Afficher les détails du package dans CAM Espace de travail

Utilisez la page de vue d’ensemble du package d’autorisation pour afficher les documents et les preuves qui vous aident à évaluer la posture de sécurité de votre organisation.

Avant de commencer

Rôle requis :

• sn_irm_cont_auth.authorization_official
• sn_irm_cont_auth.propriétaire_information
• sn_irm_cont_auth.info_system_sec_manager
• sn_irm_cont_auth.info_system_sec_officer
• sn_irm_cont_auth.sec_control_assessor
• sn_irm_cont_auth.propriétaire_système
• sn_irm_cont_auth.planificateur
• sn_irm_cont_auth.utilisateur_système
• sn_irm_cont_auth.admin
• sn_irm_cont_auth.lecture_exécutive

Procédure

1. Accédez à la Tous > Espace de travail CAM.
2. Pour accéder à la page Listes, sélectionnez l’icône Listes (icône ).
3. Dans les packages d’autorisation de la liste RMF, sélectionnez un enregistrement de package d’autorisation.
   Le composant d’exécution pas à pas affiche l’état actuel du package et la feuille de route pour atteindre l’état de surveillance.

   

   Résumé de la conformité

   Affiche le nombre total de contrôles contenus dans ce package. Le nombre de répartitions du contrôle hérité et des contrôles non applicables du package est également affiché. Les contrôles implémentés contiennent le pourcentage de contrôles à l’état Surveillé.

   Remarque :

   • Vous ne pouvez pas déplacer des objectifs de contrôle avec le même ID de référence de la liste des contrôles de la base de référence vers les contrôles non applicables.
   • Lorsque vous sélectionnez deux objectifs de contrôle avec le même ID de référence dans la liste des contrôles non applicables , l’action Revenir aux contrôles de la base de référence est désactivée.
   • Vous ne pouvez pas déplacer les objectifs de contrôle avec le même ID de référence des contrôles de la base de référence vers les contrôles non applicables, ou des contrôles non applicables vers les contrôles de la ligne de base.

   Allocation de contrôle

   Contrôles regroupés par famille et classés comme spécifiques au système et hybrides.

   Vue d'ensemble

   Affiche le nombre total de contrôles, de tests de contrôle et de POA&M ainsi que leur état.

   Détails

   Détails plus granulaires des contrôles dans le widget des exigences de contrôle, détails des tests de contrôle dans le widget des procédures d’évaluation.

   Dans l’onglet Détails , lorsque le package d’autorisation passe à l’étape Autoriser , vous pouvez afficher les détails suivants :

   • Prochaine date d’autorisation : cette date est générée lorsque le package d’autorisation passe à l’étape Autoriser. La prochaine date d’autorisation sera définie sur trois ans à compter de la date à laquelle le package est déplacé vers cette étape.
   • Date du prochain engagement : la date du prochain engagement est préremplie en fonction du nombre de jours définis sur la page Propriétés système . Pour plus d'informations, consultez Propriétés système de Autorisation et surveillance en continu.

     À cette date, un nouvel engagement est créé avec les contrôles, les plans de test reportés des engagements précédents et les nouveaux tests de contrôle et procédures d’évaluation associés.

4. Sélectionnez l’icône de barre latérale (icône ).
   La section Détails en surbrillance affiche :

   • L’état du système sensible à la confidentialité du package.
   • Le lien vers la limite, s’il est sélectionné, vous aide à accéder à la limite d’autorisation à laquelle ce package est associé.
   • La carte Impact affiche l’état de confidentialité, d’intégrité et de disponibilité du package, sur la base duquel l’impact du package est déterminé.
   • Les utilisateurs qui ont un rôle clé à jouer dans la mise à jour du package d’autorisation sont également répertoriés.
5. Pour visualiser la relation entre le package d’autorisation sélectionné et tous ses objets associés dans une visualisation distincte, sélectionnez Vue à 360°.
   La vue à 360° est ajoutée dans les pages Vue d’ensemble de Limite d’autorisation, Package d’autorisation, Contrôle, Objectif de contrôle, Superpositions de contrôle, Test de contrôle, Modèle de test, Plan de test, Engagements, ainsi que dans les pages Détails d’Indicateur, Modèle d’indicateur et POA&M.

   

6. Sélectionnez Générer un SSP pour générer un plan de sécurité du système (SSP).
   Vous pouvez également générer des rapports d’artefacts ATO tels que le rapport d’évaluation de sécurité (SAR) et le plan d’actions et de jalons (POA&M) en sélectionnant l’icône Actions supplémentaires (icône ).

   Pour plus d’informations sur CAM les artefacts ATO, reportez-vous à la section Artefacts ATO pour un package d’autorisation.

7. Pour générer un SSP OSCAL, sélectionnez l’option Exporter OSCAL SSP à partir de l’icône Actions supplémentaires (icône ).
   Pour plus d'informations, consultez Exporter au format OSCAL et Exporter OSCAL SSP.
8. Pour passer à l’étape précédente du package d’autorisation et mettre à jour les détails, sélectionnez l’option Retour à l’étape précédente à partir de l’icône Actions supplémentaires (icône ).
   Toutes les actions effectuées lorsque vous êtes passé à l’état actuel sont annulées si vous choisissez l’action Retour à l’étape précédente . Par exemple, si le package est à l’état Implémenter, lorsqu’il revient à l’état Sélectionner, tous les contrôles existants générés sont mis hors service. Dans l’état Sélectionner, vous pouvez revoir les contrôles de la base de référence et prendre les mesures nécessaires, le cas échéant. Toutefois, cette opération ne peut être effectuée que par un Autorisation et surveillance en continu administrateur (sn_irm_cont_auth.admin).
9. Pour afficher les contrôles associés au package d’autorisation, sélectionnez la liste connexe Contrôles .
   1. Sélectionnez un contrôle dans la liste.
      Dans l’application Autorisation et surveillance en continu , vous pouvez afficher la catégorie d’allocation du contrôle dans l’en-tête de la page Vue d’ensemble du contrôle. L’allocation des contrôles est soit spécifique au système, soit hybride.
   2. Sélectionnez l’icône de barre latérale ( ) pour afficher les détails de référence NIST.
   3. Sélectionnez la liste connexe Détails .
      La famille à laquelle appartient l’objectif du contrôle peut être connue par les champs Famille et ID de famille . Ces champs sont en lecture seule dans le formulaire Contrôle.

      La liste d’allocation de contrôle de la page de vue d’ensemble du package d’autorisation affiche les contrôles regroupés par familles, séparés en systèmes spécifiques et hybrides.

10. Sélectionnez Ajouter, sélectionnez les contrôles que vous souhaitez ajouter, puis sélectionnez Ajouter pour ajouter les objectifs de contrôle sélectionnés aux contrôles de base de référence.
    Remarque :

    Lors de l’ajout d’objectifs de contrôle, vous ne pouvez pas sélectionner plusieurs objectifs de contrôle avec le même ID de référence à ajouter aux contrôles de base de référence. Vous ne pouvez pas ajouter un objectif de contrôle si son ID de référence existe déjà dans la liste des contrôles de la base de référence.
11. Pour hériter des exigences d’un contrôle de base de référence, sélectionnez un seul objectif de contrôle dans l’onglet Contrôles de la base de référence .
    Vous devez avoir une exigence auto-implémentée et les exigences restantes peuvent être héritées de fournisseurs de contrôle communs.

    Le package doit être dans l’état Sélectionner. Seuls les fournisseurs de contrôle communs avec des exigences de contrôle peuvent être utilisés pour créer des contrôles hybrides.

    1. Sélectionnez Créer un hybride.
       La fenêtre contextuelle Créer un contrôle hybride répertorie les packages dans des groupes.

       

    2. Entrez un package dans le champ (facultatif) du package d’autorisation .
       Vous pouvez entrer tous les packages dont vous avez besoin, parmi lesquels vous pouvez sélectionner les exigences.
    3. Sélectionnez les exigences dans les groupes de packages, laissant une ou plusieurs exigences d’auto-implémentation pour ce contrôle.
       Vous créez un contrôle hybride, pour lequel l’exigence est héritée du package que vous avez sélectionné.
    4. Sélectionnez Ajouter.
12. Pour accéder à l’objectif de contrôle associé, sélectionnez le lien vers l’objectif de contrôle dans la barre latérale.
    La référence pour l’objectif du contrôle, approvisionnée par NIST, est capturée en tant qu’ID source dans l’en-tête de l’objectif du contrôle.

    Les contrôles sont regroupés en tant que famille et abrégés avec un ID défini comme ID de famille. Ces champs sont modifiables et vous aident à identifier le groupe auquel le contrôle appartient et sont utilisés dans la section Allocation de contrôle à des fins de reporting. Le contenu de la famille et de l’identifiant familial est mis à jour sur la base de la norme NIST 800-53. Pour plus d'informations, consultez Vue des détails du besoin de contrôle.

    1. Sélectionnez la liste connexe Objectifs de contrôle connexes.
       Tous les objectifs de contrôle qui ont un impact sur l’implémentation du package mais appartiennent à différentes familles sont regroupés en Objectifs de contrôle connexes. Ces objectifs de contrôle proviennent du NIST. Tous les contrôles associés dans un package basés sur les objectifs de contrôle mappés sont liés en tant qu’objectifs de contrôle connexes.

       La liste connexe des contrôles associés contient des contrôles de l’objectif du contrôle connexe avec la même entité.

    2. Pour ajouter des objectifs de contrôle connexes, sélectionnez Ajouter.
    3. Sélectionnez les objectifs de contrôle et sélectionnez Ajouter.
       La liste affiche les objectifs de contrôle qui ne sont pas déjà ajoutés à la liste des objectifs de contrôle connexes du package.

• Appliquer des superpositions aux contrôles de la base de référence
  Vous pouvez inclure des superpositions aux objectifs de contrôle de référence dans le package d’autorisation à l’aide d’un ajout, d’une soustraction ou d’une action personnalisée.