Qu’est-ce que la conformité ITAR ? Définition et réglementations

L’ITAR (International Traffic in Arms Regulations) est une réglementation américaine qui contrôle la fabrication, la vente et la distribution d’objets et de services liés à la défense et à l’espace, tels que définis dans l’USML (United States Munitions List).

Outre les lance-roquettes, torpilles et autres équipements militaires, la liste restreint également les plans, schémas, photos et autres documents utilisés pour construire des engins militaires contrôlés par l’ITAR. Ces données sont désignées par l’ITAR comme « données techniques ».

L’ITAR stipule que l’accès aux matériaux physiques ou aux données techniques liés à la défense et aux technologies militaires est réservé aux citoyens des États-Unis. Comment une entreprise peut-elle s’assurer que seuls les citoyens américains disposent de ces données sur un réseau, puis y accèdent, et que celles-ci sont conformes aux règles de l’ITAR ? Limiter l’accès à des objets physiques est simple, mais limiter l’accès aux données numériques est plus délicat.

Qui doit respecter l’ITAR ?

Toute société qui manipule, fabrique, développe, vend ou distribue des objets figurant dans l’USML doit se conformer aux règles de l’ITAR. Le Directorate of Defense Trade Controls (DDTC) du Département d’État gère la liste des entreprises qui peuvent vendre des biens et services relevant de l’USML, et il appartient à chacune d’entre elles d’établir des politiques pour se conformer à la réglementation ITAR.

• Grossistes
• Distributeurs
• Fournisseurs de logiciels et de matériel informatique
• Prestataires tiers
• Sous-traitants

Chaque entreprise de la supply chain doit se conformer aux règles de l’ITAR. Si l’entreprise A vend une pièce à l’entreprise B et qu’ensuite l’entreprise B revend la même pièce à une puissance étrangère, l’entreprise A est également en infraction avec l’ITAR.

Règles de l’ITAR

Les règles de l’ITAR sont simples : seuls les citoyens américains peuvent accéder aux objets figurant sur la liste USML.

Ces règles peuvent poser problème à de nombreuses entreprises américaines. Il leur est interdit, lorsqu’elles ont des activités à l’étranger, de partager des données techniques ITAR avec des employés recrutés localement, à moins qu’elles n’obtiennent l’autorisation du Département d’État. Le même principe s’applique aux entreprises américaines travaillant avec des sous-traitants étrangers.

Le Département d’État peut accorder des dérogations à cette règle, et il existe des dérogations déjà établies à des fins spécifiques. Certains pays disposent actuellement d’accords avec les États-Unis qui s’appliquent à l’ITAR : l’Australie, le Canada et le Royaume-Uni, par exemple.

Le gouvernement américain exige la mise en place et l’application d’un programme de conformité ITAR documenté, qui doit inclure le suivi, la surveillance et l’audit des données techniques. En plus des données techniques, il est également judicieux d’identifier chaque page avec un avis ou un marqueur ITAR afin que les employés ne partagent pas accidentellement des informations contrôlées avec des utilisateurs non autorisés.

L’ITAR a pour but d’assurer le suivi du matériel militaire et de défense sensible et d’empêcher que celui-ci ne tombe entre les mains d’ennemis des États-Unis. Le non-respect des règles peut entraîner de lourdes amendes ainsi qu’une importante perte de crédibilité et écorner l’image de l’entreprise fautive, sans parler de la perte potentielle d’activité en faveur d’un concurrent se conformant aux règles.

Sanctions pour non-respect des règles de l’ITAR

Les sanctions pour toute infraction aux règles de l’ITAR sont particulièrement sévères :

• Une amende civile pouvant atteindre 500 000 dollars par infraction
• Une amende pénale pouvant atteindre 1 000 000 dollars et/ou 10 ans de prison par infraction

En avril 2018, le Département d’État a infligé une amende civile de 30 millions de dollars à FLIR Systems, Inc pour avoir transmis des données relevant de l’USML à des employés binationaux. FLIR a dû en outre mettre en place de meilleures mesures de conformité et engager un agent extérieur agréé, afin de superviser l’application de l’accord conclu avec le Département d’État.

En 2007, ITT a écopé d’une amende de 100 millions de dollars pour exportation illégale de technologie de vision nocturne. ITT pensait pouvoir contourner les règles, mais le gouvernement n’a pas apprécié l’interprétation qu’ils en ont fait.

Types de matériels militaires

L’USML dénombre 21 catégories d’équipements militaires. Est considéré comme matériel militaire tout élément figurant sur cette longue et singulière liste :

1. 1. Armes à feu (jusqu’au calibre .50), fusils d’assaut et fusils de combat
   2. Armes à feu (au-delà du calibre .50) et artillerie portative
   3. Munitions/obus
   4. Lanceurs mobiles, missiles guidés, missiles balistiques, roquettes, torpilles, bombes et mines
   5. Explosifs et matières énergétiques, propergols, agents incendiaires et leurs constituants
   6. Navires de guerre de surface et équipements navals spéciaux
   7. Véhicules terrestres
   8. Aéronefs et assimilés
   9. Matériel d’entraînement militaire et de formation militaire
   10. Équipements de protection individuelle
   11. Électronique militaire
   12. Équipement de conduite de tir, de laser, d’imagerie et de guidage
   13. Équipements et matériels divers
   14. Agents toxiques, notamment chimiques et biologiques, ainsi que l’équipement connexe
   15. Engins spatiaux et assimilés
   16. Armes nucléaires et assimilées
   17. Autres objets, données techniques et services de défense confidentiels
   18. Armes à énergie dirigée
   19. Turbines à gaz et équipements associés
   20. Submersibles et assimilés
   21. Autres objets, données techniques et services de défense

Comment sécuriser vos données ITAR

Compte tenu des sanctions associées au non-respect des règles de l’ITAR, il est logique de protéger les données numériques avec autant de couches de sécurité que possible. Étant donné que l’ITAR est une réglementation fédérale américaine, ses propres conseils en matière de sécurité des données sont un excellent point de départ. NIST SP 800-53 définit les normes et directives que les organismes fédéraux doivent respecter, et toute entreprise qui gère des documents soumis aux règles de l’ITAR doit utiliser NIST SP 800-53 comme base pour ses propres normes de sécurité. Suivez ces principes de base pour sécuriser vos données ITAR :

• Recensement et classification des données sensibles
  Localiser et sécuriser toutes les données sensibles
  Classer les données en fonction de la politique de l’entreprise
• Cartographie des données et des autorisations
  Identifier les droits des utilisateurs et des groupes, ainsi que les droits sur les dossiers et fichiers
  Déterminer qui a accès à quelles données
• Gestion du contrôle d’accès
  Identifier et révoquer les utilisateurs obsolètes
  Gérer les appartenances des utilisateurs et des groupes
  Supprimer les groupes à accès global
  Appliquer un modèle de moindre privilège
• Surveillance des données, de l’activité des fichiers et du comportement des utilisateurs
  Contrôler les événements et l’activité au niveau des fichiers et générer les rapports correspondants
  Surveiller les menaces internes, les logiciels malveillants, les mauvaises configurations et les failles de sécurité
  Détecter et corriger les vulnérabilités

FAQ sur la conformité aux règles de l’ITAR

1. Comment Varonis peut-il m’aider à trouver toutes mes données ITAR ?
   Data Classification Engine identifie et classe les données réglementées dans vos principaux dépôts de données, sur site et dans le cloud. Vous pouvez configurer des règles pour identifier les données ITAR et même appliquer des balises personnalisées, des repères et des notes aux données réglementées.
2. Qui peut accéder à ces données ITAR ?
   Varonis DatAdvantage analyse vos systèmes de fichiers pour identifier les autorisations relatives à toutes vos données, notamment les données ITAR. Comprendre qui peut accéder à ces données est la première étape pour protéger ces dernières contre tout accès non autorisé. Avec DatAdvantage, vous pouvez voir ces informations sous forme graphique dans une interface utilisateur claire et conviviale, ou en tant que rapport exportable.
3. Comment savoir si quelqu’un a accédé à mes données ITAR ?
   Varonis DatAlert surveille vos données et déclenche des alertes en cas d’accès, notamment un dossier contenant vos données ITAR. Vous pouvez détecter, signaler et étudier tout comportement suspect ou toute activité inhabituelle sur vos données ITAR, et maintenir une piste d’audit complète pour vous aider à rester en conformité avec cette règlementation.
4. Comment puis-je gérer l’accès aux données ITAR ?
   Automation Engine répare et gère automatiquement les droits du système de fichiers afin de maintenir le verrouillage des données ITAR et de vous aider à appliquer un modèle de moindre privilège. Varonis DataPrivilege permet de rationaliser la gouvernance des accès, d’appliquer automatiquement les politiques de sécurité et de démontrer la conformité aux contrôleurs gouvernementaux.

Vous souhaitez en savoir plus sur la façon de gérer vos données ITAR pour respecter la conformité ? Demandez une démonstration personnalisée avec un ingénieur en sécurité pour découvrir comment Varonis peut vous aider.