Regard complet sur la sécurité et l’usage de services infonuagiques

Questionnez les réponses

Établir une stratégie Justification du besoin d’affaires Identifier les parties prenantes et leur besoins en sécurité Gouvernance spécifique et adaptée Définition des contrôles et identification des écarts Définition du plan triennal

Justification du besoin d’affaires La dématérialisation de services d’information a réussi de convaincre la clientèle que le risque est transféré ou inexistant. Les T.I. sont donc rarement impliqués dans la sélection d’un fournisseur. L’impartition du risque est rarement mise au défi. Pour justifier une dépense en sécurité, l’analyse du risque doit comporter tous les scénarios possibles.

Identifier les parties prenantes Quelle est la nature des informations envoyées sur les services infonuagiques et à qui appartiennent-elles? Les mécanismes de contrôle prévus pour sécuriser les échanges sont-ils connus, compris et approuvés?

Gouvernance spécifique et adaptée Les types de contrôles classiques ne répondent plus à tous les besoins. La gouvernance en est-elle informée? Les flux de données doivent être révisés, ainsi que les nouvelles technologies pour les protéger. HTTPS ne suffit plus. Surtout s’il est important d’identifier le contenu réel. (source + destination) + port ≠ type de contenu

Définir les contrôles et adresser les écarts Rappel: (source + destination) + port ≠ type de contenu Les contrôles traditionnels sont utiles seulement lorsque L’existence du contenu est connu Le contenu est connu à 100% Sans mesures avancés de detection de contenu, les angles morts sont énormes.

Définir les contrôles et adresser les écarts Contrôles différents pour les types de services IaaS PaaS SaaS Conformité Gouvernance Client Données Application Partagé Plateforme Fournisseur Infrastructure Physique

Définition du plan triennal Année 1 Implantation de contrôles Evolution de l’évaluation des menaces Tests des contrôles Année 2 Tests de conformité Remédiations et implantation de contrôles Tests post-remédiations Année 3 Réévaluation des choix technologiques de contrôles Répéter Année 2

Test de contrôles A qui appartiennent les contrôles? (client ou fournisseur) Sur qui repose l’imputabilité du risqué? Les contrôles sont-ils testés de façon régulière et systématique?

Questionnez les réponses