Centre gouvernemental de cyberdéfense: SR - Gestion des risques liés à la chaîne d’approvisionnement

Passer au contenu

Centre gouvernemental de cyberdéfense

Nous joindre

Centre gouvernemental de cyberdéfense

27 mesures ou améliorations.

Télécharger le référentiel

a. Développer, documenter et diffuser à : 1. une politique de gestion des risques liés à la chaîne d’approvisionnement (GRCA) qui : (a) définit l’objectif, la portée, les rôles, les responsabilités, l’engagement de la direction, la coordination entre les entités organisationnelles et la conformité (b) est conforme aux lois, aux décrets, aux direc...

Référentiel Mesure Facultatif Responsable: OP

a. Élaborer un plan pour gérer les risques liés à la chaîne d’approvisionnement associés à la recherche, au développement, à la conception, à la fabrication, à l’acquisition, à la livraison, à l’intégration, à l’exploitation, à la maintenance et à l’élimination des systèmes, des composants de systèmes ou des services qui s’y rapportent b. Passer e...

Référentiel Mesure Facultatif Responsable: Aucun

Mettre en place une équipe de GRCA composée de pour diriger et soutenir les activités de GRCA suivantes : .

Référentiel Amélioration Facultatif Responsable: Aucun

a. Mettre en place un ou plusieurs processus pour relever et corriger les faiblesses ou les lacunes dans les éléments et les processus de la chaîne d’approvisionnement de en coordination avec b. Utiliser les contrôles suivants pour offrir une protection contre les risques liés à la chaîne d’approvisionnement pour les systèmes, les composants de s...

Référentiel Mesure Facultatif Responsable: Aucun

Employer un ensemble diversifié de sources pour les composants de systèmes et les services suivants : .

Référentiel Amélioration Facultatif Responsable: Aucun

Employer les contrôles suivants pour limiter les dommages pouvant être causés par d’éventuels adversaires qui pourraient identifier et cibler la chaîne d’approvisionnement organisationnelle : .

Référentiel Amélioration Facultatif Responsable: Aucun

S’assurer que les contrôles compris dans les contrats conclus avec les entrepreneurs principaux sont également inclus dans les contrats des sous-traitants.

Référentiel Amélioration Facultatif Responsable: Aucun

Documenter, surveiller et maintenir une provenance valide des systèmes et des composants de systèmes suivants, ainsi que de leurs données connexes : .

Référentiel Mesure Facultatif Responsable: Aucun

Établir et maintenir une identification unique des éléments de la chaîne d’approvisionnement, des processus et du personnel associé au système désigné et aux composants de systèmes essentiels : .

Référentiel Amélioration Facultatif Responsable: Aucun

Établir et maintenir une identification unique des systèmes et des composants de systèmes essentiels suivants aux fins de suivi tout au long de la chaîne d’approvisionnement : .

Référentiel Amélioration Facultatif Responsable: Aucun

Employer les contrôles suivants pour attester que le système ou le composant de système qui a été livré n’a pas été altéré : .

Référentiel Amélioration Facultatif Responsable: Aucun

Employer et procéder à pour assurer l’intégrité du système ou des composants de systèmes en validant la composition interne et la provenance des technologies, des produits et des services critiques ou essentiels à la mission.

Référentiel Amélioration Facultatif Responsable: Aucun

Utiliser les stratégies d’acquisition, les méthodes d’approvisionnement et les outils de passation de marchés suivants afin de déterminer, de contrer et d’atténuer les risques associés à la chaîne d’approvisionnement : .

Référentiel Mesure Facultatif Responsable: Aucun

Employer les contrôles suivants pour assurer un approvisionnement adéquat de : .

Référentiel Amélioration Facultatif Responsable: Aucun

Procéder à l’évaluation d’un système, d’un composant du système ou d’un service qui s’y rapporte préalablement à la sélection, à l’acceptation, à la modification ou à la mise à jour.

Référentiel Amélioration Facultatif Responsable: Aucun

Évaluer et examiner les risques liés à la chaîne d’approvisionnement associés aux fournisseurs, aux entrepreneures ou aux entrepreneurs ainsi que le système, le composant de système ou le service fourni par ces derniers .

Référentiel Mesure Facultatif Responsable: Aucun

Employer des éléments de la chaîne d’approvisionnement, des parties prenantes et des processus suivants relativement au système, au composant de système ou au service qui s’y rapporte : .

Référentiel Amélioration Facultatif Responsable: Aucun

Employer les contrôles de sécurité opérationnelle (OPSEC pour Operational Security) pour protéger l’information relative à la chaîne d’approvisionnement pour le système, le composant de système ou le service qui s’y rapporte : .

Référentiel Mesure Facultatif Responsable: Aucun

Mettre en place des ententes et des procédures avec les entités qui prennent part à la chaîne d’approvisionnement du système, du composant de système ou du service qui s’y rapporte pour .

Référentiel Mesure Facultatif Responsable: Aucun

Mettre en œuvre un programme de protection contre le trafiquage pour le système, le composant de système ou le service qui s’y rapporte.

Référentiel Mesure Facultatif Responsable: Aucun

Avoir recours à des technologies, des outils et des techniques de protection contre le trafiquage tout au long du cycle de développement de systèmes.

Référentiel Amélioration Facultatif Responsable: Aucun

Inspecter les systèmes ou les composants de systèmes suivants pour détecter le trafiquage : .

Référentiel Mesure Facultatif Responsable: Aucun

a. Développer et mettre en œuvre une stratégie et des procédures qui visent à combattre la contrefaçon et qui prévoient la mise en place de mesures visant à détecter et à prévenir l’entrée de dispositifs contrefaits dans les systèmes b. Signaler les composants de systèmes qui ont été contrefaits à ]

Référentiel Mesure Facultatif Responsable: Aucun

Former dans le domaine de la détection des composants contrefaits de systèmes (y compris les composants matériels, logiciels et microgiciels).

Référentiel Amélioration Facultatif Responsable: Aucun

Maintenir le contrôle des configurations pour les composants de systèmes suivants appelés à subir un entretien ou une réparation, ainsi que des composants réparés ou entretenus qui sont appelés à retourner à leur lieu de service : .

Référentiel Amélioration Facultatif Responsable: Aucun

Analyser les composants de systèmes pour détecter la contrefaçon.

Référentiel Amélioration Facultatif Responsable: Aucun

Éliminer au moyen des techniques et des méthodes suivantes : .

Référentiel Mesure Facultatif Responsable: Aucun

Le Protocole des feux de circulation (PFC) est basé sur le standard « Traffic Light Protocol (TLP) » conçu par le FIRST. Il a pour objectif d’informer sur les limites autorisées pour la diffusion des informations. Il est classé selon les codes de couleurs suivants :

TLP:CLEAR

Divulgation libre, les destinataires peuvent diffuser cette information dans le monde entier sans aucune limite.

Les sources peuvent utiliser l’appellation TLP:CLEAR lorsque les informations présentent un risque minimal ou nul de mauvaise utilisation, conformément aux règles et procédures applicables à la diffusion publique. Sous réserve des règles standard de copyright, es informations mentionnées en TLP:CLEAR peuvent être partagées sans restriction.

TLP:GREEN

Divulgation limitée, les destinataires peuvent la diffuser au sein de leur communauté.

Les sources peuvent utiliser l’appellation TLP:GREEN lorsque l'information est utile pour accroître la sensibilisation au sein de leur communauté. Les destinataires peuvent partager les informations avec l’appellation TLP:GREEN avec leurs pairs et les organisations partenaires au sein de leur communauté, mais pas via des canaux accessibles au public. Les informations ayant la mention TLP:GREEN ne peuvent pas être partagées en dehors de la communauté.
Remarque : lorsque le terme communauté" n'est pas défini, il s'agit de la communauté de la cybersécurité/défense.

TLP:AMBER

Divulgation limitée, les destinataires ne peuvent diffuser ces informations que sur la base du besoin d'en connaître au sein de leur organisation et de ses clients.

Les sources peuvent utiliser le TLP:AMBER lorsque l'information nécessite un soutien pour être traitée efficacement, mais qu'elle présente un risque pour la confidentialité, la réputation ou les opérations si elle est partagée en dehors des organisations concernées. Les destinataires peuvent partager les informations avec la mention TLP:AMBER avec les membres de leur propre organisation et ses clients, mais uniquement sur la base du besoin d'en connaître, afin de protéger leur organisation et ses clients et d'éviter tout préjudice supplémentaire.

Notez que le TLP:AMBER+STRICT restreint le partage à l'organisation uniquement.

TLP:RED

Divulgation limitée aux destinataires uniquement, aucune autre divulgation n’est autorisée.

Les sources peuvent utiliser l’appellation TLP:RED lorsque les informations ne peuvent pas être traitées efficacement sans risque significatif pour la vie privée, la réputation ou les opérations des organisations concernées. Les destinataires ne peuvent donc pas partager les informations avec l’appellation TLP:RED avec qui que ce soit. Dans le contexte d'une réunion, par exemple, les informations mentionnées avec le label TLP:RED sont limitées aux personnes présentes à la réunion.