Accueil
Gestion des risques d'application
Suivez ce flux pour gérer les risques de sécurité dans votre organisation.
Etape 5 : Mesure de la progression et démonstration de la conformité
Apprenez à mesurer la progression et à démontrer la conformité.
Démonstration de la conformité
Apprenez à démontrer la conformité.
Rapport de conformité
Apprenez-en plus sur les rapports de conformité.
Rapport Sarbanes-Oxley Act (SOX) de 2002
Ce rapport affiche les problèmes liés à la loi Sarbanes-Oxley trouvés sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.

Bienvenue
Bienvenue dans la documentation HCL AppScan Enterprise 10.6.0, dans laquelle vous trouverez des informations sur l'installation, la maintenance et l'utilisation d'HCL AppScan Enterprise.
Fonctions d'accessibilité d'AppScan® Enterprise
Les fonctions d'accessibilité permettent aux utilisateurs souffrant d'un handicap (mobilité ou vision réduite, par exemple) de se servir efficacement des produits utilisant les technologies de l'information.
Présentation du produit
Installation
Apprenez à installer le produit.
Mise à niveau et migration
Apprenez à mettre à niveau le produit.
Intégration
Apprenez à intégrer le produit à d'autres solutions.
DevOps
Apprenez à étendre les fonctionnalités du produit en utilisant les API REST et les plug-ins.
Meilleures pratiques
Familiarisez-vous avec les meilleures pratiques d'utilisation du produit.
Configuration
Apprenez à configurer le produit.
Administration
Apprenez à administrer le produit.
Gestion des risques d'application
Suivez ce flux pour gérer les risques de sécurité dans votre organisation.
- Etape 1 : Création d'un inventaire d'applications
  Apprenez à créer un inventaire d'applications.
- Etape 2 : Test des applications pour identifier les vulnérabilités
  Apprenez à tester les vulnérabilités identifiées dans une application.
- Etape 3 : Détermination des risques et hiérarchisation des vulnérabilités
  Apprenez à déterminer les risques et hiérarchiser les vulnérabilités identifiées dans une application.
- Etape 4 : Résolution des risques
  Apprenez à éliminer les risques identifiés dans une application.
- Etape 5 : Mesure de la progression et démonstration de la conformité
  Apprenez à mesurer la progression et à démontrer la conformité.
  - Mesure de la progression
    Découvrez comment suivre les différentes mesures et tendances qui composent votre portefeuille.
  - Démonstration de la conformité
    Apprenez à démontrer la conformité.
    - Exportation des problèmes dans des rapports
      Vous pouvez générer des rapports personnalisés (HTML, PDF, Excel ou XML) sur les problèmes et les envoyer aux développeurs, aux auditeurs internes, aux testeurs d'intrusion, aux responsables et au RSSI. Les modèles de génération de rapport dans AppScan Enterprise mappent les données de sécurité d'application aux principales réglementations officielles et normes de l'industrie. Utilisez les rapports pour documenter les progrès vers les objectifs de conformité réglementaire, par exemple en montrant une réduction du nombre de vulnérabilités des applications associées aux problèmes de conformité.
    - Limitation de la taille d'un rapport de sécurité
      Les rapports de sécurité peuvent être très volumineux. Au cours de la génération de rapport, vous pouvez recevoir un message d'avertissement signalant que le fichier contient plusieurs centaines de pages ou que le processus de création de rapport dépasse le délai d'attente. Essayez de suivre les conseils ci-après pour réduire la taille de rapport.
    - Rapport de conformité
      Apprenez-en plus sur les rapports de conformité.
      - APRA PPG 234 - rapport Gestion du risque de sécurité dans les informations et les technologies de l'information
        Ce rapport signale les points de non-conformité de votre site concernant cette réglementation. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Rapport Basel II
        Ce rapport de conformité Basel II peut aider les institutions financières à gérer le risque d'exploitation dû à l'activité en ligne en identifiant et surveillant les vulnérabilités des applications Web et en générant des rapports sur ces vulnérabilités.
      - California Consumer Privacy Act (CCPA) - AB 375
        Ce rapport répertorie les problèmes détectés sur votre site qui ne sont pas conformes à ces réglementations. De nombreuses vulnérabilités d'applications Web peuvent entraîner des violations de sécurité qui affectent directement ou indirectement des informations personnelles et qui peuvent être considérées comme des infractions à la réglementation.
      - Rapport Children's Online Privacy Protection Act de 1998
        Ce rapport décrit les problèmes relatifs à la loi COPPA (Children's Online Privacy Protection Act) trouvés sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations. Remarque : de nombreux problèmes de ce rapport sont semblables à ceux du rapport HIPAA. Si les deux rapports sont ajoutés au tableau de bord, le nombre total de problèmes sera accru. Pour éviter cela, vous pouvez créer des onglets pour chaque rapport ou n'ajouter qu'un rapport au tableau de bord.
      - Rapport Data Protection Act (Royaume-Uni)
        Ce rapport indique les problèmes liés à la loi Data Protection Act trouvés sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Rapport DCID 6/3 Securing Advanced Technology IS
        Ce rapport analyse les résultats de l'examen d'applications web pour détecter d'éventuelles violations des règles de sécurité destinées à protéger les systèmes d'information interconnectés et les systèmes d'information recourant aux technologies avancées. Il facilite la détection d'éventuelles violations des règles de sécurité présentées dans les étapes 3, 4, 5 et 8 du processus d'accréditation.
      - Rapport DCID 6/3 - Disponibilité de base
        Ce rapport analyse les résultats de l'examen d'applications web pour détecter d'éventuelles violations des règles de disponibilité pour les systèmes fonctionnant avec le niveau de protection de base décrit au chapitre 6 du manuel "Protection des informations compartimentées sensibles au sein des systèmes d'information". Il facilite la détection d'éventuelles violations des règles de sécurité présentées dans les étapes 3, 4, 5 et 8 du processus d'accréditation. "Niveau de base" signifie que les informations doivent être disponibles avec une tolérance de retard flexible. La perte de disponibilité aura une incidence néfaste.
      - Rapport DCID 6/3 - Disponibilité moyenne
        Ce rapport analyse les résultats de l'examen d'applications web pour détecter d'éventuelles violations des règles de disponibilité pour les systèmes fonctionnant avec le niveau de protection moyen décrit au chapitre 6 du manuel "Protection des informations compartimentées sensibles au sein des systèmes d'information". Il facilite la détection d'éventuelles violations des règles de sécurité présentées dans les étapes 3, 4, 5 et 8 du processus d'accréditation. "Niveau moyen" signifie que les informations doivent être disponibles avec une tolérance de retard minimale, ou la perte de disponibilité peut avoir pour conséquences des dommages corporels ou avoir une incidence néfaste sur les intérêts de l'organisation.
      - Rapport DCID 6/3 - Disponibilité élevée
        Ce rapport analyse les résultats de l'examen d'applications web pour détecter d'éventuelles violations des règles de disponibilité pour les systèmes fonctionnant avec le niveau de protection élevé décrit au chapitre 6 du manuel "Protection des informations compartimentées sensibles au sein des systèmes d'information". Il facilite la détection d'éventuelles violations des règles de sécurité présentées dans les étapes 3, 4, 5 et 8 du processus d'accréditation. "Niveau élevé" signifie que les informations doivent être disponibles à la demande, sans tolérance de retard. La perte de disponibilité peut avoir pour conséquence la perte de vies humaines, avoir une incidence néfaste sur les intérêts nationaux ou la confidentialité.
      - Rapport DCID 6/3 - Exigences de confidentialité - Niveau de protection 1
        Ce rapport analyse les résultats de l'examen d'applications web pour détecter d'éventuelles violations des règles de confidentialité pour les systèmes fonctionnant avec le niveau de protection 1 décrit au chapitre 4 du manuel "Protection des informations compartimentées sensibles au sein des systèmes d'information". Il facilite la détection d'éventuelles violations des règles de sécurité présentées dans les étapes 3, 4, 5 et 8 du processus d'accréditation.
      - Rapport DCID 6/3 - Exigences de confidentialité - Niveau de protection 2
        Ce rapport analyse les résultats de l'examen d'applications Web pour détecter d'éventuelles violations des règles de confidentialité pour les systèmes fonctionnant avec le niveau de protection 2 décrit au chapitre 4 du manuel "Protection des informations compartimentées sensibles au sein des systèmes d'information". Il facilite la détection d'éventuelles violations des règles de sécurité présentées dans les étapes 3, 4, 5 et 8 du processus d'accréditation.
      - Rapport DCID 6/3 - Exigences de confidentialité - Niveau de protection 3
        Ce rapport analyse les résultats de l'examen d'applications Web pour détecter d'éventuelles violations des règles de confidentialité pour les systèmes fonctionnant avec le niveau de protection 3 décrit au chapitre 4 du manuel "Protection des informations compartimentées sensibles au sein des systèmes d'information". Il facilite la détection d'éventuelles violations des règles de sécurité présentées dans les étapes 3, 4, 5 et 8 du processus d'accréditation.
      - Rapport DCID 6/3 - Exigences de confidentialité - Niveau de protection 4
        Ce rapport analyse les résultats de l'examen d'applications Web pour détecter d'éventuelles violations des règles de confidentialité pour les systèmes fonctionnant avec le niveau de protection 4 décrit au chapitre 4 du manuel "Protection des informations compartimentées sensibles au sein des systèmes d'information". Il facilite la détection d'éventuelles violations des règles de sécurité présentées dans les étapes 3, 4, 5 et 8 du processus d'accréditation.
      - Rapport DCID 6/3 - Exigences de confidentialité - Niveau de protection 5
        Ce rapport analyse les résultats de l'examen d'applications Web pour détecter d'éventuelles violations des règles de confidentialité pour les systèmes fonctionnant avec le niveau de protection 5 décrit au chapitre 4 du manuel "Protection des informations compartimentées sensibles au sein des systèmes d'information". Il facilite la détection d'éventuelles violations des règles de sécurité présentées dans les étapes 3, 4, 5 et 8 du processus d'accréditation.
      - Rapport DCID 6/3 - Intégrité de base
        Ce rapport analyse les résultats de l'examen d'applications web pour détecter d'éventuelles violations des règles d'intégrité pour les systèmes fonctionnant avec le niveau d'intégrité de base décrit au chapitre 5 du manuel "Protection des informations compartimentées sensibles au sein des systèmes d'information". Il facilite la détection d'éventuelles violations des règles de sécurité présentées dans les étapes 3, 4, 5 et 8 du processus d'accréditation. "Niveau de base" signifie qu'un degré de résistance raisonnable contre les modifications non autorisées est requis. La perte d'intégrité aura une incidence néfaste.
      - Rapport DCID 6/3 - Intégrité moyenne
        Ce rapport analyse les résultats de l'examen d'applications web pour détecter d'éventuelles violations des règles d'intégrité pour les systèmes fonctionnant avec le niveau d'intégrité moyenne décrit au chapitre 5 du manuel "Protection des informations compartimentées sensibles au sein des systèmes d'information". Il facilite la détection d'éventuelles violations des règles de sécurité présentées dans les étapes 3, 4, 5 et 8 du processus d'accréditation. "Niveau moyen" signifie qu'un degré de résistance élevé mais non absolu contre les modifications non autorisées est requis. Une perte moyenne d'intégrité peut provoquer des dommages corporels ou avoir une incidence néfaste sur les intérêts de l'organisation.
      - Rapport DCID 6/3 - Intégrité élevée
        Ce rapport analyse les résultats de l'examen d'applications web pour détecter d'éventuelles violations des règles d'intégrité pour les systèmes fonctionnant avec le niveau d'intégrité élevé décrit au chapitre 5 du manuel "Protection des informations compartimentées sensibles au sein des systèmes d'information". Il facilite la détection d'éventuelles violations des règles de sécurité présentées dans les étapes 3, 4, 5 et 8 du processus d'accréditation. "Niveau élevé" signifie qu'un degré de résistance très élevé contre les modifications non autorisées est requis. La perte d'intégrité peut avoir pour conséquence la perte de vies humaines ou avoir une incidence néfaste sur les intérêts nationaux ou la confidentialité.
      - Rapport de conformité STIG sur la sécurité et le développement des applications de DISA, V5R3
        Ce rapport affiche les problèmes de sécurité des applications et de développement STIG, V5R3 de DISA détectés sur votre application. Le document Application Security and Development Security Technical Implementation Guide (STIG) propose des conseils de sécurité applicables durant le cycle complet de développement d'application. La Defense Information Systems Agency (DISA) encourage les sites à mettre en œuvre ces conseils dès le début du processus de développement d'application.
      - Rapport DoD Instruction 8500.1 - Cybersécurité
        Ce rapport présente les problèmes détectés sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Instruction 8550.1 du Ministère de la Défense américain - Rapport sur les services Internet et les capacités reposant sur Internet
        Ce rapport présente les problèmes détectés sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Rapport Electronic Funds Transfer Act and Regulation E
        Ce rapport indique les problèmes EFTA trouvés sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Rapport Directive européenne 1995/46/EC
        Ce rapport indique les problèmes liés à la Directive européenne sur la protection des données (EU 1995/46/EC) trouvé sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Rapport Directive européenne 2002/58/EC
        Ce rapport indique les problèmes liés à la Directive européenne sur la vie privée et les communications électroniques (EU2002/58/EC) trouvés sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Rapport Family Educational Rights and Privacy Act (FERPA)
        Ce rapport indique les problèmes FERPA trouvés sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - FFIEC (Federal Financial Institutions Examination Council) - Rapport Information Security IT Examination Handbook
        Ce rapport indique les problèmes FFIEC trouvés sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Rapport Federal Information Security Management Act (FISMA)
        Ce rapport indique les problèmes FISMA trouvés sur votre site. Beaucoup de vulnérabilités des applications Web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Rapport FedRAMP (Federal Risk and Authorization Management Program)
        Ce rapport présente les problèmes FedRAMP détectés sur votre site. Beaucoup de vulnérabilités des applications Web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Rapport Services financiers (GLBA)
        Ce rapport indique les problèmes GLBA trouvés sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Rapport Freedom of Information and Protection of Privacy Act (FIPPA)
        Ce rapport indique les problèmes FIPPA trouvés sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Rapport Health Insurance Portability Accountability Act (HIPAA) de 1996
        Ce rapport indique les problèmes HIPAA trouvés sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Rapport Personal Information Protection Act du Japon
        Ce rapport signale des points de non conformité de votre site concernant la loi Personal Information Protection du Japon. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Rapport Massachusetts 201 CMR 17.00
        Ce rapport de conformité MA 201 peut aider les institutions financières à gérer le risque d'exploitation dû à l'activité en ligne en identifiant et surveillant les vulnérabilités des applications Web et en générant des rapports sur ces vulnérabilités.
      - Rapport Management of Information Technology Security (MITS)
        Ce rapport de conformité MITS peut aider les institutions financières à gérer le risque d'exploitation dû à l'activité en ligne en identifiant et surveillant les vulnérabilités des applications Web et en générant des rapports sur ces vulnérabilités.
      - Rapport NERC CIPC Electricity Sector Security Guidelines
        Ce rapport indique les problèmes de violation de la réglementation NERC CIPC de votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Network & Information Security Directive (NIS2) Rapport de conformité
        Un Network & Information Security Directive (NIS2) rapport de conformité est un document qui décrit l'adhésion d'une organisation aux dernières réglementations NIS2, garantissant la sécurité et la résilience des réseaux et des systèmes d'information dans l'Union européenne.
      - Rapport PA-DSS (Payment Application Data Security Standard) v3.0
        Ce rapport de conformité PA-DSS peut aider les institutions financières à gérer le risque d'exploitation dû à l'activité en ligne en identifiant et surveillant les vulnérabilités des applications Web et en générant des rapports sur ces vulnérabilités.
      - Norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) - Rapport de conformité V4
        Ce rapport indique les problèmes PCI trouvés sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Rapport PIPED Act
        Ce rapport indique les problèmes PIPED trouvés sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Rapport Privacy Act de 1974
        Ce rapport indique les problèmes liés à la loi Privacy Act de 1974 trouvés sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Rapport de conformité à la Loi sur la protection des renseignements personnels (PoPIA)
        Ce rapport affiche les problèmes de conformité à la Loi sur la protection des informations personnelles (PoPIA) dans votre application. De nombreuses vulnérabilités des applications Web peuvent entraîner des violations de sécurité des informations personnelles, directement ou indirectement, et peuvent être considérées comme une violation de la réglementation.
      - Règlement 2016/679 du Parlement européen et du Conseil - Règlement général sur la protection des données (RGPD)
        Ce rapport décrit les problèmes liés à la Réglementation générale sur la protection des données (GDPR) trouvés sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Rapport Safe Harbor
        Ce rapport indique les problèmes liés à la législation Safe Harbor européenne trouvés sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Rapport Sarbanes-Oxley Act (SOX) de 2002
        Ce rapport affiche les problèmes liés à la loi Sarbanes-Oxley trouvés sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
      - Rapport Title 21 Code of Federal Regulations (21 CFR) Part 11
        Ce rapport indique les problèmes 21CFR11 (Code of Federal Regulations, Title 21, Part 11) trouvés sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.
    - Rapports sur les normes de l'industrie
      Apprenez-en plus sur le rapport sur les normes de l'industrie.
Traitement des incidents et support
Pour vous aider à comprendre, à isoler et à résoudre les incidents liés à vos logiciels HCL®, les informations de traitement des incidents et de support technique contiennent les instructions à suivre pour utiliser les ressources d'identification des incidents fournies avec les produits HCL.
Référence
Consultez les informations de référence relatives au produit.
Glossaire

Rapport Sarbanes-Oxley Act (SOX) de 2002

Ce rapport affiche les problèmes liés à la loi Sarbanes-Oxley trouvés sur votre site. Beaucoup de vulnérabilités des applications web peuvent conduire à des violations de sécurité directes ou indirectes concernant les informations personnelles, susceptibles d'être considérées comme des infractions à ces réglementations.

Pourquoi est-ce important

Les experts estiment que la loi Sarbanes-Oxley Act (SOX) est le jalon le plus important affectant la gouvernance d'entreprise depuis la loi Securities Act de 1934. Son objectif est de réformer la comptabilité des sociétés cotées et de protéger les investisseurs en améliorant la précision et la fiabilité des divulgations d'entreprise et en imposant une transparence financière.

Le défi actuel de la loi SOX est de garantir que la conformité peut être démontrée et faire l'objet d'une surveillance étroite et de comptes-rendus. Le domaine le plus couramment concerné est l'archivage de toutes les communications et la création de systèmes transparents et auditables pour l'enregistrement des transactions, les opérations et tout type de correspondance d'entreprise.

La section 404 rend les dirigeants responsables de la mise en place de procédures et de contrôles internes pour les rapports financiers, et exige que les auditeurs certifient l'évaluation de cette structure de contrôle et qu'ils en révèlent toute faiblesse.

Meilleures pratiques pour la conformité avec la loi SOX

Identifiez et surveillez les risques
Etablissez des contrôles internes efficaces
Utilisez des pratiques de codage sécurisées
Testez les applications web à la recherche de violations de sécurité potentielles avant déploiement