Qu'est-ce qu'une cible de sécurité?
Une cible de sécurité (ST) est le nom d'un document créé par une entreprise de sécurité des technologies de l'information (TI) en ce qui concerne une application ou une entreprise particulière avec laquelle elle travaille. Par exemple, un développeur de logiciels particulier qui crée des programmes antivirus peut fournir une ST pour un programme spécifique afin de documenter les types de menaces de sécurité qu'il est conçu pour détecter et traiter pour un client. Une cible de sécurité peut également être émise par un service de sécurité informatique pour une entreprise avec laquelle elle travaille, dans laquelle il détaille les manières spécifiques par lesquelles cette entreprise est vulnérable aux attaques et fournit des informations sur les moyens d'accroître la sécurité pour cette entreprise.
Le nom «cible de sécurité» fait référence au document établi par une entreprise de sécurité informatique afin de détailler les moyens par lesquels cette entreprise peut aider à sécuriser des tiers. Les informations spécifiques fournies dans ce type de document peuvent varier en fonction du type de menace auquel une entreprise peut être confrontée ou des services qu’elle peut fournir. En règle générale, cependant, une cible de sécurité fournit généralement des informations détaillées sur les besoins de sécurité d'une personne ou d'une entreprise et sur la manière dont ces besoins peuvent être satisfaits.
Un développeur de logiciel peut, par exemple, définir une cible de sécurité pour indiquer les types de menaces qu'un nouveau programme de sécurité peut traiter. La cible de sécurité d'un nouveau programme antivirus peut indiquer les types de virus et autres logiciels malveillants que le logiciel peut trouver et traiter pour un client. S'il y a des problèmes spécifiques que ce programme a avec des faux positifs ou ne trouvant pas certaines formes de logiciels malveillants, cela peut être inclus dans le document. Toutes ces informations sont généralement fournies en référence à la cible d'évaluation (TOE), qui correspond généralement à une entreprise donnée pouvant utiliser un produit ou un service donné.
La cible de sécurité générée par un service de sécurité informatique peut également répondre aux besoins spécifiques et aux menaces pesant sur une entreprise donnée. Dans ce cas, la TOE n’est pas seulement l’entreprise elle-même, mais également des fichiers et types d’informations spécifiques. Une fois que la TOE est nommée et détaillée, la cible de sécurité fournit généralement des informations sur la manière dont les menaces peuvent être gérées, bien que de manière assez générale et ne fournissant aucune assistance en matière de sécurité sans l'utilisation des services de cette entreprise. Toutes ces informations sont généralement créées et fournies à l'aide de Critères communs pour l'évaluation de la sécurité des technologies de l'information ou de «critères communs», qui font référence à un ensemble de normes utilisées dans le secteur des technologies de l'information et de la sécurité.