Architecture des risques, des contrôles et des données probantes
Gouverner, identifier, protéger, détecter, répondre et rétablir doivent se traduire par des contrôles attribués, des données probantes mesurables et des décisions sur le risque résiduel, et non par une affirmation de conformité indifférenciée.
- 01
Familles de contrôles touchant les actifs, l’identité, l’accès, la configuration, la journalisation, les incidents, la continuité et la chaîne d’approvisionnement
- 02
Gouvernance de l’IA selon les fonctions Govern, Map, Measure et Manage, avec des données probantes sur la validité, la fiabilité, la sûreté, la sécurité, la transparence, l’explicabilité, la confidentialité et l’équité
- 03
Héritage des contrôles, responsabilité propre au système, résultat d’évaluation, exception, responsable de la correction, risque résiduel et dossier d’autorisation
- DONNÉES PROBANTES ACTUELLES
- Les en-têtes de sécurité du site, la validation de l’origine, les entrées bornées, la limitation du débit, un contenu de politiques prêt pour l’audit et les essais en production ne constituent que l’ensemble des données probantes de la surface publique.
- LIMITE D’AFFIRMATION ET D’AUTORISATION
- FedRAMP, FISMA, une autorisation RMF, CMMC, les niveaux d’impact IL4 et IL5, une validation FIPS ou une autorisation d’exploitation (ATO) exigent une portée définie, des composants validés, des évaluateurs et un responsable de l’autorisation.
- RESPONSABLE DE LA CLÔTURE
- Sécurité et autorité d’autorisation du programme