{"id":17352,"date":"2021-03-18T09:44:07","date_gmt":"2021-03-18T09:44:07","guid":{"rendered":"https:\/\/sofialocks.com\/securite-et-protection-des-donnees\/"},"modified":"2024-07-22T06:26:56","modified_gmt":"2024-07-22T06:26:56","slug":"securite-et-protection-des-donnees-psti","status":"publish","type":"page","link":"https:\/\/sofialocks.com\/fr\/securite-et-protection-des-donnees-psti\/","title":{"rendered":"S\u00e9curit\u00e9 et protection des donn\u00e9es (PSTI)"},"content":{"rendered":"\n
\n
\n
\n
\n

L’OPEN SOURCE AU SERVICE DE LA S\u00c9CURIT\u00c9<\/h2>\n\n\n\n

Nous consid\u00e9rons qu’il est strat\u00e9gique de s’appuyer sur des composants logiciels Open Source largement maintenus et \u00e9tablis, en \u00e9vitant autant que possible les solutions personnalis\u00e9es qui sont difficiles \u00e0 maintenir et qui n’ont pas \u00e9t\u00e9 test\u00e9es de mani\u00e8re approfondie. Les approches du type\u00ab\u00a0pas invent\u00e9 ici<\/em>\u00a0\u00bb et\u00ab\u00a0s\u00e9curit\u00e9 par l’obscurit\u00e9<\/em>\u00a0\u00bb ne font pas partie de notre culture, m\u00eame avant nos syst\u00e8mes.<\/p>\n<\/div><\/div>\n<\/div>\n\n\n\n

\n
\n
\"\"<\/figure>\n<\/div><\/div><\/div>\n<\/div>\n<\/div>\n<\/div><\/div>\n\n
\n
\n
\n

LES MEILLEURES PRATIQUES EN MATI\u00c8RE D’INFRASTRUCTURES ET D’APPLICATIONS<\/h2>\n\n\n\n

La fiabilit\u00e9, l’\u00e9volutivit\u00e9 et la s\u00e9curit\u00e9 sont les motivations qui nous ont pouss\u00e9s \u00e0 choisir le fournisseur de cloud leader du march\u00e9 comme partenaire de choix pour nos syst\u00e8mes de cloud. La s\u00e9curit\u00e9 des applications mises en service sur AWS est garantie par l’adoption des meilleures pratiques recommand\u00e9es par le fournisseur de cloud lui-m\u00eame, depuis le chiffrement des donn\u00e9es (avant tout au niveau de la base de donn\u00e9es, ainsi que sur le stockage d’objets et dans tout autre support de donn\u00e9es\u00a0\u00bb au repos<\/em>\u00ab\u00a0) jusqu’\u00e0 la communication entre les services (toujours sur des VPC internes, et strictement sur un canal SSL s\u00e9curis\u00e9), en passant par l’authentification des utilisateurs (via la norme OAuth 2.0 pour les utilisateurs du syst\u00e8me, et l’authentification unique avec authentification multifactorielle pour l’employ\u00e9 qui travaille sur l’infrastructure).<\/p>\n<\/div><\/div>\n<\/div>\n<\/div>\n\n

\n
\n
\n

INFRASTRUCTURE-AS-CODE ET R\u00c9SILIENCE<\/h2>\n\n\n\n

L’ensemble de l’infrastructure est g\u00e9r\u00e9 par une \u00ab\u00a0approche d\u00e9clarative\u00a0\u00bb dans la d\u00e9finition des ressources et leur configuration : cela permet d’appliquer des proc\u00e9dures robustes et automatiques de\u00ab\u00a0reprise apr\u00e8s sinistre<\/em>\u00a0\u00bb qui minimisent l’objectif de temps de r\u00e9cup\u00e9ration (RTO) et l’objectif de point de r\u00e9cup\u00e9ration (RPO) en cas de d\u00e9faillance distribu\u00e9e. Nous avons tendance \u00e0 tester p\u00e9riodiquement ces proc\u00e9dures pour nous assurer qu’elles sont \u00e0 jour et correctes, en commandant des \u00e9valuations p\u00e9riodiques \u00e0 des consultants en cybers\u00e9curit\u00e9 ext\u00e9rieurs \u00e0 l’organisation pour valider les choix technologiques et les mesures mises en place pour d\u00e9fendre le p\u00e9rim\u00e8tre de la plate-forme.<\/p>\n<\/div><\/div>\n<\/div>\n<\/div>\n\n

\n
\n
\n
\n

PROTECTION DU P\u00c9RIM\u00c8TRE DE L’ENTREPRISE<\/h2>\n\n\n\n

La s\u00e9curit\u00e9 des ordinateurs et des appareils de l’entreprise est assur\u00e9e par le cryptage des disques, l’identification biom\u00e9trique des employ\u00e9s et la gestion \u00e0 distance compl\u00e8te du parc d’appareils.\nL’authentification du personnel pour l’acc\u00e8s aux services internes et externes de l’entreprise se fait, lorsque cela est techniquement possible, par le biais d’un syst\u00e8me d’authentification unique (SSO) via Google Suite Business : cela nous garantit un point d’acc\u00e8s unique aux communications et aux syst\u00e8mes de l’entreprise, avec des politiques strictes en mati\u00e8re de renouvellement des mots de passe et d’identification multifactorielle.\nLes cl\u00e9s d’acc\u00e8s aux syst\u00e8mes qui ne prennent pas en charge l’int\u00e9gration avec notre fournisseur SSO sont partag\u00e9es via un service de gestion des secrets d\u00e9di\u00e9, qui \u00e0 son tour ne peut \u00eatre consult\u00e9 que via le SSO de l’entreprise. <\/p>\n<\/div><\/div>\n<\/div>\n\n\n\n

\n
\n
\"\"<\/figure>\n<\/div><\/div><\/div>\n<\/div>\n<\/div>\n<\/div><\/div>\n\n
\n
\n
\n
\n

PARTITIONNEMENT DES DONN\u00c9ES ET GESTION DES SECRETS<\/h2>\n\n\n\n

Les environnements de production et de d\u00e9veloppement sont physiquement et logiquement ind\u00e9pendants, ce qui nous permet de limiter strictement l’acc\u00e8s aux donn\u00e9es r\u00e9elles des utilisateurs au personnel strictement autoris\u00e9 pour les activit\u00e9s de maintenance des applications et des infrastructures.\nLe code d’application et les secrets n\u00e9cessaires \u00e0 l’acc\u00e8s aux syst\u00e8mes sont toujours g\u00e9r\u00e9s de mani\u00e8re ind\u00e9pendante, en utilisant des proc\u00e9dures automatiques pour r\u00e9concilier les r\u00e9f\u00e9rences aux secrets pendant les phases de publication des logiciels dans les environnements respectifs.\nL’utilisation d’un service de gestion des secrets fiable (bas\u00e9 sur une architecture\u00ab\u00a0zero knowledge\u00a0\u00bb<\/em>) et centralis\u00e9 permet d’automatiser la gestion des cl\u00e9s d’acc\u00e8s et leur rotation p\u00e9riodique. <\/p>\n<\/div><\/div>\n<\/div>\n\n\n\n

\n
\n
\"\"<\/figure>\n<\/div><\/div><\/div>\n<\/div>\n<\/div>\n<\/div><\/div>\n\n
\n
\n
\n

AUDIT ET JOURNALISATION DISTRIBU\u00c9S<\/h2>\n\n\n\n

Toute activit\u00e9 de l’utilisateur dans le syst\u00e8me est suivie via les journaux de l’application et du syst\u00e8me : d’une part, le suivi de l’activit\u00e9 peut aider au d\u00e9pannage en fournissant un historique pr\u00e9cis des activit\u00e9s effectu\u00e9es et des responsabilit\u00e9s respectives des d\u00e9veloppeurs, des administrateurs syst\u00e8me et\/ou des utilisateurs finaux ; d’autre part, en assurant la conformit\u00e9 de notre plateforme avec les derni\u00e8res r\u00e9glementations impos\u00e9es par le GDPR.<\/p>\n<\/div><\/div>\n<\/div>\n<\/div>\n\n

\n
\n
\n

AUTRES CONSID\u00c9RATIONS SUR LE GDPR<\/h2>\n\n\n\n

Toutes les activit\u00e9s d\u00e9crites jusqu’\u00e0 pr\u00e9sent visent \u00e0 garantir les normes de s\u00e9curit\u00e9 requises par le r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es (RGPD) \u00e0 n’importe quel stade du d\u00e9veloppement et de la mise en \u0153uvre du syst\u00e8me.\nOutre les choix techniques visant \u00e0 minimiser les risques, le traitement des donn\u00e9es est garanti dans le respect des principes de lic\u00e9it\u00e9 \u00e9nonc\u00e9s dans le r\u00e8glement, notamment : <\/p>\n\n\n\n