avancement de votre programme.