SR-07 - Sécurité opérationnelle de la chaîne d’approvisionnement   (PcEE)

Énoncés :

Employer les contrôles de sécurité opérationnelle (OPSEC pour Operational Security) pour protéger l’information relative à la chaîne d’approvisionnement pour le système, le composant de système ou le service qui s’y rapporte : [Affectation : contrôles d’OPSEC définis par l’organisation].

Paramètres :

Discussion :

Le contrôle d’OPSEC de la chaîne d’approvisionnement étend la portée de l’OPSEC de manière à inclure les fournisseurs actuels et éventuels. L’OPSEC est un processus qui consiste à identifier l’information critique, à analyser des actions amies accompagnant les opérations et les autres activités visant à identifier les actions pouvant être observées par d’éventuels adversaires, à déterminer les indicateurs que les adversaires pourraient obtenir et mettre en perspective ou interpréter de façon à révéler des renseignements essentiels en assez de temps pour causer des dommages aux organisations, à mettre en œuvre les mesures de protection et les contremesures visant à éliminer les vulnérabilités exploitables ou à les réduire à un niveau acceptable et à imaginer comment les amalgames de renseignements pourraient compromettre la confidentialité des utilisatrices, des utilisatrices ou les utilisations de la chaîne d’approvisionnement. L’information de la chaîne d’approvisionnement comprend les identités des utilisatrices et utilisateurs, les utilisations des systèmes, des composants de systèmes et des services qui s’y rapportent, les identités des fournisseurs, les exigences de sécurité et de protection de la vie privée, les configurations des systèmes et des composants, les processus des fournisseurs, les spécifications de conception et les résultats des tests et des évaluations. L’OPSEC de la chaîne d’approvisionnement peut exiger que les organisations soustraient aux fournisseurs l’information relative à la mission et aux activités, et peut inciter ces organisations à avoir recours à des intermédiaires dans le but de taire l’identité des utilisatrices et des utilisateurs ou les utilisations des systèmes, des composants de systèmes ou des services qui s’y rapportent.