Conformité et GRC pour les municipalités américaines

De quels cadres de conformité les municipalités américaines ont-elles besoin?

Cela dépend de ce que fait l’administration locale, mais l’ensemble courant comprend NIST SP 800-53 comme base de contrôles, la politique de sécurité CJIS du FBI pour tout système qui touche des renseignements de justice pénale, la publication 1075 de l’IRS lorsque des renseignements fiscaux fédéraux sont traités, GovRAMP pour les services infonuagiques vendus aux administrations d’État et locales, et les exigences de cybersécurité AWIA pour les réseaux d’eau communautaires. La plupart s’alignent aussi sur le CSF du NIST et les CIS Controls. Lavawall met chacun en correspondance avec les contrôles techniques qu’il exécute et tient les preuves à jour.

Qu’est-ce que la conformité à la politique de sécurité CJIS?

La politique de sécurité CJIS du FBI établit les exigences de sécurité que tout organisme ou fournisseur doit respecter pour accéder aux renseignements de justice pénale (CJI), notamment en matière de contrôle des accès, de chiffrement, d’audit, de réponse aux incidents et de vérification du personnel, et elle s’harmonise de plus en plus avec NIST SP 800-53. Les services de police, ainsi que les équipes TI et les fournisseurs infonuagiques qui les soutiennent, sont tous visés. Lavawall aide une municipalité à s’évaluer selon CJIS et à produire les preuves que demandent les auditeurs.

Qu’est-ce que la publication 1075 de l’IRS (renseignements fiscaux fédéraux)?

La publication 1075 de l’IRS établit les mesures de protection que les organismes doivent appliquer lorsqu’ils reçoivent des renseignements fiscaux fédéraux (FTI), par exemple dans des programmes d’impôt, de prestations ou de recouvrement. Elle s’inspire largement des contrôles NIST SP 800-53, auxquels s’ajoutent des règles précises de traitement, de journalisation et de déclaration. Lavawall met la publication 1075 en correspondance avec les contrôles qu’il surveille afin qu’un organisme puisse démontrer que les FTI sont protégés et rester prêt pour un examen des mesures de protection.

Qu’est-ce que GovRAMP, et quand une municipalité en a-t-elle besoin?

GovRAMP est un programme normalisé d’évaluation et d’autorisation de la sécurité pour les produits infonuagiques vendus aux administrations d’État et locales américaines, un peu comme FedRAMP l’est pour le fédéral. Les municipalités y sont confrontées lorsqu’elles acquièrent des services infonuagiques, et les fournisseurs en ont besoin pour vendre sur ce marché. Lavawall aide un fournisseur ou une équipe interne à se mettre en correspondance avec la base de référence GovRAMP et à conserver des preuves continues plutôt qu’un instantané ponctuel.

Qu’exige l’AWIA pour les réseaux d’eau potable et d’eaux usées?

L’America’s Water Infrastructure Act oblige les réseaux d’eau communautaires à évaluer leurs risques et leur résilience, y compris en cybersécurité, et à maintenir des plans d’intervention d’urgence. De nombreux services d’eau potable et d’eaux usées sont municipaux; cette obligation retombe donc sur les TI et les opérations de l’administration locale. Lavawall met le volet cybersécurité en correspondance avec des contrôles concrets, les surveille et conserve les preuves qu’exigera un examen.

NIST SP 800-53 s’applique-t-il aux administrations locales?

Souvent, oui. NIST SP 800-53 est le catalogue fédéral de contrôles, mais il sert largement de base aux exigences des États et des administrations locales, à CJIS et à la publication 1075 de l’IRS, et de nombreuses municipalités l’adoptent directement. Lavawall prend en charge NIST 800-53 à ses niveaux de référence (faible, modéré, élevé) et met les contrôles en correspondance avec ce qu’il exécute déjà, de sorte qu’une ville ou un comté peut s’évaluer et prouver sa conformité à partir d’une seule console.

Couvrez-vous aussi les municipalités canadiennes?

Oui. Les villes et les municipalités canadiennes utilisent un ensemble différent, notamment la LAIMPVP de l’Ontario (telle que modifiée par le projet de loi 194), la Protection of Privacy Act de l’Alberta et les bases de référence canadiennes en sécurité. Consultez notre page GRC pour les municipalités pour cet ensemble.

Où nos données sont-elles hébergées, et restent-elles aux États-Unis?

L’hébergement résidant aux États-Unis est offert sur demande aux municipalités américaines, de sorte que vos données peuvent rester aux États-Unis. C’est important, car des cadres comme la politique de sécurité CJIS et la publication 1075 de l’IRS restreignent l’endroit où les données réglementées (renseignements de justice pénale et renseignements fiscaux fédéraux) peuvent être stockées et les personnes qui peuvent y accéder. Informez-vous de l’hébergement résidant aux États-Unis lorsque vous communiquerez avec nous et nous le mettrons en place pour votre organisation.