Le nouvelle norme ISO/IEC 27001:2022

Je n'écris plus sur ISO 27001 depuis 2021 lorsque j'ai écrit un article sur les meilleures pratiques de cybersécurité. J'ai également écrit sur les directives de sécurité pour l'Union européenne en 2016 ainsi que sur PCI-DSS vs ISO 27001 et ENS vs ISO 27001. Aujourd'hui, j'aimerais écrire sur la nouvelle norme ISO/IEC 27001:2022 parce que je pense que c'est vraiment intéressant de savoir quelle est la nouvelle structure de cette norme internationale qui est suivie par de nombreuses entreprises soucieuses de la sécurité de l'information.

La nouvelle structure reflète la structure d'autres nouvelles normes de gestion, telles que ISO 9000, ISO 20000 et ISO 22301, qui aident les organisations à se conformer à diverses normes. Les changements survenus dans l'industrie avec l'apparition du NIST Cybersecurity Framework (CSF) dont l'objectif était de protéger l'infrastructure critique qui prend en charge les services essentiels des États-Unis, les propositions de cybersécurité de l'Union européenne reflétées dans divers documents de l'ENISA et les mises à jour qui ont eu lieu dans d'autres meilleures pratiques telles que ITIL et COBIT -au cours de 2019- et PCI, ont également influencé la nécessité d'actualiser le contenu de cette norme.

La nouvelle ISO 27001:2022 comporte 93 contrôles en 4 groupes ou types de contrôles contre 114 contrôles en 14 clauses dans la version 2013. Ajout de 11 nouveaux contrôles (Threat Intelligence, Information security for use of cloud services, ICT readiness for business continuity, Physical security monitoring, Configuration management, Information Deletion, Data masking, Data leakage prevention, Monitoring activities, Web Filtering, Secure Coding). Un contrôle a été supprimé (suppression d'actifs). De plus, 58 contrôles ont été mis à jour et 24 contrôles ont été fusionnés.

Par conséquent, la nouvelle version apporte avec elle des changements importants, le plus représentatif étant: Le changement de nom, incorporation de nouveaux termes et définitions, la nouvelle structure des sujets de sécurité de l'information, La nouvelle structure d'attributs des contrôles, et évolution des contrôles depuis la version ISO 27002:2013.

Un changement radical par rapport à la version précédente est la restructuration des 14 domaines de contrôle définis dans l'ISO 27002:2013 autour de 4 grands thèmes: Chapitre 5 : Contrôles organisationnels (37 contrôles), Chapitre 6 : Contrôles des personnes (8 contrôles), Chapitre 7 : Contrôles physiques (14 contrôles), et Chapitre 8 : Contrôles technologiques (34 contrôles). Cette classification des fonctions est beaucoup plus simple que celle fournie par la version 2013 de la norme, qui est beaucoup plus orientée vers le contexte d'application du contrôle (organisationnel, humain, physique et technologique).

Enfin, comme je dis toujours que tous les ingénieurs réseau devraient passer la certification CCNA car c'est la base de la mise en réseau, je dis aussi que tous les ingénieurs en sécurité devraient connaître la norme ISO 27001 pour connaître les contrôles de sécurité, les procédures de sécurité et les mesures de sécurité.

Á bientôt!

Défense d’un rapport d’expert

Le travail d'un expert ne s'arrête pas à la préparation du rapport d'expertise. Habituellement, nous devrons défendre ce qui y est reflété devant le tribunal correspondant, où des éclaircissements et la présentation des conclusions contenues dans le rapport seront demandées. C'est un élément fondamental car tout le travail effectué sur le rapport peut être perdu en raison d'une mauvaise défense, nous devons donc réagir de manière appropriée.

En ce sens, il est important de se rappeler que nous sommes les experts et qu'en tant que tels, nous avons été appelés. Il est important de le souligner car nous sommes probablement ceux qui ont le plus de connaissances technologiques, donc notre défense doit simplement être basée sur nos connaissances antérieures et notre travail effectué, sans devenir nerveux puisque nous devons avoir fait le travail auparavant et maintenant nous venons de le montrer et de le défendre.

Dans de nombreux cas, ce ne sera pas un lit de roses puisque évidemment notre rapport sera généralement défavorable à l'une des parties et cela tentera d'invalider nos arguments, mais si nous sommes sûrs de la qualité du travail que nous avons précédemment développé , nous n'avons pas à en avoir peur.

Certes, l'autre partie peut également présenter son propre expert avec d'autres conclusions différentes des nôtres. Dans ce cas, nous devons essayer de nous documenter sur l'autre rapport et réfuter ses conclusions avec les nôtres.

Dans les cas où les questions vont au-delà du fait étudié en question, nous devons "ne pas entrer pour savoir" c'est-à-dire justifier que nous ne pouvons pas répondre à cela parce que ce n'est pas l'objet de notre travail ou qu'il ne nous a pas été présenté auparavant dans le cadre du travail que nous devions faire.

En tout cas, de la même manière que la pratique rend maîtres dans l'analyse et la rédaction ultérieure du rapport, l'expérience est également un degré très important pour une défense correcte, une compétence que nous devons acquérir progressivement.

En plus de tout ce qui est mentionné, il est possible que dans des cas très complexes ou dans des études dont l'explication peut devenir difficile avec des mots seuls, un soutien lors de notre intervention dans des présentations ou des vidéos qui nous permettent d'expliquer l'objet de l'étude de manière plus claire et concise.

Avez-vous déjà défendre un rapport d’expertise ?

F5 rSeries - l'appareil de nouvelle génération

Aujourd'hui, je vais vous écrire à propos des platesformes hardware Next Generation rSeries de F5. Je vais présenter les rSeries et le logiciel F5OS qui s'exécute sur les platesformes rSeries. Le rSeries est la solution basée sur l'appareil de nouvelle génération de F5 qui remplace les iSeries actuelles. Les platesformes rSeries présentent de nombreux avantages par rapport à l'architecture iSeries actuelle.

Une différence majeure est l'introduction d'une nouvelle couche de plateforme basée sur Kubernetes appelée F5OS qui permet de nouvelles fonctionnalités intéressantes. F5OS exploite une architecture de microservices avec un cadre kubernetes sous-jacent pour la gestion qui est abstraite de l'administrateur. La couche plateforme comprend les paramètres système et réseau de base ainsi que les licences. La rSeries dispose de FPGA et de CPU plus modernes pour aider à fournir une accélération hardware et des capacités de déchargement cryptographiques plus avancées.

 

Architecture de F5OS

Il est important de noter que les appareils rSeries sont multi-locataires par défaut. La nouvelle couche de plateforme F5OS permet à rSeries d'exécuter différents types de locataires au sein de la même appareil. Un locataire est conceptuellement similaire à un invité vCMP exécuté sur les platesformes VIPRION ou iSeries. Actuellement, le rSeries pourra exécuter des locataires TMOS ou BIG-IP. Un support futur est prévu pour exécuter les locataires BIG-IP Next de nouvelle génération. Chaque locataire TMOS fonctionnera comme une machine virtuelle via une technologie qui permet aux machines virtuelles de fonctionner sur une architecture conteneurisée. À l'avenir, lorsque les locataires Next Generation BIG-IP Next seront pris en charge sur rSeries, ces locataires s'exécuteront dans leur mode conteneurisé natif et non en tant que VM. Ils pourront fonctionner côte à côte sur le même appareil. De plus, les appareils rSeries sont livrées avec une API F5OS entièrement automatisable et une chaîne d'outils d'automatisation. Les locataires fonctionnant sur F5OS peuvent être gérés comme s'ils étaient des platesformes précédentes.

 

F5OS et locataires

Enfin, les appareils rSeries se déclinent en quatre variantes principales. Les modèles r10000, r5000, r4000 et r2000. Le modèle r10000 haut de gamme et les modèles r5000 de milieu de gamme bénéficient d'un support FPGA étendu. Les modèles r4000 et r2000 n'incluent pas de FPGA pour le déchargement hardware et exécutent plutôt ces fonctions dans un logiciel avec un déchargement spécialisé. En tant qu'appareil, les systèmes F5 rSeries n'ont pas de contrôleurs système et de lames, par conséquent, il n'y a pas de concept de châssis et de partition dans un système F5 rSeries.

Avez-vous de l'expérience avec les appliances rSeries de nouvelle génération ?

Rédiger un rapport d’expertise

Je suis en train d'écrire en rapport d'expertise pour clarifier les questions et les sujets soulevés par un client (c'est un avocat) qui veut prouver l'innocence d'une personne après avoir quitté une entreprise. Donc, je vais écrire quelques points très intéressants que nous devons garder à l'esprit lorsque nous écrivons un rapport d'expertise.

L'avis sera lu par des personnes peu familières avec le sujet, il doit donc être expliqué de manière simple et sans termes techniques (dans les cas où ils sont nécessaires, ils seront expliqués au préalable ou un glossaire des termes sera créé) mais il doit être rigoureux pour que si un expert le lit, il ne tombe pas non plus dans le trivial, en n'utilisant pas d'exemples trop enfantins pour illustrer nos actions.

Pas une page de plus que nécessaire, un rapport très volumineux décourage la lecture. Nous ne devons pas commettre l'erreur de considérer que plus nous fournirons d'informations, plus notre rapport sera fondé. Souvent, ce n'est pas le cas. Dans tous les cas, si nous voulons fournir plus de documentation, nous devons utiliser des annexes afin que le document soit autonome et que sa lecture soit suffisante pour tirer les conclusions appropriées et que les annexes servent à étoffer l'information.

Toutes les actions et procédures utilisées doivent être fondées sur l'expérience, mais lorsqu'il s'agit de les justifier, nous devons nous appuyer sur la théorie et une bibliographie qualifiée. Bien entendu, les références à des pages Web, des blogs ou d'autres types de services dont la fiabilité peut être mise en doute ne doivent jamais être utilisées.

L'expert doit justifier les faits sur lesquels se fondent son avis et ses conclusions, lesquels doivent toujours être justifiés par les travaux effectués. Les jugements de valeur non fondés ne doivent pas être portés et le ton de l'ensemble du document doit toujours être celui de l'impartialité et de la rigueur technique.

Malgré le fait que l'expertise puisse être considérée par le juge ou le tribunal comme un moyen de preuve, il faut souligner que l'expert judiciaire ne prouve rien, il ne fournit au juge qu'une base scientifique ou technique. L'expertise est appréciée par le tribunal selon les règles de la saine critique. De plus, un rapport d'expertise, sauf situation très exceptionnelle, ne constitue pas une preuve évaluable par le tribunal s'il n'est pas entériné lors d'un procès oral.

Avez-vous déjà écrit un rapport d’expertise ?