Définitions
Autorisation
L'autorisation est la décision formelle et officielle prise par un responsable désigné de l'organisation d'autoriser l'exploitation d'un système d'information, en acceptant explicitement le risque qui subsiste après la mise en œuvre d'un ensemble convenu de contrôles de sécurité et de protection de la vie privée
Évaluation du contrôle (évaluation)
L'évaluation est la mise à l'essai et l'évaluation systématiques des contrôles de sécurité et de protection de la vie privée afin de s'assurer qu'ils sont mis en œuvre correctement, qu'ils fonctionnent comme prévu et qu'ils satisfont aux exigences de sécurité établies pour un système d'information.
Production
Un système est considéré comme étant en production lorsqu'il a terminé toutes les activités de mise en œuvre, que tous les contrôles sont en place et qu'il a été jugé approprié à l'utilisation par le propriétaire de la fonction et le propriétaire du système. L'autorisation formelle de production est accordée en tant qu'autorisation d'exploitation (AE).
Directive
Le GNB doit établir, mettre en œuvre et tenir à jour une directive officielle sur l'évaluation de la sécurité et l'autorisation afin de s'assurer que les systèmes d'information font l'objet d'une évaluation des risques pour la sécurité, qu'ils sont autorisés avant leur exploitation et qu'ils font l'objet d'une surveillance continue tout au long de leur cycle de vie.
Objectif
Cette directive jette les bases de la gestion des risques de cybersécurité à l'échelle du système, permet une prise de décision transparente et fondée sur les risques, et garantit que les systèmes ne fonctionnent qu'avec une autorisation approuvée et documentée.
L'objectif de la Directive sur l'évaluation et l'autorisation de sécurité est de faire en sorte qu'une approche normalisée définisse :
- Effectuer des évaluations périodiques de la sécurité, afin de déterminer l'efficacité des contrôles de sécurité, l'évaluation des lacunes et les plans d'action de développement pour corriger les lacunes.
- Autorisation de la conception et de la mise en œuvre de la sécurité des systèmes, des composants système ou des services système.
