SA-11(02) - Modélisation des menaces et analyses des vulnérabilités (PaFF)
Énoncés :
Exiger que la développeuse ou le développeur du système, du composant ou du service qui s’y rapporte effectue une modélisation des menaces et des analyses des vulnérabilités au cours du développement, ainsi que des tests et une évaluation du système, du composant ou du service qui :
a. utilise l’information contextuelle suivante : [Affectation : information relative aux répercussions définie par l’organisation, environnement opérationnel, menaces connues ou présumées, et niveaux acceptables de risque]
b. utilise les méthodes et les outils suivants : [Affectation : méthodes et outils définis par l’organisation]
c. procède à la modélisation et à l’analyse du niveau de rigueur suivant : [Affectation : profondeur et étendue de modélisation et d’analyse définies par l’organisation]
d. démontre que les critères d’acceptation suivants ont été respectés : [Affectation : critères d’acceptation définis par l’organisation]
Les systèmes, les composants de systèmes et les services qui s’y rapportent peuvent s’écarter considérablement des spécifications fonctionnelles et de conception qui ont été créées pendant les phases de conception et de formulation des exigences du cycle de développement des systèmes. Par conséquent, les mises à jour des analyses des menaces et des vulnérabilités de ces systèmes, de ces composants de systèmes ou des services qui s’y rapportent, qui sont effectuées en cours de développement et avant la mise en service, sont essentielles à une exploitation efficace des systèmes, des composants et des services en question. Les analyses des vulnérabilités et la modélisation des menaces, à cette phase du cycle de développement des systèmes, permettent de veiller à ce que les changements apportés à la conception et à la mise en œuvre soient pris en compte et que les vulnérabilités résultant de ces changements soient examinées et fassent l’objet de mesures d’atténuation.