La certification CMMC facile avec Keeper Security
Keeper Security Government Cloud (KSGC) password manager and privileged access manager is FedRAMP High Authorized and addresses your Cybersecurity Maturity Model Certification (CMMC) requirements.
Qu'est-ce que la certification CMMC ?
Le Cybersecurity Maturity Model Certification (CMMC) est le programme de conformité et de certification en matière de cybersécurité du ministère de la défense américain (DoD), axé sur l'évaluation indépendante des entreprises de défense par rapport aux contrôles de sécurité NIST 800-171 pour la protection des informations non classifiées contrôlées (CUI).
La CMMC s'appuie sur les réglementations DFARS 252.204-7012 existantes. Les contrôles d'accès et la protection des données sont au premier plan du modèle afin de réduire le risque de cybermenaces.
Le respect des contrôles de sécurité de la CMMC nécessite une combinaison de personnes, de processus et de technologies. En mettant en œuvre Keeper Security Government Cloud (KSGC), les sous-traitants du DoD peuvent couvrir 26 des 110 contrôles du niveau 2 du CMMC. Voir le tableau ci-dessous pour une liste détaillée des contrôles couverts par KSGC.
Comment Keeper Security Government Cloud aide les sous-traitants de la DIB à répondre aux exigences de la CMMC en matière de sécurité des mots de passe
La majorité des contrôles de sécurité de la CMMC sont basés sur la révision 2 de la norme NIST 800-171, publiée en 2020. La révision 3 de la norme NIST 800-171 sera publiée au cours du premier trimestre 2024 et comprendra de nouvelles exigences en matière de sécurité des mots de passe
De nombreuses équipes informatiques de la DIB manquent de visibilité sur la politique de sécurité des mots de passe de leur entreprise. KSGC analyse la force et la sécurité des mots de passe stockés dans l'ensemble de l'entreprise. KSGC évalue chaque mot de passe en fonction de critères de complexité, d'unicité et d'exposition potentielle sur le dark web, fournissant un score de risque complet sur les informations d'identification individuelles et les bonnes pratiques générales concernant les mots de passe de l'entreprise. Les administrateurs informatiques reçoivent des informations exploitables par le biais de rapports détaillés et de tableaux de bord, mettant en évidence les mots de passe faibles, réutilisés ou compromis, ce qui leur permet d'appliquer de manière proactive des politiques de mot de passe et de lancer des mesures correctives.
Le système de surveillance et d'alerte en continu de KSGC permet aux administrateurs de réagir rapidement face aux failles de sécurité potentielles, améliorant ainsi de manière significative la défense de l'entreprise contre les cybermenaces, tout en maintenant des idenitifiants forts et sécurisés.
Comment Keeper Security Government Cloud aide les sous-traitants de la DIB à répondre aux exigences de la CMMC en matière de partage sécurisé de fichiers
Les entreprises de la DIB reçoivent régulièrement des dossiers CUI et collaborent avec le DoD à ce sujet. La CMMC exige que les entreprises suivent des protocoles de sécurité stricts lorsqu'elles partagent des CUI, notamment en utilisant le chiffrement et en limitant l'accès aux seuls utilisateurs autorisés.
Les e-mails ne sont généralement pas chiffrés, ce qui permet aux cybercriminels d'intercepter les courriers électroniques et les pièces jointes en transit. L'envoi d'informations sensibles par courrier électronique présente également le risque que ces informations soient transférées, enregistrées ou imprimées sans l'autorisation de l'expéditeur.
Certains sous-traitants utilisent Microsoft Encrypted Email, qui renvoie le destinataire vers un écran de connexion sécurisé pour accéder au courrier électronique contenant les fichiers. Cependant, dans de nombreux cas, les contrôles internes sur les machines du gouvernement ne permettent pas ce processus de connexion. L'agence ne reçoit donc pas l'information.
Les sous-traitants de la DIB peuvent également créer un PDF chiffré, puis envoyer séparément à l'agence le mot de passe du PDF par le biais d'un e-mail en texte lisible. Cette procédure est lourde, peu sûre et peu conviviale pour les employés.
Stocker et partager des fichiers en toute sécurité avec KSGC
KSGC intègre des fonctions de partage de fichiers autorisées par FedRAMP et offre un moyen sûr et convivial de partager des fichiers. Keeper propose un partage sécurisé de coffre-fort à coffre-fort et un partage ponctuel avec chiffrement à courbe elliptique, ce qui signifie que les cybercriminels ne peuvent pas intercepter les mots de passe ou les fichiers en transit. Seul le destinataire original peut accéder à l'archive partagée. Avec le partage ponctuel, les destinataires ne sont pas obligés de se connecter ou d'avoir une licence Keeper pour ouvrir et télécharger le fichier chiffré.
En outre, les journaux de Keeper montrent toutes les informations d'envoi et de réception concernant chaque partage ponctuel. Des alertes de sécurité en temps réel peuvent également être activées pour avertir les administrateurs du système par SMS, e-mail ou via des plateformes de messagerie telles que Slack ou Teams lorsqu'un partage a lieu.
Le partage de fichiers chiffrés est une nécessité pour toute organisation qui travaille avec le ministère de la défense américain. Keeper permet aux entreprises de stocker et de partager leurs fichiers confidentiels dans un format chiffré afin de simplifier la conformité et l'audit.
Contrôles de sécurité de la CMMC couverts par KSGC
La certification CMMC finira par adopter la troisième révision de la norme NIST 800-171, et les sous-traitants de défense devront tenir compte des nouvelles exigences.
Changements à venir dans la certification CMMC
- Vérifier que les mots de passe nouveaux ou mis à jour ne figurent pas sur des listes de mots de passe couramment utilisés, attendus ou compromis
- Modifier les mots de passe lorsqu'ils ont été compromis.
Définitions du tableau ci-dessous
- Principal - Keeper peut être utilisé comme moyen principal afin de répondre à un contrôle de sécurité dans votre plan de sécurité système (SSP).
- Compatible - Keeper peut être utilisé pour renforcer la politique d'un contrôle de sécurité dans votre plan de sécurité système (SSP).
Contrôle et titre de sécurité
Statut général
Commentaires
AC.L2-3.1.1 Contrôle d'accès autorisé (CUI)
Compatible
Keeper's Enterprise Password Manager (EPM) permet aux utilisateurs de générer et de stocker des mots de passe sécurisés et uniques compatibles avec l'authentification de l'utilisateur.
AC.L2-3.1.11 Fin de session
Compatible
Keeper fournit des contrôles de fin de session spécifiques à la plateforme, basés sur une période de temps. EPM fournit également des options de réauthentification pour des actions telles que le remplissage automatique d'un mot de passe.
AC.L2-3.1.12 Contrôle d'accès à distance
Principal
KCM est une passerelle d'accès à distance utilisée pour accorder aux utilisateurs l'accès aux ressources conformément aux principes du moindre privilège. Elle utilise des protocoles de connexion tels que RDP, HTTPS, SSH, VNC, Telnet, Kubernetes, MySQL, PostgreSQL et SQL.
AC.L2-3.1.13 Confidentialité d'accès à distance
Principal
KCM utilise un chiffrement validé par la norme FIPS 140-3 pour garantir la confidentialité de l'accès à distance.
AC.L2-3.1.14 Routage d'accès à distance
Principal
KCM est une passerelle d'accès à distance qui sert de point de contrôle d'accès géré.
AC.L2-3.1.15 Accès à distance privilégié
Principal
KCM peut limiter l'accès des utilisateurs à des connexions spécifiques, limiter l'accès à une application spécifique au sein d'une session RDP et limiter l'accès en exécutant automatiquement des commandes SSH lors de la connexion.
AU.L2-3.3.1 Audit des systèmes
Compatible
Le Module de rapports et d’alertes avancés (ARAM) de Keeper fournit des audits et des rapports sur les activités des administrateurs et des utilisateurs au niveau de l'entreprise.
AU.L2-3.3.5 Corrélation d'audit
Compatible
L'ARAM de Keeper s'intègre de façon transparente aux solutions SIEM pour le stockage à long terme et la corrélation des audits.
AU.L2-3.3.6 Modération et rapports
Compatible
L'ARAM de Keeper propose des filtres pour plus de 200 types d'événements.
CM.L2-3.4.2 Application de configuration de sécurité
Compatible
L'EPM offre des politiques étendues basées sur les groupes qui contrôlent la façon dont Keeper peut être utilisé.
CM.L2-3.4.6 Moindre fonctionnalité
Compatible
KCM peut limiter une session RDP distante à une seule application, contrôler le comportement du presse-papiers, désactiver l'impression, etc.
IA.L2-3.5.10 Mots de passe protégés par chiffrement
Principal
L'EPM stocke et transmet les mots de passe en toute sécurité à l'aide d'un chiffrement validé par la norme FIPS 140-3.
IA.L2-3.5.11 Retour d'information obscur
Compatible
L'EPM masque les mots de passe et autres informations sensibles. Keeper permet également de créer des types d'archives personnalisés avec des paramètres de masquage pour chaque champ personnalisé.
IA.L2-3.5.3 Validation multi-étapes
Compatible
Keeper prend en charge plusieurs méthodes d'authentification multifacteur, notamment TOTP, RSA SecureID, Duo Security, les clés de sécurité FIDO2, Windows Hello et l'authentification biométrique des appareils mobiles. Il exige également une approbation supplémentaire lorsqu'un nouvel appareil est utilisé pour accéder à un compte.
IA.L2-3.5.4 Authentification résistante à la reproduction
Principal
KSM transmet les secrets dans un tunnel TLS chiffré. Les secrets sont déchiffrés par l'appareil de l'utilisateur.
IA.L2-3.5.7 Complexité du mot de passe
Principal
L'EPM offre des paramètres de complexité de mot de passe personnalisables pour les mots de passe principaux, et des mots de passe générés pour des domaines et des adresses IP définis. Les rapports d'audit de sécurité présentent des statistiques sur les forces et les faiblesses des mots de passe au sein de l'entreprise.
IA.L2-3.5.8 Réutilisation du mot de passe
Principal
L'EPM permet aux entreprises d'éliminer la réutilisation des mots de passe en générant des mots de passe uniques pour chaque compte. Les rapports d'audit de sécurité indiquent les statistiques de réutilisation des mots de passe.
IA.L2-3.5.9 Mots de passe temporaires
Compatible
L'EPM permet de partager en toute sécurité des informations d'identification temporaires en transférant la propriété d'une archive de mot de passe ou par le biais d'un partage ponctuel.
SC.L2-3.13.10 Gestion des clés
Compatible
KSM stocke et transmet en toute sécurité des secrets tels que les clés SSH, les clés API, les clés de chiffrement, les mots de passe et bien d'autres encore, à l'aide d'un chiffrement zero-knowledge validé par la norme FIPS 140-3. KSM peut également procéder à une rotation automatique des secrets.
SC.L2-3.13.11 Chiffrement CUI
Principal
EPM uses its FIPS 140-3 validated zero-knowledge encryption to encrypt any CUI and is FedRAMP Authorized at the High Impact level.
SC.L2-3.13.16 Data At Rest
Principal
EPM uses FIPS 140-3 validated zero-knowledge encryption to encrypt any CUI stored in the system at rest and is FedRAMP Authorized at the High Impact level.
SC.L2-3.13.6 Communication en réseau par exception
Compatible
L'accès au réseau peut être restreint en activant la liste des adresses IP autorisées.
SC.L2-3.13.8 Data In Transit
Principal
EPM uses FIPS 140-3 validated zero-knowledge encryption to encrypt any CUI in transit and is FedRAMP Authorized at the High Impact level.
SC.L2-3.13.9 Terminaison de connexions
Principal
Les paramètres de délai d'expiration de la session KCM sont configurables.
SI.L2-3.14.3 Alertes et avis de sécurité
Compatible
BreachWatch de Keeper surveille les mots de passe à la recherche d'indicateurs de compromission et alerte l'utilisateur ou l'administrateur si l'un des mots de passe a été affecté par une violation.
SI.L2-3.14.7 Identification des utilisations non autorisées
Compatible
Le module ARAM de Keeper permet de créer des alertes basées sur plus de 200 types d'événements. Le module de rapport de conformité d'EPM fournit des rapports supplémentaires pour identifier le partage ou l'utilisation non autorisés des mots de passe.
KSGC is FedRAMP High Authorized
Keeper Security Government Cloud password manager and privileged access manager is FedRAMP High Authorized and maintains the Keeper Security zero-trust security framework alongside a zero-knowledge security architecture.
KSGC offre :
Visibilité et contrôle complets de la force des mots de passe des employés
Partage et stockage sécurisés de fichiers
Contrôles d'accès granulaires basés sur les rôles (RBAC)
Accès au réseau zero trust
Alertes sur l'exposition au dark web
