Vulnérabilité d'Open SSL : comment déterminer l'exposition au risque de votre tierce partie ?

1) L'organisation utilise-t-elle OpenSSL pour sa gestion des clés cryptographiques ?

Texte d'aide : OpenSSL est la principale bibliothèque open-source qui met en œuvre les protocoles SSL et TLS, permettant de communiquer de manière sécurisée sur Internet.

Veuillez choisir l'une des options suivantes :

a) Oui, OpenSSL est utilisé pour la gestion des clés cryptographiques.

b) Non, OpenSSL n'est pas utilisé pour la gestion des clés cryptographiques.

2) Quelles versions d'OpenSSL l'organisation utilise-t-elle ?

Texte d'aide : OpenSSL a fourni une notification concernant une vulnérabilité affectant les versions 3.0.1 à 3.0.6 de sa bibliothèque logicielle OpenSSL.

Veuillez choisir l'une des options suivantes :

a) L'organisation utilise OpenSSL version 1.1.1 ou antérieure.

b) L'organisation utilise une combinaison d'OpenSSL version 1.1.1 ou antérieure, et version 3.0.1 ou ultérieure.

c) L'organisation utilise OpenSSL version 3.0.1 ou ultérieure.

3) L'organisation a-t-elle donné la priorité à la création d'un inventaire de tous les systèmes comportant des versions vulnérables d'OpenSSL ?

Veuillez choisir l'une des options suivantes :

a) Oui, un inventaire a été créé pour tous les systèmes qui utilisent la version 3 ou une version ultérieure.

b) Aucun inventaire n'a été identifié pour les systèmes qui utilisent la version 3 ou ultérieure.

4) L'organisation a-t-elle téléchargé et installé le dernier patch 3.0.7 publié par OpenSSL ?

Texte d'aide : Le projet Open SSL a annoncé la publication de la version 3.0.7 d'Open SSL le 1er novembre 2022, qui corrige la vulnérabilité affectant les versions 3.0.1 à 3.0.6.

Veuillez choisir l'une des options suivantes :

a) Oui, le correctif 3.0.7 a été installé et appliqué à tous les systèmes utilisant la version 3.0.1 ou ultérieure.

b) Non, le correctif 3.0.7 n'a pas été installé et appliqué à tous les systèmes utilisant la version 3.0.1 ou ultérieure.

5) L'organisation a-t-elle déterminé, sur la base de l'utilisation d'OpenSSL v.3.0.1 ou d'une version ultérieure, le niveau d'impact sur les systèmes et applications critiques ?

Texte d'aide : Il faut tenir compte de l'endroit où l'impact s'est produit, ainsi que du niveau de l'impact.

a) Impact significatif : La vulnérabilité a provoqué une perte de confidentialité ou d'intégrité des données.

b) Impact élevé : La disponibilité du système a été périodiquement perdue, et une certaine perte de confidentialité ou d'intégrité des données.

c) Faible impact : Aucune perte de confidentialité ou d'intégrité des données ; perturbation minimale ou nulle de la disponibilité du système.

Veuillez choisir l'une des options suivantes :

a) Il y a eu un impact significatif sur nos systèmes ou applications critiques.

b) Il existe un niveau élevé d'impact sur nos systèmes ou applications critiques.

c) L'impact sur nos systèmes ou applications critiques a été faible.

d) L'attaque de cyber n'a pas eu d'impact sur nos systèmes ou applications critiques.

6) Qui est désigné comme point de contact pouvant répondre à des questions supplémentaires ?

Veuillez indiquer le contact clé pour la gestion des informations et des incidents de cybersécurité.

Nom :

Titre :

Courriel :

Téléphone :

7) L'organisation a-t-elle vérifié auprès de tiers s'ils utilisent OpenSSL v.3.0.1 ou une version ultérieure ? Si tel est le cas, des plans sont-ils en place pour remédier à la vulnérabilité ?

Veuillez choisir l'une des options suivantes :

a) Oui, l'organisation a identifié nos tiers qui utilisent la version 3.0.1 ou une version ultérieure, et ils ont mis en œuvre les derniers correctifs.

b) L'organisation a identifié ses tiers utilisant la version 3.0.1 ou une version ultérieure, mais aucun plan n'est actuellement en place pour remédier à cette vulnérabilité.

c) Non, l'organisation n'a pas identifié nos tiers qui utilisent la version 3.0.1 ou ultérieure.