Regard complet sur la sécurité et l’usage de services infonuagiques

Présentation au sujet: "Regard complet sur la sécurité et l’usage de services infonuagiques"— Transcription de la présentation:

1 Regard complet sur la sécurité et l’usage de services infonuagiques

2 Questionnez les réponses

3 Établir une stratégie Justification du besoin d’affaires
Identifier les parties prenantes et leur besoins en sécurité Gouvernance spécifique et adaptée Définition des contrôles et identification des écarts Définition du plan triennal

4 Justification du besoin d’affaires
La dématérialisation de services d’information a réussi de convaincre la clientèle que le risque est transféré ou inexistant. Les T.I. sont donc rarement impliqués dans la sélection d’un fournisseur. L’impartition du risque est rarement mise au défi. Pour justifier une dépense en sécurité, l’analyse du risque doit comporter tous les scénarios possibles.

5 Identifier les parties prenantes
Quelle est la nature des informations envoyées sur les services infonuagiques et à qui appartiennent-elles? Les mécanismes de contrôle prévus pour sécuriser les échanges sont-ils connus, compris et approuvés?

6 Gouvernance spécifique et adaptée
Les types de contrôles classiques ne répondent plus à tous les besoins. La gouvernance en est-elle informée? Les flux de données doivent être révisés, ainsi que les nouvelles technologies pour les protéger. HTTPS ne suffit plus. Surtout s’il est important d’identifier le contenu réel. (source + destination) + port ≠ type de contenu

7 Définir les contrôles et adresser les écarts
Rappel: (source + destination) + port ≠ type de contenu Les contrôles traditionnels sont utiles seulement lorsque L’existence du contenu est connu Le contenu est connu à 100% Sans mesures avancés de detection de contenu, les angles morts sont énormes.

8 Définir les contrôles et adresser les écarts
Contrôles différents pour les types de services IaaS PaaS SaaS Conformité Gouvernance Client Données Application Partagé Plateforme Fournisseur Infrastructure Physique

9 Définition du plan triennal
Année 1 Implantation de contrôles Evolution de l’évaluation des menaces Tests des contrôles Année 2 Tests de conformité Remédiations et implantation de contrôles Tests post-remédiations Année 3 Réévaluation des choix technologiques de contrôles Répéter Année 2

10 Test de contrôles A qui appartiennent les contrôles? (client ou fournisseur) Sur qui repose l’imputabilité du risqué? Les contrôles sont-ils testés de façon régulière et systématique?

11 Questionnez les réponses