Lignes directrices sur la gestion des vulnérabilités du gouvernement du Canada

1.1 Contexte

La Politique sur la sécurité du gouvernement et l’Annexe B : Procédures obligatoires relatives aux mesures de sécurité de la technologie de l’information de la Directive sur la gestion de la sécurité exigent que les ministères mettent « en œuvre des mesures pour protéger les systèmes d’information, leurs composants et l’information qu’ils traitent et transmettent contre les attaques qui exploitent les vulnérabilités dans les systèmes d’information pour toucher leur intégrité et qui pourraient avoir une incidence sur leur disponibilité ou leur confidentialité (par exemple un code malveillant)^{Note de bas de page 1} ». Cette exigence comprend la mise en œuvre de mesures correctives, comme l’application de correctifs, pour remédier aux vulnérabilités. De plus, le Centre canadien pour la cybersécurité classe l’application de correctifs aux applications et aux systèmes d’exploitation en deuxième place dans sa liste des plus importantes mesures de sécurité des technologies de l’information (TI) que les organisations peuvent prendre pour réduire au minimum les intrusions et les répercussions connexes^{Note de bas de page 2}.

Ce document présente les éléments fondamentaux du modèle de maturé de la gestion des vulnérabilités (en anglais) du SANS Institute ainsi que du guide de planification de la gestion des correctifs d’entreprise : maintenance préventive des technologies (NIST SP 800‑40 Rev. 4) (en anglais) pour les technologies de gestion des correctifs d’entreprise. Il fournit des conseils précis sur la mise en place, la tenue à jour et la gestion d’un programme de gestion des correctifs et des vulnérabilités.

La gestion des vulnérabilités (GV) est à la base une fonction de gestion des risques conçue pour cerner, évaluer et atténuer les risques liés à la sécurité de l’information découlant des faiblesses des TI. En mettant l’accent sur la correction ou la réduction des risques à des niveaux acceptables, la GV permet à une organisation d’assurer la continuité de sa mission de façon efficace et sécuritaire. La GV sert à réduire le risque d’exploitation d’une manière exigeant beaucoup moins de temps et de ressources financières que le fait de réagir à un incident après l’exploitation. Ainsi, un programme de GV bien mis en œuvre vise à optimiser la gestion des risques et l’affectation des ressources.

1.2 Objectif et portée

Le présent document vise à fournir des conseils sur la mise en place, la tenue à jour et la gestion d’un programme de GV au sein d’un ministère ou d’un organisme du gouvernement du Canada (GC).

Les présentes lignes directrices cadrent avec les documents et instruments du GC suivants :

• Politique sur la sécurité du gouvernement;
• Politique sur les services et le numérique;
• Directive sur la gestion de la sécurité;
• Stratégie intégrée de cybersécurité du gouvernement du Canada;
• Plan de gestion des événements de cybersécurité du gouvernement du Canada (PGEC GC);
• Orientation sur la gestion des rustines;
• Correction des systèmes d’exploitation et des applications – Bulletin de sécurité des TI à l’intention du gouvernement du Canada (ITSM‑96)

1.3 Public cible

Les présentes lignes directrices s’adressent aux personnes responsables de la gestion, de l’analyse et de la correction des vulnérabilités qui touchent les systèmes de TI du GC. Ces responsables comprennent les gestionnaires des risques liés à la cybersécurité, les équipes de GV, les responsables des services de TI, les administrateurs des services de TI et les agents de sécurité des TI.

2.1 Gouvernance

Une GV efficace repose sur des instruments de politique et des processus de gouvernance bien définis. Ils établissent les exigences, les attentes, les responsabilités, les cadres et les processus de travail, tous approuvés par la haute direction pour assurer les ressources et le soutien institutionnels. Les documents sur la gouvernance doivent comprendre des politiques générales et des procédures tactiques intégrant les pratiques exemplaires de l’industrie. En cas de différend ou d’audit, ces documents fournissent un registre de l’engagement de l’organisation à l’égard d’une gouvernance structurée et transparente.

Voici les principaux éléments de la gouvernance en matière de GV.

• Engagement de la direction : un solide leadership par les cadres supérieurs (par exemple, dirigeant principal des données du ministère, dirigeant principal de la sécurité de l’information) est essentiel au succès d’un programme de GV. Les dirigeants doivent faire la promotion du programme, affecter des ressources et veiller à ce que la sécurité soit une priorité dans l’ensemble de l’organisation. L’engagement des dirigeants envoie un message clair aux employés, comme quoi la sécurité est importante, et les encourage à s’approprier le programme et à y participer.
• Organes décisionnels et protocoles de prise de décisions : préciser qui a le pouvoir et la responsabilité de prendre des décisions, en veillant au respect des objectifs de gestion du risque de l’organisation.
• Évaluation des risques et atténuation : définir des processus et des cadres pour évaluer les vulnérabilités et établir des activités d’atténuation et des échéanciers en fonction des niveaux de risque.
• Mesures du rendement : utiliser des mesures pour mesurer divers aspects du programme de GV qui serviront d’indicateurs de rendement clés en matière d’amélioration continue.
• Conformité et documents : veiller au respect des règlements externes et des politiques internes en limitant au minimum les risques juridiques et opérationnels. Les documents aident à communiquer les processus nécessaires et à veiller à ce que tous les intervenants comprennent leurs rôles et responsabilités.
• Éléments obligatoires et éléments recommandés : faire une distinction claire entre les éléments obligatoires et les éléments recommandés dans les documents sur la gouvernance.
• Ententes de niveau de service : préciser les attentes et les ententes de niveau de service pour les services de GV, en particulier lorsqu’on fait appel à des tiers.

2.2 Compréhension des dépendances opérationnelles des actifs de TI

Il est essentiel pour la GV de comprendre les dépendances des activités opérationnelles essentielles à certains actifs de TI. Les organisations doivent avoir une connaissance approfondie des activités opérationnelles qui génèrent de la valeur et orientent leur mission. Il s’agit notamment de relever les défis uniques liés à la gestion des vulnérabilités dans les environnements infonuagiques. Des techniques d’analyse spécialisées et des contrôles de sécurité adaptés aux ressources en nuage dynamiques et partagées devraient être mis en œuvre. Pour gérer efficacement les vulnérabilités, les organisations devraient procéder au mappage entre leurs actifs de TI et leurs activités opérationnelles, et déterminer le risque opérationnel associé à chaque actif de TI. Les contrôles CM‑8 et PM‑5 des Contrôles de sécurité et améliorations de contrôle suggérés (ITSG‑33) du Centre canadien pour la cybersécurité mettent l’accent sur la nécessité de procéder à un mappage méthodique des activités opérationnelles par rapport aux actifs de TI sous-jacents, afin qu’ainsi l’ordre de priorité des vulnérabilités tienne compte de l’urgence technique et du risque pour les activités opérationnelles essentielles.

Le mappage des actifs de TI avec les activités opérationnelles nécessite une visibilité à jour et précise de l’écosystème technologique grâce à la découverte complète des actifs, au mappage des dépendances, au suivi des stocks en temps réel et à l’intégration aux processus et outils de gestion du changement et de la configuration de l’organisation. Les organisations doivent tenir à jour leur répertoire et les bases de données de gestion des configurations de leurs biens informatiques physiques et virtuels, y compris les actifs liés à la technologie opérationnelle et à l’Internet des objets.

La gestion des actifs de TI et la gestion des configurations permettent aux organisations de faire le suivi des logiciels non conformes déployés dans les environnements de TI. Étant donné la complexité et les multiples facettes des systèmes de TI, il est essentiel d’inclure tous les environnements informatiques dans un programme de GV, qu’il s’agisse de technologies mobiles, sur place, infonuagiques ou opérationnelles. Ces technologies comprennent notamment les points terminaux, les applications, les intergiciels, les bibliothèques, les systèmes d’exploitation, les hyperviseurs, les machines virtuelles, les moteurs de conteneurs, les conteneurs, les micrologiciels, le matériel, les systèmes de contrôle industriel, les systèmes d’acquisition et de contrôle de données, les systèmes de commande répartis, les automates programmables, les terminaux à distance, les interfaces personne-machine, les capteurs et les actionneurs.

La Politique sur les services et le numérique rend la gestion des actifs obligatoire. Pour obtenir de plus amples renseignements sur la gestion des actifs de TI, consultez la publication Utilisation de la gestion des biens de technologies de l’information (GBTI) pour renforcer la cybersécurité (ITSM.10.004) (2023) du Centre canadien pour la cybersécurité.

2.3 Détection des vulnérabilités

La détection des vulnérabilités est un élément crucial de la GV et comprend la recherche de vulnérabilités au sein des réseaux sous la responsabilité du ministère. Les organisations acquièrent des connaissances sur les vulnérabilités en synthétisant des données provenant de multiples sources, comme l’analyse des vulnérabilités, les renseignements sur les menaces, les avis des fournisseurs, les essais de pénétration et le mécanisme coordonné de divulgation des vulnérabilités. L’intégration des flux de renseignements sur les menaces aide à demeurer au fait des nouvelles vulnérabilités et menaces, ce qui permet d’établir les priorités et de corriger les vulnérabilités de manière plus pratique. Les sources offrent des renseignements uniques qui fournissent collectivement une vue d’ensemble pour cerner les vulnérabilités.

Les organisations doivent effectuer des analyses des vulnérabilités régulières et automatisées afin de toujours cerner les vulnérabilités potentielles et les autres risques de sécurité dans leurs réseaux, conformément à la Directive sur la gestion de la sécurité. Les outils automatisés doivent être configurés pour exécuter des analyses à intervalles réguliers et lorsque d’importants changements sont apportés à l’infrastructure du réseau. Des données à jour sur la GV sont essentielles pour appuyer la gestion des cyberincidents, car elles permettent une évaluation précise des répercussions potentielles ou réelles d’un incident.

Les plateformes de GV commerciales ne peuvent généralement pas détecter les défauts des applications opérationnelles personnalisées ou des applications gouvernementales standard. Le cycle de vie de la gestion des risques pour ces applications devrait comprendre des évaluations régulières ciblées des vulnérabilités, des essais de pénétration et un processus coordonné de divulgation des vulnérabilités pour relever les lacunes logicielles et de configuration.

Les applications personnalisées reposent souvent sur des composants commerciaux standard ou de code source libre, des interfaces de programmation d’application, des progiciels ou des cadres. Les responsables d’applications doivent être au courant de ces dépendances, y compris l’utilisation d’une nomenclature logicielle et de documents sur l’architecture de la solution. Une nomenclature logicielle est un répertoire complet de tous les composants logiciels, y compris les bibliothèques, les outils et les processus utilisés dans le développement d’un produit logiciel. La nomenclature logicielle joue un rôle essentiel dans la GV en assurant la transparence de la chaîne d’approvisionnement des logiciels. Ainsi, les organisations peuvent repérer et évaluer rapidement les vulnérabilités potentielles. Lorsqu’elles sont jumelées à des outils d’analyse de la composition logicielle, les nomenclatures logicielles peuvent améliorer considérablement la sécurité en analysant les dépendances de code source libre pour repérer les vulnérabilités connues, les licences risquées et les logiciels malveillants.

2.4 Évaluation des risques liés aux vulnérabilités

Les organisations du GC doivent « analyser les incidences des vulnérabilités cernées, et mettre en œuvre des mesures correctives (par exemple appliquer des correctifs et des mises à jour, conformément aux échéances définies et, au besoin, en cas d’urgence). » (Source : Directive sur la gestion de la sécurité, annexe B, sous-section B.2.3.7.3.)

L’évaluation efficace des risques est la pierre angulaire de tout programme de GV puisqu’elle permet aux organisations d’établir l’ordre de priorité des activités d’atténuation visant à protéger la prestation continue des activités opérationnelles. Pour ce faire, la méthode clé à cet effet est un outil de calcul de l’évaluation des risques liés aux vulnérabilités qui devrait être conçu en fonction des principes qui suivent.

• Facteurs de risque clairement définis : les facteurs de risque doivent être clairement définis et être distincts les uns des autres. Parmi les exemples, on compte la facilité d’exploitation, l’exploitation active sur des réseaux, la présence sur les systèmes de TI appuyant les activités opérationnelles essentielles et si les vulnérabilités se trouvent dans des actifs de TI connectés à Internet. Il faut également indiquer si des mesures d’atténuation ou des contrôles compensatoires ont déjà été mis en œuvre pour chaque facteur.
• Grande valeur ajoutée à la détermination des risques : les facteurs de risque devraient ajouter une grande valeur à la détermination des risques.
• Guide d’évaluation non ambigu : un guide d’évaluation devrait expliquer dans un langage non ambigu la façon dont les différentes cotes sont évaluées pour chaque facteur de risque.
• Mécanisme d’évaluation transparent : le guide d’évaluation devrait également expliquer comment les cotes de chaque facteur de risque sont combinées pour en arriver à une cote de risque globale. Ce processus devrait être transparent, simple et facile à comprendre.

Une méthode d’évaluation des risques liés aux vulnérabilités devrait produire deux éléments d’analyse essentiels.

1. Cote de risque globale : indique le niveau de risque associé à un actif vulnérable.
2. Échéances d’atténuation : échéances précises d’atténuation liées aux cotes de risque, qui diminuent à mesure que le risque augmente. Ces échéances devraient correspondre à celles d’organisations semblables et être efficaces contre les vitesses d’exploitation connues des auteurs de menace, comme rapportées par les fournisseurs et les sources de renseignements.

Il existe de nombreuses façons d’effectuer une évaluation des risques. Par exemple, la Cybersecurity and Infrastructure Security Agency a publié la catégorisation des vulnérabilités propres aux intervenants (en anglais), qui constitue un exemple d’utilisation d’arbres décisionnels. Le calcul du risque moyen pondéré est une autre méthode d’évaluation. L’annexe C présente une approche d’évaluation des risques liés aux vulnérabilités fondée sur une cote de risque moyenne pondérée tenant compte des facteurs de risque suivants :

• cote de risque du fournisseur;
• cote technique liée aux vulnérabilités;
• maturité de l’exploitation;
• importance des actifs pour les auteurs de menace;
• importance des actifs pour les activités opérationnelles;
• exposition externe de l’actif.

Bien qu’il soit essentiel de respecter les échéances d’atténuation, des exceptions et des exemptions peuvent s’appliquer à la mise en œuvre de correctifs. Par rapport aux vulnérabilités pour lesquelles il n’existe aucun correctif, d’autres mesures d’atténuation (par exemple, la segmentation du réseau) ou des solutions de rechange temporaires (par exemple, désactiver la fonction vulnérable) peuvent servir de mesures provisoires. Quand il ne s’agit pas d’une vulnérabilité du jour zéro, d’autres mesures d’atténuation peuvent également être acceptables, mais elles ne doivent pas exposer l’organisation à des risques supplémentaires. Toute exception aux échéances d’atténuation établies doit être appuyée par une évaluation des risques confirmant que les mesures de rechange atténuent adéquatement le risque.

Dans certains cas, les responsables du risque peuvent décider d’accepter certains risques associés aux vulnérabilités. Un processus officiel d’acceptation des risques et un registre d’acceptation des risques sont cruciaux pour gérer les vulnérabilités qui ne peuvent être immédiatement atténuées. Ce processus consiste à documenter les cas où une organisation décide d’accepter les risques associés à une vulnérabilité donnée plutôt que d’immédiatement mettre en œuvre des mesures correctives. Le registre d’acceptation des risques doit contenir :

• la justification pour chaque décision d’acceptation, y compris une analyse de l’incidence par rapport au coût des mesures d’atténuation et s’il existe des mesures de contrôle en place qui atténuent partiellement le risque;
• les conditions dans lesquelles l’acceptation du risque sera examinée et potentiellement revue, comme les changements dans le contexte des menaces ou l’existence de stratégies d’atténuation plus efficaces.

Ce registre constitue un outil essentiel pour faire le suivi des risques acceptés au fil du temps, en veillant à ce qu’ils soient connus, justifiés et continuellement évalués par rapport à la situation de sécurité et à la tolérance au risque de l’organisation. Toute acceptation de risque doit inclure une date d’expiration de moins de 12 mois à compter de la date d’acceptation. Ce délai permet de nouvelles acceptations et des examens réguliers.

2.5 Activités d’atténuation

L’atténuation des vulnérabilités peut prendre plusieurs formes, selon la nature et la gravité des vulnérabilités, la complexité et le caractère essentiel du système vulnérable, et même l’existence d’un correctif. Bien que cela ne soit pas toujours possible, la méthode privilégiée consiste à mettre en œuvre le correctif fourni par le fournisseur ou à ajuster les paramètres de configuration pour corriger entièrement le problème.

2.6 Mesures, production de rapports et conformité

Un programme de GV devrait comprendre une surveillance et une amélioration continues pour maintenir la sécurité face aux menaces en constante évolution. Cette approche comprend l’utilisation d’outils et de techniques pour surveiller les systèmes, effectuer des évaluations régulières et mettre en œuvre des mises à jour et des correctifs en temps opportun. Les mesures doivent évaluer la couverture, l’efficacité, l’efficience et la conformité des activités de GV. La production de rapports réguliers sur les mesures permettra à l’organisation d’établir un point de référence en matière de rendement. Les mesures devraient être fondées sur des outils de gestion des services de TI afin que les vulnérabilités soient signalées et fassent l’objet d’un suivi aux fins d’atténuation. De plus, les mesures devraient être liées à un modèle de maturité de la GV afin de permettre une approche rationnelle et transparente de mesure la maturité du programme de GV. Les gestionnaires de programme peuvent utiliser les modèles de maturité pour cerner les domaines où le rendement souhaité est obtenu et ceux qui nécessitent des réformes et des investissements supplémentaires.

Les rapports et les tableaux de bord permettent d’assurer de manière continue la surveillance et l’évaluation de la conformité. Ces outils donnent à tout moment un aperçu de la situation de sécurité de l’organisation, ce qui permet de réagir rapidement aux nouvelles vulnérabilités et de respecter les exigences réglementaires.

Le tableau 2.2 présente des exemples de mesures.

2.7 Processus habilitants

La GV ne fonctionne pas en vase clos; elle repose sur un ensemble de processus de base qui fournissent une infrastructure et un soutien essentiels. Ces processus habilitants sont essentiels pour veiller à ce que les vulnérabilités soient détectées, évaluées et atténuées de façon systématique et efficace. Ils créent un cadre rigoureux qui améliore la situation de sécurité globale de l’organisation en intégrant divers aspects de la gestion des TI et de la sécurité.

La Stratégie intégrée de cybersécurité du GC – Annexe A MOSC décrit certains processus habilitants clés appuyant un programme de GV réussi. Elle souligne leurs objectifs et la façon dont ils contribuent à la détection, à l’ordre de priorité et à la correction des vulnérabilités. En comprenant et en mettant en œuvre ces processus, les organisations peuvent élaborer une approche complète et durable pour gérer les vulnérabilités et protéger leurs actifs.

• Gestion du changement : la gestion du changement permet la gestion systématique de tous les changements apportés aux systèmes de TI grâce à la mise en œuvre de politiques et d’outils permettant de faire le suivi des changements et de les consigner.
• Gestion des correctifs : la gestion des correctifs permet de corriger les vulnérabilités logicielles et matérielles au moyen de correctifs opportuns qui sont régulièrement revus et mis en œuvre au moyen d’outils automatisés.
• Gestion de la configuration : la gestion de la configuration permet d’assurer la sécurité des configurations des systèmes de TI au moyen d’outils permettant d’appliquer les paramètres sécurisés et de mettre régulièrement à jour les configurations.
• Gestion des accès : la gestion des accès permet de contrôler l’accès aux systèmes de TI. Elle empêche tout accès non autorisé au moyen de l’authentification multifacteur et de contrôles d’accès fondés sur les rôles.
• Renseignements sur les menaces : les renseignements sur les menaces permettent de rester au courant des nouvelles menaces et vulnérabilités grâce à l’intégration des sources de renseignements sur les menaces et à l’examen régulier des rapports.
• Gestion des fournisseurs : la gestion des fournisseurs garantit la conformité des fournisseurs tiers aux normes de sécurité grâce aux évaluations régulières de sécurité et à l’ajout d’exigences en matière de sécurité dans les contrats.
• Audits et conformité : les audits et la conformité permettent d’assurer la conformité de l’organisation aux règlements et aux normes en matière de sécurité grâce à la réalisation d’audits réguliers et à la correction des lacunes en matière de conformité.
• Activités de sensibilisation et de formation : les activités de sensibilisation et de formation permettent de sensibiliser les employés à la GV et aux pratiques exemplaires en matière de sécurité grâce à l’élaboration d’un programme de formation, à la tenue de séances régulières et à l’offre de formation propre aux postes.

Pour obtenir de plus amples renseignements, consultez la Stratégie intégrée de cybersécurité du GC – Annexe A MOSC.

2.8 Considérations technologiques

Pour obtenir des renseignements détaillés sur les options technologiques et les capacités des plateformes d’identification des vulnérabilités, consultez le document sur l’amélioration des correctifs d’entreprise pour les systèmes de TI généraux : mieux utiliser les processus et les outils existants (NIST SP 1800‑31) (en anglais), 1800‑31B (avril 2022).

Liste de contrôle pour la gestion des vulnérabilités

C‑1 : processus

Les étapes suivantes doivent être suivies lors de l’utilisation de l’outil.

1. Évaluer chaque facteur de risque.
2. Additionner les notes (total de 50 points).
3. Déterminer où la note se situe dans la matrice de risques pour les délais de mise à l’essai et de correction.

Les éléments suivants doivent être pris en compte lors de l’utilisation de l’outil.

• Une expertise spécialisée est requise pour évaluer les facteurs.
• Si un facteur ne peut pas être évalué, il faut calculer la somme des autres notes en tant que pourcentage de points disponibles et catégoriser comme suit :
  • rouge = 80 % à 100 %;
  • orange = 60 % à 79 %;
  • jaune = 40 % à 59 %;
  • vert = 1 % à 39 %.

C‑2 : facteurs de risque

Le tableau C.1 présente les facteurs de risque.

C‑3 : guides d’évaluation des facteurs de risque

La section suivante présente des guides d’évaluation pour plusieurs facteurs de risque. Comme indiqué dans le tableau C.1, la cote de risque du fournisseur et la cote de base du Système commun de notation des vulnérabilités sont fournies par le fournisseur et la National Vulnerability Database.

C‑4 : matrice de risques

Le tableau C.6 présente les délais recommandés pour la mise à l’essai et la correction des vulnérabilités détectées.