ANNEXE SÉCURITÉ

    1. CONTRÔLE D’ACCÈS LOGIQUE
      1. Accès
        1. Riskonnect refuse par défaut tout accès aux systèmes d’information et aux ressources. L’accès est accordé sur demande pour des besoins professionnels spécifiques, conformément aux principes du moindre privilège et de la séparation des tâches. Riskonnect contrôle l’utilisation des privilèges administratifs en suivant, en prévenant et en corrigeant l’utilisation, l’attribution et la configuration des privilèges administratifs sur les ordinateurs, les réseaux et les applications par le biais d’un processus formel de recertification des accès.
        2. Riskonnect maintient des restrictions d’utilisation appropriées et des exigences de configuration/connexion pour l’accès aux systèmes d’information (y compris sans fil), qui nécessitent une autorisation préalable pour l’accès aux systèmes avant d’autoriser de telles connexions. Tout accès aux systèmes d’information et aux ressources de Riskonnect nécessite l’approbation de la direction.
        3. Riskonnect maintient des restrictions d’utilisation appropriées, des exigences de configuration/connexion et des directives de mise en œuvre pour les appareils mobiles contrôlés par l’organisation, et autorise (comme décrit ci-dessus) la connexion d’appareils mobiles aux systèmes d’information de l’organisation.
      2. Gestion des comptes. Riskonnect configure ses systèmes d’information et ses ressources pour appliquer les politiques et normes de contrôle d’accès et exige ou force les utilisateurs à se déconnecter après une période d’inactivité prédéterminée.
    2. SENSIBILISATION ET FORMATION
      1. Formation à la sensibilisation à la sécurité
        1. Riskonnect maintient, examine régulièrement, documente et administre une formation de sensibilisation à la sécurité pour l’ensemble du personnel de Riskonnect.
        2. La formation est dispensée dans le cadre du processus d’intégration des nouveaux employés, puis annuellement par la suite.
    3. AUDIT ET RESPONSABILITÉ
      1. Journaux d’audit. Les systèmes d’information de Riskonnect génèrent des journaux d’audit contenant le type d’événement, la date et l’heure de l’événement, l’emplacement de l’événement, la source de l’événement, le résultat de l’événement et la réponse à celui-ci, ainsi que la ou les personnes associées à l’événement, et fournissent raisonnablement ces informations pertinentes pour l’application spécifique du Client sur demande.
      2. Journalisation et examen du système
        1. Les systèmes d’information de Riskonnect protègent les informations d’audit, y compris les enregistrements d’audit, les paramètres d’audit, les rapports d’audit et les outils d’audit contre tout accès, modification et suppression non autorisés. Les informations d’audit doivent être sauvegardées sur un système ou un composant système physiquement différent du système ou du composant audité. Les systèmes d’information de Riskonnect mettent en œuvre une protection cryptographique pour garantir l’intégrité des informations d’audit et appliquent les principes de séparation des tâches et du moindre privilège dans l’examen, l’analyse et le reporting des enregistrements d’audit.
        2. Riskonnect conserve les journaux d’audit pour fournir un support pour les enquêtes a posteriori sur les incidents de sécurité et pour répondre aux exigences réglementaires et organisationnelles de conservation des informations.
        3. En fonction de l’environnement d’hébergement concerné dans lequel l’Application Riskonnect résidera et où les Données Client seront traitées, et comme détaillé dans l’Annexe Produit applicable, cet environnement d’hébergement (a) fera l’objet d’un audit annuel SOC2 Type2 (sauf pour les applications Active Risk et Ventiv) et (b) aura obtenu la certification ISO 27001. De plus, dans le cadre du processus d’audit annuel SOC2 Type2 ou de certification ISO 27001, Riskonnect engage un tiers qualifié pour effectuer un audit et réaliser des tests d’intrusion sur l’environnement d’hébergement concerné. Au lieu d’autoriser le Client à effectuer son propre audit ou ses propres tests d’intrusion de l’environnement d’hébergement concerné (mais sous réserve d’une exigence en vertu de la loi applicable pour que le Client fasse effectuer un tel audit), Riskonnect met à disposition, sur demande à ses clients : (1) le cas échéant, une copie de son dernier rapport SOC 2 Type2 et/ou une copie de son dernier certificat ISO 27001 ; et (2) un résumé des résultats des tests d’intrusion annuels associés. Enfin, Riskonnect répondra aux questionnaires supplémentaires sur la sécurité de l’information du Client dans la mesure où ces questionnaires sont (i) soumis à Riskonnect au maximum une fois par période de douze (12) mois et (ii) limités à l’utilisation du format SIG Lite ou CAIQ.
    4. ÉVALUATION ET AUTORISATION DE SÉCURITÉ
      1. Autorisation de sécurité. Riskonnect désigne un cadre supérieur ou un responsable comme agent d’autorisation pour les systèmes d’information, veille à ce que cet agent autorise les systèmes d’information pour le traitement avant le début des opérations et met à jour périodiquement l’autorisation de sécurité selon les besoins.
      2. Surveillance continue. Riskonnect maintient une stratégie de prévention de la perte de données (« DLP ») pour empêcher l’exfiltration de données, atténuer les effets des données exfiltrées et garantir la confidentialité et l’intégrité des informations sensibles. Riskonnect maintient un programme de surveillance continue qui comprend l’établissement de mesures à surveiller, la fréquence de surveillance, les actions de réponse pour traiter les résultats de cette analyse et le reporting de l’état de sécurité du système d’information Riskonnect au personnel approprié.
    5. GESTION DE LA CONFIGURATION
      1. Inventaire des composants du système d’information. Riskonnect développe, documente et met à jour régulièrement un inventaire des composants du système d’information. Riskonnect détecte, suit et restreint tous les périphériques matériels sur ses réseaux non publics afin que seuls les périphériques autorisés aient accès, et détecte, suit et restreint tous les logiciels sur ces réseaux afin que seuls les logiciels autorisés soient installés.
      2. Plan de gestion de la configuration. Riskonnect établit et met en œuvre un plan de gestion de la configuration, en appliquant le principe de fonctionnalité minimale. Riskonnect établit, met en œuvre et suit activement, corrige et rend compte de la configuration de sécurité des périphériques d’infrastructure réseau en utilisant un processus rigoureux de gestion de la configuration et de contrôle des changements qui sont raisonnablement conçus pour empêcher les attaquants d’exploiter les services et paramètres vulnérables. Le plan de gestion de la configuration traite des rôles et responsabilités et de la correction des défauts, ainsi que définit des processus et procédures détaillés sur la façon dont la gestion de la configuration est utilisée pour soutenir le cycle de vie de développement du système de Riskonnect. Le plan décrit comment faire passer les changements dans le système, comment mettre à jour les configurations de base et les paramètres de configuration, comment maintenir les inventaires des composants du système et comment contrôler les environnements de développement, de test et opérationnels.
      3. Configuration de base et durcissement. Riskonnect développe, documente et maintient les exigences actuelles de configuration de base et de durcissement pour les systèmes d’information de Riskonnect. Les configurations de base et les exigences de durcissement sont examinées et mises à jour régulièrement et dans le cadre des installations et mises à jour des composants du système d’information. Des évaluations de conformité à la sécurité sont effectuées sur les nouveaux serveurs et applications avant la migration en production et répétées périodiquement en fonction du risque pour garantir la conformité avec les exigences de durcissement du système de Riskonnect. Riskonnect conserve les versions précédentes des configurations de base des systèmes d’information pour prendre en charge la restauration et maintient une configuration de base pour les environnements de développement et de test du système d’information qui sont gérés séparément de la configuration de base opérationnelle.
      4. Contrôle des changements de configuration. Riskonnect établit et met en œuvre un processus formel de contrôle des changements conçu pour empêcher les changements non autorisés et documente tous les changements apportés à l’infrastructure réseau. Riskonnect teste, valide et documente les changements apportés aux systèmes d’information avant de mettre en œuvre les changements sur les systèmes opérationnels, et exige qu’un représentant de la sécurité de l’information soit membre de l’équipe de contrôle des changements de configuration.
    6. PLANIFICATION DE CONTINGENCE
      1. Plan de contingence. Riskonnect élabore un plan de contingence pour les systèmes d’information, qui identifie les missions/fonctions commerciales essentielles et les exigences de contingence associées, fournit des objectifs de récupération et des réponses de restauration, traite des rôles et responsabilités de contingence, traite du maintien des fonctions commerciales essentielles en cas de perturbation ou de défaillance du système, et traite de la restauration complète du système sans détérioration des mesures de sécurité en place. Le plan de contingence est régulièrement examiné et mis à jour au moins une fois par an, et selon les besoins pour tenir compte des changements dans l’environnement de menace.
      2. Sauvegarde du système d’information et site de stockage alternatif. Riskonnect effectue des sauvegardes des informations au niveau de l’utilisateur, des informations au niveau du système et de la documentation du système, y compris la documentation relative à la sécurité. Riskonnect maintient des emplacements de stockage alternatifs permettant le stockage et la récupération rapide des informations de sauvegarde du système d’information. Le stockage des sauvegardes du système d’information est protégé par des mesures de sécurité de l’information d’une force équivalente à celle du système principal et du site de stockage.
      3. Récupération et reconstitution du système d’information. Riskonnect assure rapidement la récupération et la reconstitution des systèmes d’information à un état de fonctionnement normal après une perturbation, une compromission ou une défaillance. Ce plan de récupération comprend la récupération basée sur les transactions et protège le matériel, les logiciels et les micrologiciels de sauvegarde et de restauration.
    7. IDENTIFICATION ET AUTHENTIFICATION
      1. Identification unique. Les systèmes d’information de Riskonnect identifient et authentifient de manière unique les utilisateurs organisationnels et non organisationnels et/ou les processus agissant au nom des utilisateurs, de sorte que toute activité de l’utilisateur puisse être retracée jusqu’à la ou les personnes qui ont effectué l’activité. Les systèmes de Riskonnect utilisent un chiffrement standard de l’industrie pour tous les mécanismes d’authentification, offrent des capacités d’identité fédérée et mettent en œuvre des mécanismes d’authentification résistants à la relecture. Les systèmes d’information mettent en œuvre une authentification multifacteur pour l’accès réseau et local aux comptes privilégiés et non privilégiés.
      2. Non-répudiation. Les systèmes d’information de Riskonnect appliquent la non-répudiation de sorte que la validité et l’authenticité d’une action ou d’une tâche ne puissent être contestées, y compris la création et/ou la modification d’informations, l’envoi et la réception de messages, l’approbation d’informations, la signature de contrats et l’approbation de demandes d’approvisionnement.
      3. Identification et authentification des périphériques. Les périphériques tentant d’accéder au réseau de Riskonnect sont identifiés et authentifiés de manière unique via un système de contrôle d’accès réseau (ou d’autres moyens comparables) avant d’établir une connexion réseau.
      4. Gestion de l’authentification. Riskonnect gère les informations d’identification/authentificateurs du système d’information en utilisant les meilleures pratiques de l’industrie. Riskonnect prend en compte le type d’authentification (par exemple, basée sur un jeton matériel, basée sur PKI, basée sur un mot de passe, basée sur la biométrie, etc.) et applique des contrôles de sécurité supplémentaires selon les besoins.
    8. RÉPONSE AUX INCIDENTS
      1. Programme de réponse aux incidents. Riskonnect maintient un programme écrit de réponse aux incidents qui traite de la préparation, de la détection, de l’analyse, du confinement, de l’éradication et de la récupération des événements de cybersécurité. Ce programme comprend des procédures qui décrivent : (i) les rôles et responsabilités de l’équipe de réponse aux incidents ; (ii) les exigences de communication avec les partenaires internes et externes ; (iii) les plans pour détecter, répondre et contenir les catégories d’incidents courantes ; (iv) les méthodes pour préserver les preuves, maintenir la chaîne de traçabilité et effectuer une analyse médico-légale ; (v) la coordination des processus de récupération ; (vi) les processus de suivi ; et (vii) le reporting pour garantir que les détails critiques des incidents sont suivis et que les leçons apprises sont intégrées dans les procédures de réponse, la formation et les tests en cours. Le programme de réponse aux incidents comprend la coordination des activités de gestion des incidents impliquant des événements de la chaîne d’approvisionnement avec d’autres organisations impliquées dans la chaîne d’approvisionnement. Le programme de réponse aux incidents est examiné et mis à jour au moins une fois par an.
      2. Gestion des incidents. Si Riskonnect découvre ou est informé d’un incident de sécurité qui impacte ou peut impacter les Données Client et/ou les systèmes, Riskonnect devra rapidement : (i) enquêter sur l’incident de sécurité ; (ii) remédier, atténuer ou atténuer et remédier au risque pour les Données Client ou les systèmes et aux autres effets de l’incident de sécurité ; (iii) préserver tous les enregistrements et autres preuves connexes ; et (iv) mettre en œuvre un plan pour empêcher qu’un tel incident de sécurité ne se reproduise.
      3. Notification d’incident. Si Riskonnect découvre ou est informé d’un incident de sécurité, Riskonnect en informera immédiatement le Client par écrit, mais au plus tard soixante-douze (72) heures à compter du moment où Riskonnect prend connaissance d’un incident de sécurité, y compris la divulgation (i) de la date, de l’heure et de la cause de l’incident si elle est connue ; (ii) des Données Client et/ou des systèmes qui ont été exposés ou que l’on croit raisonnablement avoir été exposés ; et (iii) de savoir si des informations personnelles identifiables non publiques ont été consultées.
      4. Reporting. Riskonnect fournira au Client un rapport écrit sur le résultat de son enquête, y compris tout risque pour les Données Client et/ou les systèmes et les mesures correctives que Riskonnect a prises pour répondre à l’incident de sécurité.
    9. MAINTENANCE
      1. Maintenance non locale. Riskonnect : (i) approuve, documente et surveille les activités de maintenance et de diagnostic non locales ; (ii) autorise l’utilisation d’outils de maintenance et de diagnostic non locaux uniquement conformément à la politique organisationnelle et documentée dans le plan de sécurité du système d’information ; (iii) exige une authentification multifacteur pour établir des sessions de maintenance et de diagnostic non locales via des connexions réseau externes ; (iv) conserve des enregistrements des activités de maintenance et de diagnostic non locales ; et (v) met fin aux sessions et aux connexions réseau lorsque la maintenance non locale est terminée. Riskonnect protège les sessions de maintenance non locales en utilisant des authentificateurs résistants à la relecture et en séparant les sessions de maintenance des autres sessions réseau par des chemins de communication physiquement ou logiquement séparés basés sur le chiffrement.
      2. Maintenance en temps opportun. Riskonnect approuve, obtient et documente la maintenance, le support et la réparation des systèmes d’information et des composants du système d’information en temps opportun après une défaillance du système ou du composant. Riskonnect effectue une maintenance préventive sur les composants critiques du système d’information à intervalles réguliers, ou selon les besoins, pour s’assurer qu’ils sont en état de fonctionnement. Les contrôles de sécurité potentiellement impactés pendant les activités de maintenance ou de réparation sont inspectés pour vérifier leur bon fonctionnement après l’activité. Riskonnect applique rapidement les correctifs logiciels, les mises à jour et les corrections de code, lorsqu’ils sont disponibles.
    10. PROTECTION DES SUPPORTS
      1. Utilisation des supports. Riskonnect emploie des mesures de sécurité techniques et non techniques pour restreindre l’utilisation de supports amovibles et de périphériques de stockage portables.
      2. Stockage des supports. Riskonnect contrôle physiquement et stocke en toute sécurité les supports numériques et non numériques et protège les supports du système d’information jusqu’à ce que ces supports soient détruits ou nettoyés à l’aide de techniques de destruction sécurisée des données. Riskonnect restreint l’accès aux zones de stockage des supports et maintient des journaux d’accès pour les tentatives d’accès réussies et infructueuses.
      3. Transport des supports. Riskonnect : (i) protège et contrôle les supports du système d’information pendant le transport en dehors des zones contrôlées à l’aide de mesures de sécurité physiques et techniques ; (ii) maintient la responsabilité des supports du système d’information pendant le transport en dehors des zones contrôlées ; (iii) documente les activités associées au transport des supports du système d’information ; et (iv) restreint les activités associées aux supports du système d’information au personnel autorisé. Les systèmes d’information mettent en œuvre des mécanismes cryptographiques pour protéger la confidentialité et l’intégrité des informations stockées sur les supports numériques pendant le transport en dehors des zones contrôlées.
      4. Nettoyage des supports. Riskonnect nettoie les supports du système d’information avant leur élimination, leur libération du contrôle organisationnel ou leur libération pour réutilisation conformément aux politiques organisationnelles, en utilisant des mécanismes de nettoyage dont la force et l’intégrité sont proportionnées à la catégorie de sécurité ou à la classification des informations. Riskonnect : (i) examine et approuve les supports à nettoyer pour garantir l’efficacité et la conformité avec les politiques de conservation des enregistrements et (ii) suit et documente le processus de nettoyage des supports, y compris le personnel qui a manipulé ces supports, et vérifie que le nettoyage des supports a été efficace avant l’élimination. Les systèmes d’information, les composants du système et les périphériques du système sont capables d’être purgés/effacés à distance pour protéger les données obtenues par des personnes non autorisées.
    11. PROTECTION PHYSIQUE ET ENVIRONNEMENTALE
      1. Contrôle d’accès physique. Riskonnect : (i) applique les autorisations d’accès physique aux points d’entrée/sortie des installations en vérifiant les autorisations d’accès individuelles avant d’accorder l’accès à l’installation ; (ii) maintient des journaux d’audit d’accès physique pour les points d’entrée/sortie ; et (iii) utilise des mesures de sécurité pour contrôler l’accès à ces installations, y compris l’utilisation d’agents de sécurité (uniquement dans les installations de traitement de données où les Données Client sont stockées) et de dispositifs de contrôle d’accès physique (par exemple, alarmes, cartes magnétiques, claviers).
      2. Emplacement des composants du système d’information. Riskonnect positionne les composants du système d’information dans l’installation pour minimiser les dommages potentiels causés par les dangers environnementaux (par exemple, inondations, incendies, tornades, tremblements de terre, ouragans, vandalisme, actes de terrorisme, impulsion électromagnétique, interférences électriques, etc.) ainsi que les dangers physiques, y compris la possibilité d’accès non autorisé.
    12. PLANIFICATION
      1. Architecture de sécurité de l’information. Riskonnect maintient une architecture de sécurité de l’information pour les systèmes d’information qui comprend une description architecturale, le placement/l’allocation de la fonctionnalité de sécurité (y compris les contrôles de sécurité), les informations relatives à la sécurité pour les interfaces externes, les informations échangées entre les interfaces et les mécanismes de protection associés à chaque interface. L’architecture de sécurité de l’information est examinée et mise à jour régulièrement pour refléter les mises à jour de l’architecture d’entreprise, les impacts externes et les pratiques de l’industrie.
    13. SÉCURITÉ DU PERSONNEL
      1. Vérification du personnel. Riskonnect vérifie les personnes avant d’autoriser l’accès aux systèmes d’information de Riskonnect. La vérification comprend (mais peut ne pas se limiter à, selon l’emplacement) la vérification de l’identité, la vérification des antécédents criminels et la vérification de l’éducation. Le personnel de Riskonnect est tenu de signaler lui-même toute condamnation pour crime, vol ou crimes de méfiance pendant sa période d’emploi dans les 30 jours suivant la condamnation.
      2. Cessation d’emploi du personnel. Lors de la cessation d’emploi, Riskonnect procède rapidement à : (i) la désactivation de l’accès de la personne au système d’information ; (ii) la résiliation/révocation de tous les authentificateurs/informations d’identification associés à la personne ; (iii) la conduite d’entretiens de sortie qui incluent des sujets de sécurité de l’information ; (iv) la récupération de tous les biens organisationnels liés au système d’information relatifs à la sécurité (par exemple, jetons d’authentification matériels, manuels techniques d’administration du système, clés, cartes d’identité, laissez-passer de bâtiment, etc.) ; et (v) la conservation de l’accès aux informations organisationnelles et aux systèmes d’information précédemment contrôlés par la personne licenciée.
    14. ÉVALUATION DES RISQUES
      1. Évaluation des risques. Riskonnect : (i) effectue une évaluation des risques, y compris la probabilité et l’ampleur du préjudice, résultant de l’accès, de l’utilisation, de la divulgation, de la perturbation, de la modification ou de la destruction non autorisés des systèmes d’information et des informations qu’ils traitent, stockent ou transmettent ; (ii) documente et examine les résultats de l’évaluation des risques ; et (iii) met à jour l’évaluation des risques au moins une fois par an, et chaque fois qu’il y a des changements importants dans le système d’information ou l’environnement d’exploitation (par exemple, l’identification de nouvelles menaces et vulnérabilités).
      2. Analyse des vulnérabilités. Riskonnect : (i) analyse les vulnérabilités de l’application hébergée au moins une fois par an et lorsque de nouvelles vulnérabilités affectant potentiellement le système/les applications sont identifiées ; (ii) utilise des outils et des techniques d’analyse des vulnérabilités qui facilitent l’interopérabilité entre les outils et automatisent des parties du processus de gestion des vulnérabilités en utilisant des normes pour énumérer les plateformes, les défauts logiciels et les configurations incorrectes, formater les listes de contrôle et les procédures de test, et mesurer l’impact des vulnérabilités ; (iii) analyse les rapports d’analyse des vulnérabilités et les résultats des évaluations des contrôles de sécurité ; (iv) remédie aux vulnérabilités conformément à l’évaluation des risques organisationnels ; (v) partage les informations provenant de l’analyse des vulnérabilités et des évaluations des contrôles de sécurité avec le personnel approprié pour aider à éliminer les vulnérabilités similaires dans d’autres systèmes d’information ; et (vi) utilise une analyse périodique des vulnérabilités externes et des tests d’intrusion annuels pour évaluer la force globale des défenses de Riskonnect (technologie, processus et employés). Sur demande écrite du Client, Riskonnect fournira au Client un résumé des résultats des tests d’intrusion externes les plus récents et des évaluations de sécurité des applications.
    15. CYCLE DE VIE DE DÉVELOPPEMENT DU SYSTÈME
      1. Riskonnect gère les systèmes d’information en utilisant le cycle de vie de développement des systèmes (« SDLC ») conforme aux normes de l’industrie, qui intègre des considérations de sécurité de l’information, définit et documente les rôles et responsabilités en matière de sécurité de l’information tout au long du SDLC, identifie les personnes ayant de tels rôles ou responsabilités et intègre le processus de gestion des risques de sécurité de l’information de Riskonnect aux activités du SDLC.
    16. GESTION DES RISQUES DE LA CHAÎNE D’APPROVISIONNEMENT
      1. Riskonnect (i) se protège contre les menaces de la chaîne d’approvisionnement visant les systèmes d’information, les composants ou le service en mettant en œuvre des mesures de protection de sécurité dans le cadre d’une stratégie globale de sécurité de l’information, notamment par l’utilisation de stratégies d’acquisition sécurisées, de contrats, d’outils et de méthodes d’approvisionnement pour l’achat de systèmes d’information, de composants et de services auprès de fournisseurs ; (ii) effectue des évaluations des fournisseurs avant de conclure un accord contractuel pour acquérir des systèmes d’information, des composants ou des services ; (iii) maintient des mesures de protection de sécurité afin de limiter les dommages causés par des adversaires potentiels ciblant la chaîne d’approvisionnement de l’organisation ; et (iv) réalise des évaluations des systèmes d’information, des composants ou des services avant leur sélection, leur acceptation ou leur mise à jour dans le cadre de la mission.
    17. PROTECTION DES SYSTÈMES ET DES COMMUNICATIONS
      1. Protection des frontières. Riskonnect (i) surveille et contrôle les communications aux frontières externes et aux principales frontières internes du système de l’organisation ; (ii) met en œuvre des sous-réseaux pour les composants de système accessibles au public qui sont physiquement ou logiquement séparés des réseaux internes ; (iii) limite le nombre de connexions réseau externes ; et (iv) applique une politique de refus par défaut, autorisation par exception pour le trafic de communication réseau, tant pour les communications entrantes que sortantes. Le service Riskonnect se connecte à des réseaux externes ou à des systèmes d’information uniquement via des interfaces gérées. Riskonnect gère l’utilisation opérationnelle continue des ports, protocoles et services sur les appareils en réseau afin de minimiser les fenêtres de vulnérabilité dont peuvent profiter les attaquants.
      2. Confidentialité et intégrité des transmissions. Les systèmes d’information protègent la confidentialité et l’intégrité des informations transmises par des moyens physiques et logiques, notamment en appliquant des procédures de distribution protégées et en limitant l’accès aux périphériques (p. ex., serveurs, ordinateurs, imprimantes, scanners, télécopieurs), ainsi que par l’utilisation du chiffrement.
    18. INTÉGRITÉ DU SYSTÈME ET DES SYSTÈMES D’INFORMATION
      1. Correction des failles. Riskonnect : (i) identifie, signale et corrige les failles des systèmes d’information ; (ii) teste les mises à jour logicielles et micrologicielles afin d’en vérifier l’efficacité et les effets secondaires potentiels avant l’installation ; et (iii) installe les mises à jour logicielles et micrologicielles pertinentes pour la sécurité, y compris les correctifs, packs de services, correctifs à chaud et signatures antivirus, dès qu’elles sont disponibles. Riskonnect gère de manière centralisée le processus de correction des failles, qui mesure le temps entre l’identification d’une faille et sa correction et établit un processus de mise en œuvre des actions correctives.
      2. Protection contre les codes malveillants. Riskonnect : (i) met en œuvre des mécanismes de protection contre les codes malveillants aux points d’entrée et de sortie des systèmes d’information (y compris les navigateurs Web et la messagerie électronique) afin de détecter et d’éradiquer les codes malveillants ; (ii) met à jour les mécanismes de protection contre les codes malveillants dès que de nouvelles versions sont disponibles et maintient la politique et les procédures de gestion de la configuration de l’organisation pour gérer ces mises à jour ; (iii) configure les mécanismes de protection contre les codes malveillants afin d’effectuer des analyses périodiques des systèmes d’information ; (iv) bloque, met en quarantaine, ou les deux, les codes malveillants et maintient des systèmes qui envoient des alertes aux administrateurs système en réponse à la détection de codes malveillants ; et (v) traite la réception de faux positifs lors de la détection et de l’éradication de codes malveillants, ainsi que tout impact potentiel qui en résulte sur la disponibilité des systèmes d’information.
      3. Surveillance des systèmes d’information. Riskonnect : (i) surveille les systèmes d’information afin de détecter les attaques et les indicateurs d’attaques potentielles, ainsi que les connexions locales, réseau et distantes non autorisées, et identifie l’utilisation non autorisée du système d’information ; (ii) déploie des dispositifs de surveillance de manière stratégique au sein du système d’information et à des emplacements ad hoc dans le système ; (iii) protège les informations obtenues à partir des outils de surveillance des intrusions contre l’accès, la modification et la suppression non autorisés ; (iv) intensifie l’activité de surveillance lorsqu’un risque accru pour les opérations de l’organisation, ses actifs, les individus, d’autres organisations ou la nation est indiqué ; (v) obtient un avis juridique concernant les activités de surveillance des systèmes d’information conformément aux lois, décrets, directives, politiques ou règlements applicables ; et (vi) fournit, au besoin, des informations de surveillance des systèmes d’information au personnel approprié.