Scrutin SC21 : la proposition de contrôle de l’intégrité des journaux a été approuvée

À la majorité des voix, le Forum CA/B (organisme de réglementation du secteur des certificats SSL) a accepté la proposition SC21 visant à améliorer le contrôle de l’intégrité des journaux. L’objectif principal de cette proposition est de finaliser le document « Network and Certificate System Security Requirements », approuvé le 3 août 2012 et appliqué le 1^er janvier 2013.

Les experts ont notamment suggéré d’améliorer l’automatisation et la surveillance continue des réseaux et des certificats. Dans la plupart des cas, les actions manuelles sont moins efficaces et nécessitent plus de ressources que la surveillance automatique.

La proposition SC21 ajoute également des exigences spéciales pour la résolution rapide des notifications reçues des systèmes de surveillance automatiques, afin de s’assurer que l’automatisation ne crée pas de problème potentiel restant ignoré.

Les nouvelles dispositions, qui ont été ajoutées dans la section 3 du document « Network and Certificate System Security Requirements », sont les suivantes :

• 3.e. Le contrôle de l’intégrité des journaux des systèmes et des applications qui sont conservés est assuré par une surveillance continuelle et des notifications, ou par une analyse manuelle pour garantir l’efficacité de la consignation et le bon fonctionnement des fonctions de contrôle de l’intégrité des journaux. Dans le cas d’une vérification manuelle et si le système est connecté au Web, cette tâche doit être effectuée au moins une fois tous les 31 jours.
• 3.f. Contrôle de l’archivage et du stockage des journaux pour s’assurer que tous les journaux sont stockés pendant une période suffisante, conformément aux pratiques commerciales et aux réglementations en vigueur.
• 3.g. Si un système automatique de surveillance continuelle et d’alerte est utilisé aux fins des sections 1.h ou 3.e des Exigences (https://cabforum.org/wp-content/uploads/CABForum-Network-Security-Controls-1.2.pdf), vous devez réagir aux alertes et élaborer un plan d’action pour un maximum de 24 heures.

Abonnez-vous à notre lettre d’information pour rester au courant de l’actualité du monde des certificats SSL et de la sécurité en ligne.