Définition des exigences d’un contrôle au niveau de l’objectif de contrôle
Vous pouvez décomposer un contrôle à un niveau plus granulaire en exigences lorsque vous générez le contrôle au niveau de l’objectif du contrôle.
- Évaluateur des contrôles de sécurité (SCA) : évaluer chaque exigence du contrôle individuellement s’il y a différents aspects dans les tests de contrôle.
- Officiel d’autorisation (AO), officier de sécurité du système d’information (ISSO) et responsable de la sécurité du système d’information (ISSM) : Comprendre l’exigence qui a échoué, qui a conduit à la non-conformité du contrôle, au lieu d’évaluer l’échec du contrôle dans son ensemble.
- Répondant d’attestation identifié pour un contrôle : Répondre au niveau des exigences de contrôle, c’est-à-dire à un niveau plus granulaire, plutôt qu’au niveau du contrôle.
En tant qu’utilisateur CAM , vous pouvez décomposer les contrôles pour contrôler les exigences, gérer les exigences plus efficacement, les attester individuellement et faire autoriser le package. Vous pouvez également définir les exigences et les créer au niveau de l’objectif de contrôle lorsque des contrôles sont générés.
Pour plus de détails, voir Détails du besoin de contrôle dans la CAM vue des objectifs de contrôle et des formulaires de contrôle.
Création du contenu NIST à partir de la description des objectifs de contrôle en tant qu’exigences de contrôle
Il système de base expédie aux utilisateurs les exigences de contrôle générées par les objectifs CAM de contrôle NIST 800-53 révision 5. Le champ Description du formulaire Objectif de contrôle répertorie les besoins divisés en sous-points avec des sous-numéros. La référence de l’objectif de contrôle est associée à chaque sous-numéro ou à la clause dans le champ Description et référencée comme numéro d’exigence dans l’exigence d’objectif de contrôle. Par exemple, si la référence à l’objectif de contrôle est IR-9 et que la description de l’objectif de contrôle commence par un sous-numéro (a.), les deux sont regroupés pour générer la première exigence d’objectif de contrôle en tant que IR-9.a, avec d’autres sous-numéros ajoutés si disponibles. Par conséquent, s’il y a environ sept sous-descriptions, sept exigences de contrôle sont générées.