Elle s'applique aux sites appartenant à l'organisation, aux installations de colocation et à l'infrastructure exploitée par un fournisseur, avec des responsabilités réparties selon la propriété, les contrats, l'architecture du service et l'accès à chaque couche.
La protection combine des mesures physiques et environnementales avec le contrôle d'accès logique, la configuration sécurisée, la supervision, la maintenance, la protection des données et l'ingénierie de continuité. Les dépendances telles que l'alimentation, le refroidissement, la connectivité, la protection incendie, le personnel et les fournisseurs doivent être incluses dans l'analyse de risque et de résilience même lorsqu'elles se situent en dehors de la frontière de contrôle direct de l'organisation.
Points clés
Protéger l'installationConsigner l'accès physique, gérer visiteurs et maintenance, sécuriser racks et supports, superviser les conditions environnementales et coordonner les procédures d'approvisionnement et d'urgence avec les exigences de sécurité des personnes.
Protéger systèmes et administrationInventorier les actifs, isoler les chemins de gestion, exiger une authentification d'administration forte, segmenter les réseaux, durcir et mettre à jour les plateformes, protéger firmware et identifiants, chiffrer les données sensibles et superviser l'activité du plan de contrôle.
Ingénierer la récupérabilitéConcevoir une redondance appropriée, diversifier les dépendances critiques lorsque c'est justifié, protéger les sauvegardes, tester restauration et basculement, planifier capacité et pièces de rechange, et attribuer l'autorité de réponse entre propriétaires et fournisseurs.
Limite importanteUne installation sûre ou un fournisseur certifié ne rend pas sûres les applications, identités, configurations ou données hébergées. La redondance n'est pas une sauvegarde, et une infrastructure partagée, une compromission du plan de contrôle, des erreurs du client et des défaillances corrélées d'approvisionnement ou de fournisseur peuvent franchir les frontières conçues.