Partage des référentiels

[jpose]

Bonjour à tous, avez-vous déjà intégré d'autres référentiels de sécurité (PCIDSS, BIM, NIS, CIS etc ..) dans Deming ? Si oui est-il possible de partager les fichiers pouvant être intégré dans Deming ? Merci 👍

[fgilain]

sans oublier DORA ;-))

[jpose]

@dbarzin au-delà des indications d'import dans Deming, avez-vous un fichier de template d'intégration d'ISO 27001:2022 qui pourrait être plus pertinent à comprendre et qui permettrait de créer rapidement ces fichiers ? Merci 👍

[dbarzin]

J’accepte les contributions !

[dbarzin]

Deming est fournit en standard avec les mesures de sécurité de la norme ISO 27001:2022.
Pour peupler la base de données avec ces mesures, il faut exécuter les commandes suivantes :

php artisan db:seed --class=AttributeSeeder
php artisan db:seed --class=DomainSeeder
php artisan db:seed --class=MeasureSeeder

C'est décrit dans la procédure d'installation..

[dbarzin]

Il existe une version anglaise des contrôles ISO 27001:2022. Elles se sont perdues lors d'une modification de base de données pour Docker. Elles vont être disponibles rapidement.
Le plus simple est de passer par des fichiers Excel via le menu Configuration->Import

[dbarzin]

C'est disponible dans le répertoire "referentials".
Il y a la 27001:2022 en français et anglais ansi que la NIST SP 800-53.

[fgilain]

Sauf erreur de ma part, le contenu du fichier intitulé EN est aussi en FR, non ?

[dbarzin]

Excellent, merci, c'est corrigé !

[jpose]

Super, je vais m'y mettre pour intégrer PCIDSS dans un 1er temps merci !

[JinxCH73]

Attention quand même, en tout cas pour ISO, on est supposé acheter la norme, qui n'est pas disponible gratuitement.

[dbarzin]

Ne sont repris que les objectifs de contrôle que l'on retrouve partout sur internet, les métriques sont un interprétation propre à Deming qui doivent être adaptées pour chaque organisation.

[LoLoow]

Y a t-il le référentiel 27001:2013 disponible quelque part importable à la manière du référentiel de 2022 ?
En vous remerciant !

[dbarzin]

Pour importer le référentiel ISO 27001:2013, repartir d'une base de données vide :

php artisan migrate:fresh --seed

puis importer le référentiel avec la commande

sudo mysql deming < deming-27001_2013.sql

Pour générer une base de données de test

php artisan deming:generateTests

[danje57]

J'ai fait le référentiel PCI DSS v4.0 pour Monarc.

https://objects.monarc.lu/object/view/5238

Si j'ai bien compris, pour Deming, il faudrait créer les domaines à la main dans Deming, puis importer les controles via la fonction import, qui linkera par la suite l'ensemble des contrôles aux domaines créés?

Ou alors, l'import du fichier Excel permettra aussi de créer les domaines?

Si c'est que ça, je pourrai faire le référentiel PCI DSS sur base de ce que j'ai fait pour Monarc.

[dbarzin]

Exactement, merci pour la contribution !

[dbarzin]

L'import du fichier Excel permet aussi de créer les domaines.

[danje57]

Je viens d'importer le référentiel PCI DSS v4.0 EN:

Les domaines sont biens créés:

La question maintenant, c'est est-ce que je créé 1 ligne par sous controle de PCI DSS?
ça fait 281 prérequis de la norma. Soit un paquet de ligne à créer...

[dbarzin]

C'est exactement cela...

[danje57]

Voilà donc:

Avec une idée d'amélioration :), peux-tu ajouter dans le fichier Excel, la possibilité de remplir le champ description du nom de domaine? Après l'import, il est nécessaire de le remplir à la main.

Voici donc ce que ça donne:

280 Contrôles.

Dis moi si ça te va.

[danje57]

PCI DSS 4.0 EN b001.xlsx

[dbarzin]

Il est maintenant possible de fournir la description du domaine dans le fichier d'import.

[danje57]

Je mets just à jour Deming, et je dispose de la fonctionalité?

Il suffit juste d'ajouter un champ description dans le fichier Excel? Mais il y'a déjà un Champ description :p

[dbarzin]

Oui, git pull. La documentation sur l'écran d'import a été mis à jour. Le champ description du domaine se trouve juste après la colonne du titre du domaine.

[danje57]

Voilà je viens de mettre à jour.

PCI DSS 4.0 EN b002.xlsx

Petite idée de suggestion GUI, agrandir la combobox en fonction de la taille du plus grand string.

[dbarzin]

L'écran d'importation a été revu, il est maintenant possible d'importer un référentiel depuis un repository (répertoire storage/app/repository), d'effacer la base de données et de générer des données de test :