Norme de sécurité pour la protection contre les logiciels malveillants en entreprise

2 janvier 2019

1. Remonter

   Aperçu

La protection contre les logiciels malveillants est essentielle pour protéger les systèmes des organismes contre diverses formes de logiciels malveillants. À cette fin, la présente norme établit des exigences minimales. Les organismes participants doivent s'y conformer pour détecter, identifier et supprimer/éliminer les logiciels malveillants.

2. Remonter

   But

Les incidents de cybercriminalité et autres formes de cybermenaces, notamment les logiciels malveillants, n'ont cessé de croître ces dernières années. C'est pourquoi la présente norme établit les exigences minimales en matière de protection contre les logiciels malveillants afin de garantir la sécurité des systèmes de l'organisme contre diverses formes de menaces.
de logiciels malveillants.

3. Remonter

   Portée/Application

La présente norme s'applique à tous les organismes participants. Les organismes non participants sont encouragés à suivre cette norme ainsi que les autres normes informatiques d'entreprise. La présente norme est réputée adoptée par tous les organismes participants. S'agissant d'une norme minimale, les organismes participants peuvent, en complément, adopter des normes qui la complètent sans toutefois la restreindre. En cas de conflit entre la présente norme et une norme adoptée par un organisme participant, la présente norme prévaut.

4. Remonter

   Définitions

Les termes en majuscules non définis dans le présent document ont la même signification que le terme défini correspondant dans les sources suivantes, telles que modifiées de temps à autre, et ce, par ordre de priorité : le chapitre 8B du Code de l’Iowa, le chapitre 129 du Code administratif de l’Iowa et la taxonomie des documents de gouvernance des technologies de l’information. Outre les termes expressément définis dans le présent document, les termes suivants sont définis :

• L'analyse basée sur l'hôte consiste à analyser un appareil individuel à la recherche de logiciels malveillants.
• Un logiciel malveillant est une application qui est insérée subrepticement dans un autre logiciel (par exemple, un système d'exploitation, une application) dans le but de voler ou de détruire des données, d'exécuter des programmes destructeurs ou intrusifs, ou de compromettre d'une autre manière les données, les applications ou le système d'exploitation de la victime.
• L'analyse réseau consiste à analyser le trafic réseau à la recherche de logiciels malveillants.
• Un bureau non persistant désigne un bureau virtuel configuré pour revenir au point de départ initial lorsque l'utilisateur se déconnecte.

5. Remonter

   Norme de sécurité pour la protection contre les logiciels malveillants en entreprise

• Protection contre les logiciels malveillants . Un logiciel de protection contre les logiciels malveillants doit être installé conformément aux exigences suivantes :
  • Tous les postes de travail, ordinateurs portables et serveurs (à l'exclusion des ordinateurs centraux) doivent être équipés d'un logiciel de protection anti-malware.
  • Les clients légers et les appareils mobiles doivent être protégés contre les logiciels malveillants, si disponible.
  • Les postes de travail non persistants doivent inclure une protection anti-malware si disponible.
• Signatures. Les signatures des logiciels malveillants doivent être mises à jour au moins une fois par jour.
• Alerte.
  • Signalement centralisé. Les alertes des logiciels de protection anti-malware doivent être signalées de manière centralisée au personnel informatique de l'organisme participant.
  • Métriques/Journalisation. Les informations d'alerte suivantes, relatives aux logiciels malveillants, seront collectées/regroupées.
    • Date et heure de détection du logiciel malveillant.
    • Nom de l'appareil.
    • Mesures prises dès la détection.
  • Revoir.
    • Règle générale : les alertes de logiciels malveillants doivent être examinées au moins une fois par jour.
    • Alertes en temps réel. Des alertes en temps réel seront générées par courriel ou SMS et immédiatement transmises au personnel informatique de l'organisme participant dans les circonstances suivantes :
      • Si un logiciel malveillant est détecté.
      • Si le logiciel de protection anti-malware est désactivé.
      • Si la mise à jour de la signature a échoué.
• Analyses . Une analyse des hôtes et une analyse du réseau doivent être effectuées au moins une fois par semaine.
• Supports amovibles. Les supports amovibles doivent être analysés à la recherche de logiciels malveillants lorsqu'ils se connectent à un système d'information, y compris les serveurs, les postes de travail ou les ordinateurs portables/tablettes.
• Retrait/Réinstallation . Les périphériques doivent être retirés/isolés ou réinstallés conformément aux exigences suivantes :
  • Les appareils doivent être retirés/isolés du réseau de l'État et de l'agence si un logiciel malveillant est identifié et si le logiciel de protection anti-malware installé sur l'appareil est incapable de le désinfecter.
  • Les appareils doivent être réinitialisés si des alertes de logiciels malveillants supplémentaires sont générées après trois (3) tentatives de nettoyage de l'appareil.
• E-mail. Les pièces jointes aux courriels doivent être analysées à la recherche de logiciels malveillants avant d'être ouvertes par le destinataire.

6. Remonter

   Fournisseurs/Entrepreneurs

Les organismes participants devront imposer des obligations contractuelles de protection contre les logiciels malveillants aux fournisseurs et à leurs sous-traitants, concernant leurs environnements informatiques.

7. Remonter

   Amendement

Le présent document de gouvernance informatique sera révisé au moins tous les deux (2) ans et modifié au besoin. Il pourra être modifié à la seule discrétion du DSI, en tenant compte des avis et des contributions du TLG et de ses différents sous-comités.

8. Remonter

   Application de la loi

Le présent document de gouvernance informatique est appliqué conformément aux règles 11-25.11 et 11-117.11 du Code administratif de l'Iowa et aux articles 8B.21(1)(d), (f) et (h), 8B.23(1), 8B.23 et 8B.24(1) du Code de l'Iowa, selon le cas. En cas de constatation d'une violation ou d'un non-respect du présent document de gouvernance informatique, le Bureau peut, à titre d'exemple uniquement :

• Interdire ou limiter de quelque manière que ce soit l’utilisation par un organisme participant des contrats conclus par le bureau;
• Retirer ou interdire au personnel de l’État d’un organisme participant de participer aux sous-comités, groupes de travail ou groupes de travail sur la gouvernance des TI établis, organisés ou gérés par le Bureau ;
• Signalez ces violations ou cas de non-conformité au département de la gestion, au bureau du gouverneur ou au vérificateur général de l'État ;
• Recouvrer les frais administratifs proportionnels à toute augmentation des frais encourus par le Bureau ou d'autres organismes participants en raison de la violation ou du non-respect des règles.

9. Remonter

   Dérogation/Variation

Les articles 11-25.11(2) et 11-117.11(3) du Code administratif de l'Iowa, ainsi que l'article 8B.21(5) du même code, prévoient des dérogations aux exigences des documents de gouvernance informatique. Toute demande de dérogation aux exigences du présent document de gouvernance informatique doit être soumise par écrit au Bureau, conformément aux dispositions légales et réglementaires applicables.

10. Remonter

    Règlement des différends

En cas de différend entre le Bureau et un organisme participant concernant le respect, l'administration ou l'application du présent document de gouvernance informatique, ce différend sera résolu conformément à l'article 679A.19 du Code de l'Iowa.

EN FOI DE QUOI, le DSI a fait signer le présent document de gouvernance informatique par son représentant dûment autorisé, lequel prend effet à la date de signature ci-dessous.

Signé numériquement par Robert von Wolffradt (voir la signature sur le document)
directeur des systèmes d'information
État de l'Iowa