NIST SP 800-53
La norme NIST SP 800-53 constitue le catalogue de référence des contrôles de sécurité et de confidentialité qui sous-tendent la majeure partie de la sécurité de l’information au niveau fédéral aux États-Unis — elle est le fondement sur lequel reposent la loi FISMA, le programme FedRAMP et le cadre de gestion des risques (RMF). Conçu pour être exhaustif, il est organisé en familles de contrôles couvrant tous les aspects, du contrôle d’accès et de la journalisation des audits à la réponse aux incidents, en passant par les risques liés à la chaîne d’approvisionnement et la sécurité physique, avec des niveaux de référence (Faible, Modéré, Élevé) qui adaptent l’ensemble des contrôles au degré de sensibilité réel du système.
Si vous êtes une agence fédérale, vous mettez cela en œuvre parce que vous y êtes obligé. Si vous êtes un prestataire ou un fournisseur de services cloud cherchant à obtenir l’autorisation d’exploiter un système sur un réseau fédéral — par le biais d’une autorisation d’exploitation (ATO) ou d’une autorisation FedRAMP —, vous le mettez en œuvre parce que personne ne permettra à votre système de se connecter sans cela. Dans tous les cas, la norme 800-53 est complexe, et c’est généralement entre « nous avons lu la mesure de contrôle » et « nous disposons de preuves qu’un évaluateur acceptera » que les projets s’enlisent.
C’est là que se déroule le véritable travail
Le choix d’une base de référence adaptée au niveau d’impact réel de votre système revêt une importance bien plus grande que ce que l’on pourrait croire : si vous la surestimez, vous mettez en place des contrôles dont vous n’avez pas besoin ; si vous la sous-estimez, un évaluateur vous renverra à la case départ. À partir de là, le travail consiste moins à inventer de nouvelles capacités de sécurité qu’à mettre en œuvre correctement les contrôles, à les adapter de manière judicieuse à votre environnement et — surtout — à produire les preuves et la documentation dont un évaluateur ou un responsable habilité a réellement besoin, dans le format requis par le RMF ou le programme FedRAMP.
Comment j’aborderais la question
Je commencerais par la catégorisation de votre système et je m’assurerais que la base de référence est correcte avant toute autre chose, car cette décision détermine l’ensemble du projet. Ensuite, procédez à un examen de la mise en œuvre contrôle par contrôle : ce qui est réellement en place, ce qui l’est partiellement et ce qui manque — en parallèle d’un plan de sécurité du système qui documente tout cela en toute honnêteté et d’un plan de remédiation classé par niveau de risque et par ce qui fait réellement obstacle à l’autorisation. Si vous vous dirigez vers une autorisation ATO ou FedRAMP, je vous aiderai à mettre votre dossier en forme avant qu’il ne soit présenté à un évaluateur, et non après qu’il ait été rejeté.
Si vous suivez la norme 800-53 en vue d’une autorisation ATO, d’une autorisation FedRAMP ou du respect de vos obligations RMF en cours, n’hésitez pas à nous contacter pour discuter de l’état actuel de votre système.