MP-07 - Utilisation des supports (PaF-)
Énoncés :
a. [Sélection (un choix) : Limiter, interdire] l’utilisation de [Affectation : types de supports de système désignés par l’organisation] sur les [Affectation : systèmes ou composants de systèmes désignés par l’organisation] au moyen de [Affectation : contrôles définis par l’organisation]
b. Interdire dans ses systèmes l’utilisation de dispositifs de stockage portatifs dont la ou le propriétaire est inconnu
a. interdire; supports de stockage amovible (ex.: clés USB, disque externe, carte mémoire, etc.); tout composant ou système géré par l'organisme; refuser l'accès en lecture/écriture aux disques amovibles
Les supports du système comprennent les supports numériques et non numériques. Les supports numériques comprennent des disquettes, des bandes magnétiques, des disques à mémoire flash, des CD, des DVD et des disques durs amovibles. Les supports non numériques incluent le papier et les microfilms. Les protections d’utilisation des supports s’appliquent également aux appareils mobiles ayant des capacités de stockage d’information. Contrairement au contrôle MP-02, qui restreint l’accès des utilisatrices et utilisateurs aux supports, le contrôle MP-07 limite l’utilisation de certains types de supports sur les systèmes comme, entre autres, restreindre ou interdire l’utilisation de clés USB ou de lecteurs de disques durs externes. Les organisations ont recours à des contrôles techniques et non techniques pour limiter l’utilisation de supports de systèmes. Elle peut restreindre l’utilisation de dispositifs de stockage portatifs en mettant notamment en place des cages sur les postes de travail pour interdire l’accès à certains ports externes ou en désactivant la fonction qui permet d’insérer, de lire ou d’écrire sur de tels dispositifs. Les organisations peuvent également limiter l’utilisation des dispositifs de stockage portatifs à ceux approuvés, y compris les dispositifs fournis par l’organisation, les dispositifs fournis par d’autres organisations approuvées et les dispositifs qui n’appartiennent pas aux personnes. Elle peut enfin restreindre l’utilisation de dispositifs de stockage portatifs en fonction du type de dispositif, notamment en interdisant l’utilisation de dispositifs de stockage portatifs inscriptibles et en désactivant la fonction qui permet d’écrire sur de tels dispositifs. Exiger des propriétaires identifiables pour les dispositifs de stockage permet de réduire le risque d’utilisation de tels dispositifs en laissant les organisations attribuer la responsabilité en cas de vulnérabilité connue dans les dispositifs.