Bases sécurité & conformité

Plateformes

• SaaS (Software as a Service)
• PaaS (Platform as a Service)
• IaaS (Infrastructure as a service)
• Centre de données local

• Centres de données locaux. Dans un centre de données local, vous êtes responsable de tout, de la sécurité physique au chiffrement des données sensibles.
• Infrastructure as a Service (IaaS). De tous les services cloud, l’IaaS nécessite le plus de gestion par le client cloud. Avec IaaS, vous utilisez l’infrastructure informatique du fournisseur de cloud. Le client cloud n’est pas responsable des composants physiques, tels que les ordinateurs et le réseau, ni de la sécurité physique du centre de données. Toutefois, le client cloud reste responsable des composants logiciels exécutés sur cette infrastructure de calcul, notamment les systèmes d’exploitation, les contrôles réseau, les applications et la protection des données.
• Platform as a Service (PaaS). PaaS fournit un environnement de génération, de test et de déploiement d’applications logicielles. L’objectif du PaaS est de vous aider à créer rapidement une application sans avoir à gérer l’infrastructure sous-jacente. Avec le PaaS, le fournisseur de cloud gère le matériel et les systèmes d’exploitation, et le client est responsable des applications et des données.
• Software as a Service (SaaS). Le SaaS est hébergé et géré par le fournisseur de cloud, pour le client. Il est généralement concédé sous licence par le biais d’un abonnement mensuel ou annuel. Microsoft 365, Skype et Dynamics CRM Online sont des exemples de logiciels SaaS. Le SaaS nécessite le moins de gestion de la part du client cloud. Le fournisseur de cloud est responsable de la gestion de tout sauf des données, des appareils, des comptes et des identités.
  
  En résumé, les responsabilités toujours assumées par l’organisation cliente comprennent :
• Informations et données
• Appareils (mobiles et PC)
• Comptes et identités

Exemples de couches de sécurité :

• La couche de sécurité physique limite, par exemple, l’accès à un centre de données au personnel autorisé uniquement.
• Contrôles de sécurité des identités et des accès (par exemple l’authentification multifacteur et l’accès conditionnel) pour contrôler l’accès à l’infrastructure et les modifications.
• La sécurité périmètre de votre réseau d’entreprise comprend une protection contre les attaques par déni de service distribué (DDoS) pour filtrer les attaques à grande échelle avant qu’elles ne causent un déni de service pour les utilisateurs.
• Sécurité réseau (par exemple la segmentation réseau et les contrôles d’accès réseau) pour limiter la communication entre les ressources.
• La couche de sécurité informatique peut sécuriser l’accès aux machines virtuelles localement ou dans le cloud en fermant certains ports.
• La couche de sécurité des applications pour garantir que les applications sont sécurisées et exemptes de vulnérabilités de sécurité.
• La sécurité de la couche de données, y compris les contrôles pour gérer l’accès aux données commerciales et clients et le chiffrement pour protéger les données.

(CIA) Confidentialité, intégrité, disponibilité

• La confidentialité fait référence à la nécessité de conserver les données sensibles confidentielles telles que des informations sur les clients, des mots de passe ou des données financières. Vous pouvez chiffrer les données pour qu’elles restent confidentielles, mais vous devez également maintenir la confidentialité des clés de chiffrement. La confidentialité est la partie la plus visible de la sécurité. Nous pouvons clairement voir la nécessité de garder les données sensibles, les clés, les mots de passe et autres secrets confidentiels.
• L’intégrité fait référence au fait de s’assurer que les données ou les messages ne sont pas altérés. Lorsque vous envoyez un message électronique, vous devez vous assurer que le message reçu est le même que le message que vous avez envoyé. Lorsque vous stockez des données dans une base de données, vous devez vous assurer que les données que vous récupérez sont les mêmes que celles que vous avez stockées. Le chiffrement des données les garde confidentielles, mais vous devez ensuite être en mesure de les déchiffrer pour qu’elles soient les mêmes qu’avant d’être chiffrées. L’intégrité concerne la confiance que les données n’ont pas été altérées ou modifiées.
• La disponibilité fait référence à la mise à disposition des données pour ceux qui en ont besoin, quand ils en ont besoin. Il est important que l’organisation conserve les données client sécurisées, mais en même temps, ces données doivent également être disponibles pour les employés en relation avec les clients. Bien qu’il soit peut-être plus sûr de stocker les données dans un format chiffré, les employés ont besoin d’accéder aux données déchiffrées.