Protéger le compte racine ou des administrateurs généraux

Objectif

Protégez le compte racine ou principal utilisé pour établir le service d’informatique en nuage.

Principales considérations

• [ ] Mettre en œuvre un mécanisme d’authentification multifacteur (MFA) pour le compte racine ou principal.
• [ ] Consigner une procédure d’urgence de gestion des comptes en cas de bris de verre. Y compris les noms des utilisateurs ayant accès au compte racine ou principal.
• [ ] Obtenir la signature du dirigeant principal de l’information (DPI) et du dirigeant principal de la sécurité (DPS) pour confirmer la reconnaissance et l’approbation des procédures d’urgence de gestion des comptes en cas de bris de verre.
• [ ] Mettre en œuvre un mécanisme pour l’application des autorisations d’accès.
• [ ] Configurez les alertes appropriées sur les comptes racine ou principaux pour détecter un compromis possible, conformément à Orientation sur la consignation des événements du GC.

Validation

• [ ] Confirmer que la stratégie de MFA est activée au moyen des captures d’écran et des rapports de conformité.
• [ ] Confirmer qu’une lettre d’attestation de la procédure d’urgence en cas de bris de verre a été signée par le DPI et le DPS du ministère.

Autres considérations

• [ ] Exploiter les services organisationnels comme le Système de contrôle d’accès administratif (SCAA) pour la gestion des accès privilégiés (GAP), le contrôle d’accès basé sur les attributs (CABA).

Modèles de service applicables

• IaaS, PaaS, SaaS

Références

1. AMOPS 2017-01, section 6.2.3
2. Les 10 meilleures mesures de sécurité des TI du CST, numéro 3.
3. Voir les Recommandations pour l’authentification de l’utilisateur à deux facteurs au sein du domaine opérationnel du gouvernement du Canada
4. Voir le modèle d’une procédure d’urgence de gestion des comptes en cas de bris de verre.
5. Consulter l’Orientation sur la consignation des événements du GC.
6. Mesures de sécurité connexes : AC-2, AC-2(1), AC-3, AC-5, AC-6, AC-6(5), AC-6(10), AC-7, AC-9, AC-19, AC-20(3), IA-2, IA-2(1), IA-2(2), IA-2(11), IA-4, IA-5, IA-5(1), IA-5(6), IA-5(7), IA-5(13), IA-6, IA-8.