Un rapport de menace est marqué TLP:AMBER. Pouvez-vous le transmettre à vos clients ?

Les labels TLP semblent simples, mais les recruteurs s'en servent pour vérifier que vous manipulez le renseignement partagé avec rigueur. Les mauvaises réponses confondent AMBER avec RED ou GREEN.

Ce que dit TLP 2.0

Le Traffic Light Protocol du FIRST définit jusqu'où un destinataire peut diffuser l'information :

• TLP:CLEAR : partageable avec le monde entier, sous réserve des règles de droit d'auteur.
• TLP:GREEN : partageable dans la communauté, avec des pairs et organisations partenaires, mais pas via des canaux publics.
• TLP:AMBER : partageable selon le besoin d'en connaître au sein de sa propre organisation et avec ses clients, pour les protéger ou éviter de nouveaux dommages. Les clients sont inclus par défaut.
• TLP:AMBER+STRICT : limité à sa propre organisation ; les clients sont exclus.
• TLP:RED : réservé aux destinataires nommés, sans divulgation ultérieure (en réunion, aux seuls présents).

Lecture pratique

Transmettre un rapport AMBER à des clients qui en ont besoin pour leur défense est donc permis ; le publier sur un blog ou le donner à un pair d'un ISAC qui n'est pas votre client ne l'est pas. Si la source a ajouté des restrictions, vous les respectez, et tout partage plus large exige son autorisation explicite.

Pourquoi les distracteurs séduisent

« Ne quitte jamais l'organisation » décrit AMBER+STRICT. « Toute la communauté, canaux publics » confond AMBER avec GREEN/CLEAR. « Une seule personne nommée » correspond à RED.

Ce que veulent les recruteurs

La portée d'AMBER face à AMBER+STRICT, la condition du besoin d'en connaître, et le réflexe de demander à la source avant d'aller au-delà du label.