A propos des stratégies de sécurité et de conformité efficaces

Créer une stratégie de conception

Intégrez la sécurité et la conformité à vos déploiements cloud en les concevant intégralement dans un souci de sécurité.

Une stratégie de conception de sécurité complète assure la sécurité via la gestion des identités : processus d'authentification et d'autorisation des principaux de sécurité. Utilisez les services de gestion des identités pour authentifier et accorder des autorisations aux utilisateurs, partenaires, clients, applications, services et autres entités.

Elle encourage également la protection des ressources en contrôlant le trafic réseau provenant d'Oracle Cloud Infrastructure, entre les ressources sur site et hébergées par Oracle Cloud Infrastructure, ainsi que le trafic vers et depuis Oracle Cloud Infrastructure. Si aucune mesure de sécurité n'est en place, les attaquants peuvent y accéder, par exemple en parcourant les plages d'adresses IP publiques. Des contrôles de sécurité réseau appropriés peuvent fournir des éléments de défense en profondeur qui aident à détecter, contenir et arrêter les attaquants qui tentent d'entrer dans vos déploiements cloud.

Une stratégie de conception réussie vise également à classer, protéger et surveiller les ressources de données sensibles à l'aide du contrôle d'accès, du cryptage et de la connexion à Oracle Cloud Infrastructure. Il mettra également en place des contrôles sur les données au repos et en transit.

Les applications et les données qui leur sont associées constituent la principale réserve de valeur commerciale sur une plate-forme cloud. Les applications peuvent jouer un rôle dans les risques pour l'entreprise car elles encapsulent et exécutent des processus métier qui doivent être disponibles et fournis avec une grande intégrité. Les applications stockent et traitent également des données métier qui nécessitent des garanties élevées de confidentialité, d'intégrité et de disponibilité. Par conséquent, une stratégie réussie doit se concentrer sur et activer la sécurité des applications et des données.

Gardez à l'esprit les principes FinOps lors de la création de votre stratégie de conception de sécurité, en intégrant les considérations de coût dans les pratiques de sécurité. L'équilibre entre les mesures de sécurité et la rentabilité est conforme aux principes d'optimisation de la valeur de FinOps.

Les zones de renvoi OCI sont une option permettant de déployer une architecture avec ces fonctionnalités de conception de sécurité et de conformité intégrées. Les zones de renvoi permettent un provisionnement reproductible en 1 clic d'une infrastructure de location et de charge de travail renforcée par le CIS (Center for Internet Security), y compris des services cloud essentiels tels que l'identité, la sécurité, le réseau, l'observabilité et la gouvernance. Utilisez OCI Landing Zones pour activer les services de sécurité OCI, notamment Oracle Cloud Guard, OCI Vault et le service OCI Vulnerability Scanning, afin d'obtenir un état de sécurité élevé.

Créer une stratégie de surveillance et d'audit

Une stratégie de surveillance réussie sera axée sur la modélisation de la santé.

La modélisation de l'état fait référence aux activités qui maintiennent l'état de sécurité d'une charge globale via la surveillance. Ces activités peuvent indiquer si les pratiques de sécurité actuelles sont efficaces ou s'il existe de nouvelles exigences. La modélisation de l'état peut inclure les catégories suivantes :

Surveillez la charge globale et l'infrastructure dans laquelle elle s'exécute.
Configurer et utiliser des alertes et des notifications.
Journaux de service agrégés avec les plates-formes SIEM (Security Information and Event Management).
Réalisations des audits.
Activer, acquérir et stocker les journaux d'audit.
Mettre à jour et corriger les correctifs de sécurité.
Réponse aux incidents.
Simulation d'attaques sur la base d'incidents réels.

Créer une stratégie d'optimisation

Une fois qu'une référence sécurisée a été établie pour les opérations de sécurité dans le cloud, les équipes de sécurité devront examiner en permanence les processus et contrôles de sécurité propres au cloud qui peuvent entraîner des avancées et des optimisations par rapport aux pratiques de sécurité existantes.

Des milliers d'entreprises utilisent les services cloud avec succès et en toute sécurité pour atteindre leurs objectifs commerciaux afin d'accroître l'agilité et de réduire le coût des services informatiques. Ce cadre de bonnes pratiques fournit des recommandations pour les modèles des organisations chargées des opérations de sécurité qui fourniront les architectures, processus et contrôles de sécurité nécessaires pour permettre une utilisation sécurisée des services cloud par l'entreprise. En plus de commencer par un déploiement sécurisé, vous devez mettre en œuvre une stratégie d'amélioration continue.

Suivre les principes de conception de sécurité

Les articles de ce pilier décrivent comment implémenter les trois stratégies de conception, de surveillance et d'optimisation, et proposent des recommandations sur la façon dont elles peuvent être implémentées dans Oracle Cloud Infrastructure. Chacune de ces recommandations met en oeuvre un ou plusieurs des principes de conception de sécurité suivants.

Ces principes prennent en charge ces trois stratégies clés et décrivent un système à architecture sécurisée hébergé sur des centres de données cloud ou sur site (ou une combinaison hybride des deux). L'application de ces principes augmentera considérablement la probabilité que votre architecture de sécurité maintienne des garanties de confidentialité, d'intégrité et de disponibilité.

Les meilleures pratiques en matière de sécurité et de conformité implémentent les principes de conception suivants :

Conception pour la résilience : votre stratégie de sécurité doit supposer que les contrôles échoueront et qu'ils seront conçus en conséquence. Pour rendre votre posture de sécurité plus résiliente, plusieurs approches doivent fonctionner ensemble :
- Vigilance continue : assurez-vous que les anomalies et les menaces potentielles susceptibles de présenter des risques pour l'entreprise sont traitées en temps opportun.
- Défense en profondeur : envisagez des contrôles supplémentaires dans la conception pour atténuer les risques pour l'organisation en cas d'échec d'un contrôle de sécurité principal. Cette conception devrait tenir compte de la probabilité que le contrôle primaire échoue, du risque organisationnel potentiel s'il le fait et de l'efficacité du contrôle supplémentaire (en particulier dans les cas probables qui entraîneraient l'échec du contrôle primaire).
- Défense en périphérie : envisagez une sécurité en périphérie intégrée et efficace pour contrôler les menaces avant qu'elles n'affectent vos applications. Cela est essentiel pour la conformité des stratégies de sécurité des informations.
Conception pour les attaquants : votre conception et votre hiérarchisation de la sécurité doivent se concentrer sur la façon dont les attaquants voient votre environnement, ce qui n'est souvent pas la façon dont les équipes informatiques et d'applications le voient. Informez votre conception de sécurité et testez-la avec des tests d'intrusion pour simuler des attaques ponctuelles. Utilisez des équipes rouges pour simuler des groupes d'attaque persistants à long terme. Concevez votre stratégie de segmentation d'entreprise et d'autres contrôles de sécurité pour contenir les mouvements latéraux des attaquants dans votre environnement. Mesurez et réduisez activement la surface d'attaque potentielle que les attaquants ciblent pour l'exploitation des ressources dans l'environnement.
- Limitation des droits d'accès en fonction des exigences. Ecrivez des stratégies aussi granulaires que possible en termes de ressources cible et de privilèges d'accès requis.
- Application d'une segmentation réseau. Limitez le trafic pour isoler les déploiements d'application les uns des autres au niveau du réseau et utilisez une liste d'autorisation pour tous les flux réseau requis. Réduisez le trafic trop permissif.
- Least Privilege : Il s'agit d'une approche stratégique de la sécurité dans laquelle plusieurs couches de défense sont implémentées pour protéger les actifs d'une organisation. Les comptes doivent disposer du moindre privilège requis pour accomplir les tâches qui leur sont affectées. Limitez l'accès par niveau d'autorisation et par heure. Cela permet d'atténuer les dommages d'un attaquant externe qui obtient l'accès au compte, ou d'un employé interne qui, par inadvertance (ou délibérément, comme avec une attaque d'initié) compromet les garanties de sécurité.
- Refus par défaut. Assurez-vous qu'il n'existe aucune stratégie d'autorisation par défaut pour laquelle un attaquant pourrait tirer parti. Créez uniquement les stratégies nécessaires conformément aux droits d'accès limités basés sur les exigences et les principes de moindre privilège.
Tirer parti des contrôles natifs : utilisez des contrôles de sécurité natifs, le cas échéant, tout en vous assurant qu'ils sont alignés sur votre stratégie globale d'outils. Les contrôles de sécurité natifs sont maintenus et pris en charge par le fournisseur de services, éliminant ou réduisant les efforts requis pour intégrer les outils de sécurité externes et mettre à jour ces intégrations au fil du temps.
Tirer parti des outils de sécurité : utilisez des outils conçus pour le ou les clouds dans lesquels vous travaillez. Les contrôles de sécurité natifs sont maintenus et pris en charge par le fournisseur de services. Cependant, une limitation des outils natifs du cloud à cet égard est qu'ils peuvent ne pas prendre en charge d'autres clouds ou environnements sur site. Par exemple, si vous devez protéger les données au sein d'OCI et d'Azure dans un déploiement multicloud, vous pouvez préférer un outil de sécurité tiers capable de prendre en charge les deux clouds.
Utiliser l'identité en tant que contrôle d'accès principal : l'accès aux ressources dans les architectures cloud est principalement régi par l'authentification et l'autorisation basées sur l'identité pour les contrôles d'accès. Votre stratégie de contrôle de compte doit s'appuyer sur des systèmes d'identité pour contrôler l'accès plutôt que sur des contrôles réseau ou une utilisation directe de clés cryptographiques.
Responsabilité : Désignez une propriété claire des actifs et des responsabilités en matière de sécurité et assurez-vous que les actions sont traçables pour la non-répudiation. Vous devez également vous assurer que les entités disposent du moindre privilège requis (à un niveau de granularité gérable).
Automatisation de l'adoption : l'automatisation des tâches réduit les risques d'erreur humaine pouvant créer des risques. Par conséquent, les opérations informatiques et les meilleures pratiques en matière de sécurité doivent être automatisées autant que possible pour réduire les erreurs humaines (tout en veillant à ce que des humains qualifiés régissent et auditent l'automatisation).
Se concentrer sur la protection de l'information : la propriété intellectuelle est souvent l'un des plus grands référentiels de valeur organisationnelle et ces données doivent être protégées où qu'elles se trouvent, y compris les services cloud, les appareils mobiles, les postes de travail et les plates-formes de collaboration (sans entraver la collaboration qui permet de créer de la valeur pour l'entreprise). Votre stratégie de sécurité doit être construite autour de la classification et du balisage des informations et des ressources pour permettre la hiérarchisation de la sécurité, l'exploitation d'une technologie de contrôle d'accès et de chiffrement forte, et répondre aux besoins de l'entreprise tels que la productivité, la convivialité et la flexibilité.
Assumer une confiance nulle : lors de l'évaluation des demandes d'accès, tous les utilisateurs, périphériques et applications demandeurs doivent être considérés comme non fiables jusqu'à ce que leur intégrité puisse être suffisamment validée. Les demandes d'accès doivent être accordées sous certaines conditions en fonction du niveau de confiance du demandeur et de la sensibilité de la ressource cible. Des tentatives raisonnables devraient être faites pour offrir des moyens d'augmenter la validation de confiance (par exemple, demander une authentification à plusieurs facteurs) et de corriger les risques connus (modifier un mot de passe connu, corriger une infection par un logiciel malveillant) pour soutenir les objectifs de productivité.