A propos des stratégies efficaces de sécurité et de conformité

Créer une stratégie de conception

Une stratégie complète de conception de la sécurité fournit une assurance de sécurité via la gestion des identités : processus d'authentification et d'autorisation des principaux de sécurité. Utilisez les services de gestion des identités pour authentifier et accorder des droits d'accès aux utilisateurs, partenaires, clients, applications, services et autres entités.

Il encourage également la protection des ressources en plaçant des contrôles sur le trafic réseau provenant d'Oracle Cloud Infrastructure, entre les ressources sur site et hébergées par Oracle Cloud Infrastructure, et le trafic vers et depuis Oracle Cloud Infrastructure. Si des mesures de sécurité ne sont pas en place, les pirates peuvent y accéder, par exemple en effectuant une analyse sur les plages d'adresses IP publiques. Des contrôles de sécurité réseau appropriés peuvent fournir des éléments de défense en profondeur qui permettent de détecter, de contenir et d'arrêter les pirates qui tentent d'accéder à vos déploiements cloud.

Une stratégie de conception réussie s'efforce également de classer, protéger et surveiller les ressources de données sensibles à l'aide du contrôle d'accès, du cryptage et de la connexion à Oracle Cloud Infrastructure. Il contrôlera également les données au repos et en transit.

Les applications et les données qui leur sont associées jouent le rôle de principal magasin de valeur commerciale sur une plate-forme cloud. Les applications peuvent jouer un rôle dans les risques pour l'entreprise car elles encapsulent et exécutent des processus métier qui doivent être disponibles et dotés d'une grande intégrité. Les applications stockent et traitent également des données d'entreprise qui nécessitent des garanties élevées de confidentialité, d'intégrité et de disponibilité. Par conséquent, une stratégie réussie doit se concentrer sur la sécurité des applications et des données et permettre leur sécurité.

Création d'une stratégie de surveillance et d'audit

Une stratégie de surveillance réussie se concentrera sur la modélisation de la santé.

La modélisation de l'état fait référence aux activités qui maintiennent l'état de sécurité d'une charge globale par le biais de la surveillance. Ces activités peuvent indiquer si les pratiques de sécurité actuelles sont efficaces ou s'il existe de nouvelles exigences. La modélisation de l'état peut inclure les catégories suivantes :

Surveillez la charge globale et l'infrastructure dans laquelle elle est exécutée.
Effectuer des audits.
Activer, acquérir et stocker les journaux d'audit.
Mettez à jour et appliquez des correctifs de sécurité.
Répondre aux incidents.
Simuler les attaques en fonction d'incidents réels.

Créer une stratégie d'optimisation

Une fois qu'une ligne de base sécurisée a été établie pour les opérations de sécurité dans le cloud, les équipes de sécurité doivent examiner en permanence les processus et les contrôles de sécurité propres au cloud, ce qui peut entraîner des avancées et des optimisations par rapport aux pratiques de sécurité existantes.

Des milliers d’entreprises utilisent des services Cloud en toute sécurité pour atteindre leurs objectifs commerciaux, afin d’accroître l’agilité et de réduire les coûts des services informatiques. Cette structure de meilleures pratiques fournit des recommandations pour les modèles dans les opérations de sécurité des organisations qui fourniront les architectures, processus et contrôles de sécurité nécessaires pour permettre une utilisation sûre des services cloud dans l'entreprise. Outre un déploiement sécurisé, vous devez implémenter une stratégie d'amélioration continue.

Suivre les principes de conception de la sécurité

Les articles de ce pilier décrivent comment implémenter les trois stratégies de conception, de surveillance et d'optimisation, et proposent des recommandations pour leur implémentation dans Oracle Cloud Infrastructure. Chacune de ces recommandations implémente un ou plusieurs des principes de conception de sécurité suivants.

Ces principes prennent en charge ces trois stratégies clés et décrivent un système sécurisé élaboré hébergé sur des centres de données cloud ou on-premise (ou une combinaison hybride des deux). L'application de ces principes augmentera considérablement la probabilité que votre architecture de sécurité conserve des garanties de confidentialité, d'intégrité et de disponibilité.

Les meilleures pratiques de sécurité et de conformité mettent en œuvre les principes de conception suivants :

Conception pour les pirates : La conception et la hiérarchisation de votre sécurité doivent être axées sur la façon dont les pirates voient votre environnement, ce qui n'est souvent pas la façon dont les équipes informatiques et d'application le voient. Informez votre conception de la sécurité et testez-la avec des tests d'intrusion pour simuler des attaques ponctuelles. Utilisez des équipes rouges pour simuler des groupes d'attaques persistantes à long terme. Concevez votre stratégie de segmentation d'entreprise et d'autres contrôles de sécurité pour contenir les mouvements latéraux des pirates au sein de votre environnement. Mesurer et réduire activement la surface d'attaque potentielle que les attaquants ciblent pour l'exploitation des ressources au sein de l'environnement.
- Limiter les autorisations en fonction des besoins. Ecrivez des stratégies aussi granulaires que possible en termes de ressources cible et de privilèges d'accès requis.
- Appliquer la segmentation réseau. Limitez le trafic pour isoler les déploiements d'application les uns des autres au niveau du réseau et utilisez une liste d'autorisation pour tous les flux réseau requis. Réduisez le trafic trop permissif.
Tirer parti des contrôles natifs : favorisez les contrôles de sécurité natifs intégrés aux services cloud via des contrôles externes émanant de tiers. Les contrôles de sécurité natifs sont gérés et pris en charge par le fournisseur de services, ce qui élimine ou réduit les efforts requis pour intégrer des outils de sécurité externes et mettre à jour ces intégrations au fil du temps.
Utiliser l'identité comme contrôle d'accès principal : l'accès aux ressources dans les architectures cloud est principalement régi par l'authentification et l'autorisation basées sur l'identité pour les contrôles d'accès. Votre stratégie de contrôle de compte doit s'appuyer sur des systèmes d'identité pour contrôler l'accès plutôt que sur des contrôles réseau ou une utilisation directe de clés cryptographiques.
Comptabilité : Désignez la propriété claire des ressources et des responsabilités de sécurité, et assurez-vous que les actions sont traçables pour la non-répudiation. Vous devez également vous assurer que les entités disposent du privilège minimal requis (à un niveau de granularité gérable).
Embrace Automation : L'automatisation des tâches réduit les risques d'erreur humaine, de sorte que les meilleures pratiques en matière d'opérations informatiques et de sécurité doivent être automatisées au maximum pour réduire les erreurs humaines (tout en garantissant que les personnes qualifiées gouvernent et vérifient l'automatisation).
Se concentrer sur la protection de l'information : la propriété intellectuelle est souvent l'un des plus grands référentiels de valeur organisationnelle et ces données doivent être protégées partout où elles se trouvent, notamment les services cloud, les appareils mobiles, les postes de travail et les plates-formes de collaboration (sans entraver la collaboration permettant la création de valeur commerciale). Votre stratégie de sécurité doit être conçue autour de la classification des informations et des ressources pour permettre la hiérarchisation de la sécurité, en exploitant une technologie forte de contrôle d'accès et de cryptage, et en répondant aux besoins de l'entreprise, tels que la productivité, la facilité d'utilisation et la flexibilité.
Conception pour la résilience : votre stratégie de sécurité doit supposer que les contrôles échoueront et seront conçus en conséquence. Pour rendre votre posture de sécurité plus résiliente, plusieurs approches doivent fonctionner ensemble :
- Vigilance continue : assurez-vous que les anomalies et les menaces potentielles susceptibles de poser des risques pour l'organisation sont traitées rapidement.
- Défense en profondeur : envisagez des contrôles supplémentaires dans la conception afin de limiter les risques pour l'organisation en cas d'échec d'un contrôle de sécurité principal. Cette conception doit tenir compte de la probabilité que le contrôle principal échoue, du risque organisationnel potentiel s'il le fait et de l'efficacité du contrôle supplémentaire (en particulier dans les cas susceptibles d'entraîner l'échec du contrôle principal).
- Défense à la périphérie : envisagez une sécurité de pointe intégrée efficace pour contrôler les menaces avant qu'elles n'affectent vos applications. Cela est essentiel pour la conformité de la stratégie de sécurité des informations.
- Privilège minimal : il s'agit d'une forme de défense en profondeur visant à limiter les dommages pouvant être causés par un compte. Les comptes doivent se voir accorder le moins de privilèges requis pour accomplir les tâches qui leur sont affectées. Limitez l'accès par niveau d'autorisation et par heure. Cela permet d'atténuer les dommages causés par un agresseur externe qui accède au compte, ou par un employé interne qui, par inadvertance (ou délibérément, comme lors d'une attaque par un initié), compromet les garanties de sécurité.
Assumer la confiance zéro : lors de l'évaluation des demandes d'accès, tous les utilisateurs, périphériques et applications demandeurs doivent être considérés comme non fiables jusqu'à ce que leur intégrité soit suffisamment validée. Les demandes d'accès doivent être accordées de manière conditionnelle en fonction du niveau d'approbation du demandeur et de la sensibilité de la ressource cible. Des tentatives raisonnables doivent être faites afin d'offrir des moyens d'augmenter la validation de la confiance (par exemple, demander l'authentification à plusieurs facteurs) et de remédier aux risques connus (modifier le mot de passe connu, corriger l'infection à des logiciels malveillants) pour atteindre les objectifs de productivité.