les menaces planant sur vos donnes

L'inscurit du cloud 24 mars 2011

<d.ducamp@itrust.fr>
Immeuble ACTYS/1 55 Avenue l'Occitane BP 67303 31673 LABEGE CEDEX contact@itrust.fr Tel: 05.67.34.67.80 Fax: 09.80.08.37.23

http://www.itrust.fr
Cabinet de conseil en scurit informatique 2011 - v1.0 - 1

Nous sommes

Un Cabinet d audit et conseil vocation Internationale :

Cr par des Experts Reconnus de la Scurit Informatique et de la gestion des risques Dot d une Indpendance Technique et Financire Bti autour d quipes techniques stables Respectant des Normes et Mthodologies reconnues & abouties Disposant d laboratoire technique un Dont les valeurs sont :
L'thique, avec le strict respect de valeurs dclines dans une une charte de dontologie La comptence, avec la volont de faire bnficier d savoir-faire & non d concept un un

ITrust : un Ple d Experts vocation internationale

Cabinet de conseil en scurit informatique

2011

La scurit informatique

Elle est base sur 3 principes

La confidentialit L'intgrit La disponibilit

Cabinet de conseil en scurit informatique

2011 - v1.0 - 3

Le cloud

Avant tout un hbergement

Sur lequel vous n'avez qu'un minimum de pouvoirs La conception et l'administration sont la charge du fournisseur

Matriels, rseaux, systmes, logiciels...

Sa plus grande valeur est celle des donnes que vous y hbergez

Le fournisseur a un accs total ces donnes

Sauvegardes, mises jour...

Quand est-il des autres clients, des tiers... ?

2011 - v1.0 - 4

Cabinet de conseil en scurit informatique

Les pouvoirs du fournisseur

Il a conu son architecture et l'administre

Les locaux

lectricit, climatisation, accs physique, protections catastrophes naturelles (incendies, inondations...)... Fournisseur d'accs Internet, redondance de lignes Firewalls, routeurs filtrants, anti-virus, dtections d'intrusion... Physiques et virtuelles, mutualisation Durcissement, mises jour Sauvegardes (frquences et scurits logique et physique)
2011 - v1.0 - 5

Les rseaux et ses dispositifs de scurit

Les machines

Les systmes d'exploitation

Les logiciels et les donnes

Cabinet de conseil en scurit informatique

Gestion de la scurit de vos donnes

L'effacement des donnes est-il scuris ?

ie wiping

Lors de l'effacement de fichiers Lors de l'effacement de machines virtuelles Lors de l'effacement de sauvegardes Quid de la rutilisation pour d'autres clients :

De serveurs physiques, De machines virtuelles, D'espaces de stockage, De supports de sauvegardes...

Cabinet de conseil en scurit informatique

2011 - v1.0 - 6

Contractuellement

Il y a-t-il une clause de scurit dans le contrat ?

Que couvre-t-elle ?

Confidentialit

Mise en place de filtrages IP et de durcissement systme Mises jour ractives et monitoring des systmes Cloisonnement des utilisateurs : machines virtuelles, sauvegardes... Duplications de machines (virtuelles) et de sauvegardes sur des sites distants Taux de fonctionnement, temps de raction... Duplications de machines (virtuelles) et de sauvegardes sur des sites distants Machines et disques redondances Restitution ou transfert des donnes/machines virtuelles en fin de contrat
2011 - v1.0 - 7

Intgrit

Disponibilit

Cabinet de conseil en scurit informatique

Avant et aprs l'incident de scurit ?

Avant l'incident est-il possible d'auditer le fournisseur ?

Audits d'architectures, de configuration, tests d'intrusion Le fournisseur le dtectera-t-il ?

Lors de l'incident de scurit

Aprs l'incident de scurit

Le fournisseur sera-t-il transparent ? Collecte-t-il suffisamment d'informations pour permettre des analyses post-mortem ?

A-t-il la capacit mener une enqute ? Vous autorisera-t-il mener votre propre enqute ?

Par vos quipes ou un via tiers indpendant.

Cabinet de conseil en scurit informatique

2011 - v1.0 - 8

Conclusion

Mettre en balance le ct pratique et la sensibilit des donnes Se renseigner sur la comptence en scurit du fournisseur

Et tablir une clause contractuelle de scurit avec lui

Les promesses orales peuvent donner un faux sentiment de scurit

Comme d'habitude : anticiper

Pour viter l'irrparable

2011 - v1.0 - 9

Cabinet de conseil en scurit informatique

Vos questions ?

Merci de votre attention

Intgrit Excellence Innovation - Confidentialit

Cabinet de conseil en scurit informatique

2011 - v1.0 - 10