Archives par mot-clé : cloud

Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Mise à jour, Patch

Quelles sont les nouvelles missions de la DSI à l’ère du cloud ?

Ce n’est plus une surprise aujourd’hui que le recours au cloud représente une transformation importante et stratégique pour les entreprises et va parfois de pair avec certaines inquiétudes concernant la place de la DSI. Les questions qui découlent de cette stratégie technologiques sont nombreuses : la DSI a-t-elle encore un rôle à jouer à l’ère du cloud ? Ce rôle doit-il évoluer et si oui, dans quelle(s) direction(s) ?

Dans de nombreuses entreprises, la DSI cherche avant tout à créer un socle informatique commun à l’ensemble des salariés : ce dernier doit être stable, afin d’éviter les interruptions de l’activité et permettre à chacun d’acquérir une excellente maîtrise des outils ; il doit aussi être sécurisé, afin de garantir une confidentialité optimale des données. De ces impératifs résultent des cycles informatiques longs, pouvant durer entre 3 et 5 ans avant que l’on n’envisage de changements significatifs des outils utilisés. Aujourd’hui, ce cycle long montre ses limites face à une économie toujours plus réactive où le time-to-market se réduit et où l’on recherche une plus grande agilité. Les entreprises doivent souvent faire preuve de rapidité pour répondre aux besoins du marché, une rapidité à laquelle leur infrastructure n’est pas toujours adaptée.

La DSI est donc confrontée à un paradoxe : d’un côté, offrir à l’entreprise de la stabilité afin qu’elle gagne en productivité et en sécurité ; de l’autre, s’adapter à de nouveaux usages dans un contexte où tout concorde pour que l’environnement soit instable. Un paradoxe d’autant plus présent dans les secteurs où les entreprises traditionnelles sont concurrencées par des start-up très agiles.

Mais alors, quelles craintes font naître ces évolutions ?
Tout d’abord il y a le « shadow IT ». La DSI y est confrontée de manière quasi récurrente : les salariés souhaitent décider eux-mêmes des outils les plus appropriés pour accomplir leurs missions ; il leur arrive ainsi d’en adopter certains sans l’aval des services informatiques, créant alors une véritable «informatique de l’ombre». Par conséquent, la DSI hérite souvent de la maintenance de ces dispositifs qu’elle n’a pas choisis et de la gestion des problèmes de compatibilité.

Puis vient la perte d’influence. Pendant longtemps, seule la DSI a eu le pouvoir sur les outils utilisés dans l’entreprise lui permettant de s’opposer à l’utilisation d’un logiciel si elle estimait qu’il ne répondait pas aux critères établis. Aujourd’hui, comme l’illustre la présence du shadow IT, les entreprises sont beaucoup plus ouvertes sur l’extérieur. Les directions métier, par exemple, ont accès à un large panel d’applications web qu’elles peuvent mettre en place en quelques clics. Le processus de décision est donc souvent plus rapide que la chronologie traditionnelle (évaluation des ressources techniques et budgétaires nécessaires, étude des risques, prise de décision, planification, déploiement) qui exigeait souvent plusieurs semaines voire plusieurs mois. En conséquence, la DSI peut craindre une certaine perte d’influence.

Enfin, reste l’automatisation. La plupart du temps, les logiciels basés sur le cloud hébergent les données au sein d’un datacenter extérieur à l’entreprise, dont la gestion est donc assurée par des tiers. De même, ces logiciels permettent souvent d’automatiser ou de simplifier des tâches autrefois placées sous le contrôle de la DSI : l’allocation des ressources, la configuration de chaque poste, le déploiement de nouvelles applications, etc. Ainsi, bien souvent, la DSI n’est plus la seule à impulser des décisions quant aux choix technologiques de l’entreprise. Les directions métier s’invitent aussi dans le débat, suggérant l’adoption de nouveaux outils. C’est sur ce type de projet que la DSI est la plus susceptible de ressentir une perte d’influence. Le risque est moindre lorsque les projets concernent l’entreprise dans son ensemble car la DSI conserve alors son pouvoir de prescription et de décision.

DSI, métiers, vers un juste équilibre ?
La situation actuelle entre DSI et directions métier n’est pas si préoccupante que l’on pourrait le croire. En effet, une étude menée par Verizon a démontré que seules 16% des entreprises étaient prêtes à investir dans le cloud sans l’aval de la DSI. A l’inverse, pour 43% d’entre elles, ce type de décision implique toujours une validation préalable de la DSI tandis que 39% prennent une décision collégiale associant directions métier et DSI. Le fait d’associer la DSI aux décisions ne se résume pas à valider la sécurité des choix technologiques, au contraire. La DSI permet, pour plus de la moitié des entreprises interrogées, d’optimiser les coûts et de réduire la complexité du processus. En réalité, il ne s’agit pas de créer un clivage entre DSI et directions métier mais de les réunir autour d’un objectif qui les rapproche : assurer la croissance de l’entreprise. Cela passe souvent par la mise en place de nouveaux business models permettant de développer le portefeuille clients ou de fidéliser les clients existants. Dans la poursuite de cet objectif, le cloud apporte une agilité accrue.

Le fait de solliciter l’IT offre à toute entreprise des bénéfices qui restent indéniables :
La DSI se porte garante du bon fonctionnement du système – Si le téléchargement d’un logiciel classique peut se faire à l’insu de l’IT, le cloud implique nécessairement de se pencher sur des questions comme la sécurité, la bande passante, l’interopérabilité. Sur ces sujets pointus, seule la DSI est en mesure d’intervenir afin de mettre en place de nouvelles fonctionnalités tout en préservant la cohérence du système d’information. Elle a en effet la maîtrise des questions de gouvernance : proposer de nouveaux produits et services, améliorer les processus et la fluidité des échanges…

La DSI peut apporter un accompagnement – Tout changement fait naître des inquiétudes et de manière générale, les utilisateurs n’acceptent un nouveau système que lorsque celui-ci apporte une amélioration significative de leurs conditions de travail. A l’inverse, si ce système se révèle plus complexe que le précédent, on accroît le risque de shadow IT. Il est donc primordial de faire coopérer la DSI et les métiers.

La DSI a un réel pouvoir de prescription – elle n’a pas pour seule mission de répondre à des besoins exprimés par les directions métier. Elle cherche aussi à les anticiper. Sa position la place à l’écoute des évolutions technologiques, elle est aussi gardienne de la mémoire des systèmes d’information de l’entreprise et peut donc impulser des innovations pour que l’entreprise gagne en modernité et en efficacité.

En conclusion, il ressort de ces constats que la DSI, loin d’être menacée par le développement du cloud, peut au contraire tirer profit de sa maîtrise technologique pour accompagner les directions métier et leur proposer des solutions à forte valeur ajoutée. Elle retrouve ainsi toute sa place dans la stratégie de l’entreprise. (Par Philippe Motet – Directeur Technique chez Oodrive)

BYOD, Chiffrement, cryptage, Cybersécurité, Entreprise

Sécurité du Cloud : quelles tendances en 2016 ?

Ravij Gupta, Co-fondateur et PDG de Skyhigh Networks, éditeur de solutions de sécurité des données dans les applications Cloud (« Cloud Access Security Broker » – CASB), fait le point sur les dernières tendances autour du Cloud et formules ses prédictions pour 2016.

  1. Les entreprises vont commencer à réduire leur retard sur la sécurité du Cloud. De plus en plus d’entreprises ont pris le virage du Cloud, mais souvent au détriment de la sécurité. Il y a un écart entre le niveau actuel des budgets de sécurité du cloud et celui où il devrait être par rapport à l’ensemble des dépenses de sécurité. Selon le Gartner, les entreprises ne consacrent que 3,8 % de leurs dépenses cloud à la sécurité, alors que cela représente 11 % pour les budgets informatiques en général. En 2016, les budgets alloués à la sécurité du Cloud dépasseront ceux des dépenses générales de sécurité informatique afin que les entreprises rattrapent leur retard.

  1. Les tarifs ​​des assurances pour la sécurité informatique vont doubler. En 2015 les compagnies d’assurance ont pris en charge des coûts massifs liés aux cyberattaques. En réponse, les taux et les primes vont augmenter. Les entreprises rechigneront et paieront à contrecœur et certaines auront même besoin de souscrire des contrats à des conditions défavorables afin d’obtenir une couverture : Anthem a dû s’engager à débourser 25 millions de dollars sur des coûts futurs afin de bénéficier de 100 millions de dollars de couverture. De nombreux assureurs limiteront leur couverture maximum à 75 ou 100 millions de dollars – bien en dessous du coût d’un piratage majeur, qui peut atteindre un quart de milliard de dollars.

 

  1. OneDrive deviendra l’application de partage de fichiers Cloud la plus populaire. Actuellement à la quatrième place en terme de volume de données téléchargées, OneDrive va faire un bond au niveau du classement du fait que les entreprises évoluent vers le Cloud avec Office 365. Les entreprises ont déjà montré la confiance qu’elles accordaient à ​​la plate-forme Cloud de Microsoft comme système d’enregistrement pour leurs informations sensibles. Elles y ont ainsi téléchargé près de 1,37 To par mois dont 17,4 % de fichiers contenant des données sensibles. Et il y a encore un énorme potentiel de croissance : 87,3 % des organisations ont au moins 100 employés utilisant Office 365, mais 93,2 % des employés utilisent encore les solutions Microsoft sur site. Microsoft a investi plus d’un milliard de dollars dans la sécurité, et a récemment publié une nouvelle API Office 365 destinée aux partenaires afin de leur permettre de surveiller et de sécuriser les contenus sensibles. Satya Nadella prend la sécurité du Cloud très sérieux et les entreprises qui étaient auparavant hésitantes migreront vers les offres de cloud de Microsoft.

  1. Les régulateurs européens vont ressusciter Safe Harbor. Les entreprises mondiales ont accordé une attention particulière lorsque la Cour de Justice de l’Union Européenne a annulé l’accord de transfert de données connu sous le terme Safe Harbor. Ce dernier permettait aux entreprises de stocker les données des Européens chez les fournisseurs de cloud américains. La décision de la CJUE a renforcer l’intérêt pour un point clé : les entreprises doivent se méfier des données sensibles non chiffrées transitant par les services de Cloud, en particulier ceux situés dans des pays ayant des politiques de confidentialité des enregistrements douteuses. Toutes les données ne sont pas sensibles, cependant, la disparition de Safe Harbor va imposer des restrictions inutiles et irréalistes aux activités Cloud. Les régulateurs feront des compromis pour faciliter l’accès mondial aux données.

 

  1. La majorité des incidents de sécurité Cloud viendront de l’interne chez les fournisseurs de services. Les fournisseurs de services Cloud ont tellement amélioré la sécurité que les failles seront de plus en plus rares. Cela aura pour conséquence de positionner les employés de l’entreprise comme le maillon faible. 90 % des entreprises font face à au moins une menace Cloud interne par mois. Que ce soit malveillant ou involontaire, les propres employés de l’entreprise représenteront la plus grande menace pour la sécurité du Cloud.
BYOD, Cloud, Cybersécurité, Entreprise, Social engineering

Que la sécurité du cloud soit avec vous : les conseils pour se protéger du côté obscur

Pour les entreprises, le cloud représente la puissance, la flexibilité, l’évolutivité et le contrôle. Cette énorme puissance de calcul est le fruit d’une infrastructure informatique interconnectée et mondiale. Elle englobe aussi bien les entreprises et que les individus, et leur donne plus de liberté. C’est un facteur de cohésion pour l’économie mondiale. De la même façon, la Force donne au Jedi sa puissance et lui permet d’accomplir de véritables exploits et de renforcer ses capacités. Il s’agit d’un champ d’énergie créé par tous les êtres vivants. Elle nous enveloppe et unit la galaxie tout entière.

Bien que la Force puisse être utilisée pour faire le bien, elle possède un côté obscur qui imprègne son utilisateur de malveillance et d’agressivité. On peut dire la même chose du cloud, qui offre de nombreux avantages, mais doit être sécurisé afin que sa puissance soit correctement utilisée. Quels sont les certifications et protocoles de sécurité des services cloud ? Où sont stockées les données des entreprises ? Comment sont-elles protégées ? Qui peut y accéder ? Combien de temps le fournisseur de service cloud conserve-t-il des copies des données ?

Trois méthodes afin de se protéger du côté obscur
La Force du mal : lorsqu’un ver, virus ou botnet communique avec son centre de commande et de contrôle afin d’envoyer des données dérobées à un ordinateur « maître », les criminels brouillent les communications. Les logiciels malveillants utilisent également le chiffrement afin de masquer les informations qu’ils transmettent à des serveurs cloud par le biais du réseau, y compris des mots de passe ou des données sensibles telles que des coordonnées bancaires volées. En effet, selon CGI Security1, il est plus facile de lancer une attaque contre une organisation par le biais d’applications chiffrant leurs communications. Ainsi, une tentative de phishing peut passer inaperçue, car le système de prévention des intrusions en place est incapable d’examiner le trafic SSL et d’identifier le malware, et parce que les pare-feu de l’entreprise n’alertent personne de la nécessiter de bloquer ces paquets. Les malwares tels que Zeus sont célèbres en raison de leur utilisation du chiffrement ainsi que d’autres astuces afin de rendre leurs communications avec leurs centres de commande et de contrôle (C&C) indétectables des équipements de sécurité.

Que faire : s’assurer de disposer d’une visibilité sur le trafic cloud chiffré par SSL. Il faut pour cela utiliser des outils dédiés mettant en œuvre des portails sécurisés et d’autres systèmes avancés de protection des réseaux en périphérie afin d’inspecter le trafic une fois celui-ci déchiffré.

La Force du mal : les criminels cherchent des failles en périphérie du cloud, comme des interfaces et des API non sécurisées. En effet, les administrateurs informatiques utilisent des interfaces pour le provisionnement, la gestion, l’orchestration et la supervision du cloud. En outre, les API sont essentielles à la sécurité et à la disponibilité des services cloud génériques. Des rapports publiés par la Cloud Security Alliance2 révèlent que plus des organisations et des tiers s’appuient sur ces interfaces pour créer des services supplémentaires, plus la complexité augmente, car les organisations peuvent être contraintes de soumettre leurs identifiants à des tiers afin de pouvoir utiliser leurs systèmes cloud. Cette complexité peut ouvrir des boulevards permettant le piratage de ces identifiants qui sont alors susceptibles d’être utilisés pour accéder à des données au sein de systèmes cloud

Que faire : chiffrer ou « tokeniser » les données avant qu’elles n’atteignent les systèmes cloud. Ainsi, si le côté obscur parvenait à infiltrer ces derniers, il n’y trouverait que des valeurs de remplacement inexploitables

La Force du mal : le côté obscur peut parfois pousser les utilisateurs à oublier les règles d’entreprise indiquant que les données réglementées et sensibles (comme celles de santé ou relatives à des cartes de paiement) ne peuvent pas être stockées dans des environnements de cloud public, ou que certains utilisateurs ne peuvent pas accéder à des systèmes cloud sensibles depuis certains emplacements.

Que faire : contrôler le Shadow IT et le Shadow Data (informatique fantôme). Déterminer quels services cloud sont utilisés, leurs risques relatifs, et quels types de données y sont envoyées. En partant de ces informations, utiliser des technologies telles que des courtiers d’accès sécurisé au cloud afin de superviser le comportement des utilisateurs et de repérer la moindre activité anormale. Prendre également des mesures en amont, telles que le chiffrement des données sensibles, afin d’assurer une utilisation sécurisée du cloud et de garantir longue vie et prospérité à votre entreprise (oups, ça c’est le slogan d’une autre franchise cinématographique).

Quelques mesures spécifiques :
Restreindre l’accès des employés à la variété de nouvelles applications cloud qui sont apparues au cours des 5 dernières années.  Tirer parti des flux d’informations sur le cloud : celles-ci peuvent permettre à votre organisation de comprendre les risques relatifs liés à l’utilisation de certaines applications cloud.

Définir des politiques afin d’empêcher certains types de données de quitter votre organisation grâce à des solutions de prévention contre la perte de données (DLP). Celles-ci effectuent des analyses en continu à la recherche de données de patientes, de cartes de crédit et des numéros de sécurité sociale.

Inspecter le contenu issu des applications cloud et allant vers l’entreprise ; effectuez des analyses de contenu approfondies afin d’empêcher les malwares et autres menaces complexes de pénétrer vos organisations.

Les entreprises peuvent et doivent bien connaître les menaces (internes comme externes) pesant sur leurs infrastructures et données cloud. Elles doivent également se servir des conseils susmentionnés comme d’un guide afin de faire face à ces menaces en adoptant les approches et technologies de sécurité informatique les plus efficaces qui soient. Seule une gestion proactive et sage des risques du cloud permettra de profiter de sa puissance sur les plans organisationnel et technologique.

Arnaque, backdoor, BYOD, Cloud, Cyber-attaque, Cybersécurité, DDoS, Entreprise, escroquerie, Fraude au président, Leak, Particuliers, Piratage, Social engineering, Vie privée

TOP 10 des méthodes de piratage

L’ingénierie sociale serait la méthode la plus utilisée, suivie par la compromission de comptes et les attaques web de type injections SQL/de commandes selon une étude de Balabit.

BalaBit, fournisseur européen de technologies de sécurité contextuelle, a présenté lors de la 15è édition des Assises de la Sécurité, les résultats d’une étude menée auprès des participants de la Black Hat en août dernier, conférence de référence mondiale en matière de sécurité de l’information. BalaBit a interrogé 349 professionnels de la sécurité afin de définir le top 10 des méthodes de hacking actuellement les plus populaires. Cette étude offre aux entreprises l’opportunité de mieux connaître leurs ennemis en identifiant les méthodes et les vulnérabilités les plus utilisées par les hackers lorsqu’il s’agit de s’attaquer à leurs données sensibles. Cette base de connaissance est la première étape fondamentale pour toute entreprise souhaitant mettre en place une stratégie de sécurité IT efficace, et cela quelque soit son secteur d’activité.

Attaquant interne ou externe ? Pas si évident…
Les menaces sont différentes et plus sophistiquées aujourd’hui et la frontière entre les menaces internes et externes est devenue très étroite. La majorité des attaquants externes tentent de pénétrer le réseau, d’acquérir des niveaux d’accès basiques et d’utiliser leurs droits pour petit à petit remonter jusqu’à des niveaux d’accès privilégiés. Dans la plupart des cas, ils restent invisibles dans le réseau pendant plusieurs mois, puisqu’ils parviennent à s’identifier comme des utilisateurs internes. Qu’en est-il des utilisateurs internes malveillants ? : Sont-ils conscients des conséquences de leurs actes lorsqu’ils partagent leurs identifiants ou lorsqu’ils cliquent sur des liens de phishing – dans ce cas, la fuite de données est-elle le résultat d’actions intentionnelles ou accidentelles ? Doivent-ils être considérés comme malveillants seulement si leur action était intentionnelle ? Cela a t-il vraiment beaucoup d’importance si la fuite de données est très grave ?

70% des personnes interrogées considèrent les menaces internes comme les plus risquées.
54% des personnes interrogées déclarent avoir très peur des hackers qui pénètrent au sein du réseau de l’entreprise via leur pare-feu, alors même que 40% d’entre elles déclarent qu’un pare-feu n’est pas assez efficace pour empêcher les hackers d’entrer.

Les participants ont également été interrogés sur les attaquants – internes ou externes – qu’ils considèrent les plus à risques : Les résultats soulignent un point important en vue de la définition d’une stratégie de défense efficace : 70% des personnes interrogées considèrent que les utilisateurs internes présentent le plus de risques (et seulement 30% estiment que les attaquants externes posent plus de risques). Une chose est sûre : les attaquants externes cherchent à devenir des utilisateurs internes, et les utilisateurs internes les aident pour y parvenir – accidentellement ou intentionnellement. Quelque soit la source de l’attaque, la liste des 10 méthodes de piratage les plus populaires -présentées ci-dessous – démontre qu’il est crucial pour les entreprises de savoir ce qu’il se passe sur leur réseau en temps réel. Qui accède à quoi ; est-ce le bon utilisateur derrière l’identifiant et le mot de passe ou est-ce un attaquant externe utilisant un compte compromis ?

Le top 10 des méthodes de piratage les plus utilisées :

1. Ingénierie sociale (ex : phishing).
2. Compromission de comptes (sur la base de mots de passe faibles par exemple).
3. Attaques web (ex : injection SQL/de commandes).
4. Attaques de clients de l’entreprise ciblée (ex: contre des destinataires de documents, navigateurs web).
5. Exploits avec des mises à jour de serveurs connus (ex: OpenSSL, Heartbleed).
6. Terminaux personnels non sécurisés (manque de politique de sécurité BYOD, datasecuritybreach.fr vous en parle très souvent).
7. Intrusion physique.
8. Shadow IT (utilisation personnelle de services Cloud à des fins professionnelles).
9. Attaque d’une infrastructure outsourcée en ciblant un fournisseur de services externe.
10. Attaque de données hébergées sur le Cloud (via l’IaaS, le PaaS).

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Fuite de données, Mise à jour, Patch

CLOUD : la gestion des mots de passe devient une priorité pour les PME

Les petites et moyennes entreprises transfèrent de plus en plus souvent leurs outils de travail dans le Cloud. De plus, la frontière entre l’usage personnel et l’usage professionnel de la technologie est de plus en plus floue à mesure que les employés choisissent d’utiliser leurs applications préférées au bureau.

Malgré les économies et les gains de productivité liés au passage des outils de travail dans le Cloud, la réalité reste un cauchemar logistique pour les responsables quoi doivent désormais gérer toute un arsenal d’identifiants et de mots de passe associés à ces applications. Ajouter à cela les choix de mots de passe faibles d’une bonne partie de la population, et vous obtenez un trou béant dans la sécurité qui séduirait même le plus novice des hackers.

La possibilité de travailler à tout moment, n’importe où et sur n’importe quel appareil est devenu le mantra des employés d’aujourd’hui, et cela pousse les entreprises à adopter le Cloud. Selon une étude récente menée par Enterprise Strategy Group et LogMeIn, près de 3 quarts des employés qualifiés – ceux qui gèrent les informations – affirment que la mobilité est cruciale ou importante pour être productif dans leur travail, avec 70% d’entre eux travaillant ailleurs que dans un bureau plusieurs jours par semaine. Pourtant, 60% des PME n’ont pas mise en place de politique de sécurité pour répondre à la hausse de l’utilisation des applications Cloud sur le lieu de travail.

La saga des mots de passe
Si la gestion des mots de passe n’est pas un nouveau défi pour les PME, c’est un problème qui devient très complexe étant donné qu’en moyenne les utilisateurs possèdent des mots de passe pour plus de 25 applications qu’ils utilisent au travail. Et les enjeux pour les PME sont plus importants que jamais, étant donné que presque 80% des applications Cloud et des services contiennent des données sensibles, régulées ou confidentielles. Il suffit d’un seul piratage pour paralyser une entreprise, le Gartner estime que seulement 6% des entreprises sortent indemne d’un piratage de données alors que 43% mettant la clé sous la porte.

Même s’il semblerait que conserver un mot de passe unique fort soit contre-productif, il existe quelques moyens pour que les PME rendent plus simple le choix de mots de passe de leurs employés et qu’ils arrêtent leurs mauvaises habitudes.

1. Eviter les groupes populaires. Il est choquant de devoir encore le répéter, mais les PME ne devraient jamais, sous aucun prétexte, utiliser des mots de passe faciles à deviner pour protéger des informations sensibles. Les mots de passe les plus utilisés en 2014 étaient « mot de passe » et « 123456 ». Les mots de passe devraient être une combinaison de lettres en capitale et en minuscule, de nombres et de symboles.

2. Conserver vos mots de passe dans un coffre-fort. Si vous pouvez vous souvenir des identifiants et des mots de passe de toutes les applications que vous utilisez, soit vous avez une très bonne mémoire photographique, soit vous utilisez les mêmes pour toutes vos applications. Puisque chaque application devrait avoir un mot de passe unique, un gestionnaire de mot de passe sûr vous aidera à les gérer et vous encouragera à utiliser des mots de passe forts que vous n’aurez pas à retenir.

3. Déployer une solution de gestion des accès. Non seulement cela aidera vos employés à mieux gérer leurs mots de passe, mais cette solution sera également être utiles aux entreprises. Les PME pourront gérer l’accès pour que les employés qui rejoignent l’entreprise puissent obtenir un accès rapide – ou le retirer sans problèmes à ceux qui partent – et permettre le partage des comptes sans partager les mots de passe.

4. Utiliser l’authentification à deux facteurs. En ajoutant un niveau de sécurité via une authentification à deux facteurs, il sera plus difficile pour un hacker de compromettre un mot de passe, en particulier quand surtout pour les utilisateurs qui changent de navigateurs et de localisation.

Quand il s’agit de sécuriser les données de l’entreprise dans le Cloud, il n’y a pas de solution miracle. Cependant, les humains seront toujours le maillon le plus faible de la chaîne, donc, encourager une meilleure gestion des mots de passe – autant au niveau des employés qu’à celui du département informatique est un bon début pour réduire les risques. Il est temps de faire de la gestion des mots de passe une priorité pour garder les données de votre entreprise et de vos clients en sécurité. (Par Alain Logbo, Directeur Commercial Entreprises EMEA de LogMeIn)

Cybersécurité

Orange Business Services et Gemalto s’allient pour offrir un accès hautement sécurisé aux applications cloud

La solution d’authentification multi-facteurs de Gemalto disponible sur la galerie de services cloud sécurisée d’Orange Business Services.

Gemalto et Orange Business Services ont annoncé l’intégration de SafeNet Authentication Service de Gemalto au sein de Business VPN Galerie, la galerie de services cloud sécurisée d’Orange Business Services. Les clients d’Orange Business Services accèdent au service d’authentification multi-facteurs SafeNet à travers son offre Flexible Identity.  L’authentification multi-facteurs permet de s’assurer qu’un utilisateur est bien celui qu’il prétend être en combinant plusieurs facteurs pour l’authentifier.

L’intégration de SafeNet Authentication Service au sein des applications déjà disponibles sur Business VPN Galerie permet aux entreprises d’accéder, sans à avoir à passer par le réseau internet, à une solution intégrée offrant un système d’authentification multi-facteurs unique pour accéder à leurs infrastructures, services et applications dans le cloud, tels que Office 365 ou Salesforce.com. Elles bénéficient ainsi de plus de sécurité et de performance. « En tant que première plate-forme mondiale reliant le réseau privé de l’entreprise à des fournisseurs de services cloud, Business VPN Galerie offre un accès sécurisé aux services cloud à plus 1 200 entreprises clientes sur plus de 33 000 sites à travers le monde. En proposant les solutions d’authentification de Gemalto, nous élargissons l’écosystème des applications accessibles via la Business VPN Galerie et renforçons la sécurité des accès à ces applications via notre réseau cloud mondial », affirme Pierre-Louis Biaggi, Vice-président en charge des réseaux au sein d’Orange Business Services. « Avec toujours plus de services disponibles et accessibles à travers le cloud, la sécurité est au centre des préoccupations des fournisseurs de réseaux et de leurs clients. En combinant les services d’authentification forte de Gemalto et le réseau Business VPN Galerie, nous garantissons aux entreprises un accès plus sûr aux applications et aux données, tout en offrant aux utilisateurs finaux une expérience transparente et aux administrateurs informatiques une gestion simplifiée », se réjouit Andrew Young, vice-président de Gemalto en charge des solutions d’authentification et d’identité.

Le partenariat entre Gemalto et Orange Business Services permet de proposer une solution unique offrant, à travers le réseau IP VPN d’Orange, un accès de bout-en-bout aux services cloud multi-tiers et mutualisés d’authentification forte de Gemalto.

Android, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, ios, Mise à jour, OS X, Sauvegarde, Sécurité, Smartphone, Social engineering, Windows phone

56 millions de données exposées par des applications de smartphones

Des chercheurs de l’Université Allemande de Darmstadt annoncent que les développeurs d’applications prennent la sécurité des données par dessus la jambe.

Leurs applications auraient exposé 56 millions de données en utilisant les services de Google, Amazon et Facebook. L’équipe de chercheurs a testé 750.000 applications Android et iOS. Ils ont utilisé les services d’identité « fédérés » afin de s’authentifier plus simplement, plus rapidement, entre leurs différents appareils. Sauf qu’il semble y avoir un gros problème. L’équipe a trouvé des données, y compris les adresses mails, mots de passe, et les dossiers de santé, se promenant entre les connexions. Autant de données qui pourraient être exposées à des yeux indiscrets, et les comptes respectifs compromis si les jetons d’authentifications étaient  capturés. « Les développeurs d’applications utilisent des bases de données dans le cloud, explique les étudiants. Ils stockent  les données des utilisateurs, mais apparemment ignorent les recommandations de sécurité des données que recommandent pourtant les fournisseurs cloud.»

Les pirates ont besoin, cependant, d’extraire la clé de l’application et/ou exploiter une connexion sans fil non sécurisée, pour agir. Les sociétés qui hébergent ont besoin de beaucoup moins ! (The Register)

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Fuite de données

Le premier Label Cloud français labellise

En 2014, France iT, le réseau national des clusters numériques, lançait le premier Label Cloud français, pensé par les TPME du Cloud pour les TPME du Cloud.

Après une phase de déploiement opérationnel, le Label Cloud concrétise ses ambitions avec la première vague de labellisation. Le premier Comité d’Attribution du Label (CATLab) s’est réuni le 30 mars 2015 dans les locaux de CINOV-IT à Paris pour attribuer ses premiers labels. Cegedim Activ et Inforsud Diffusion se sont ainsi vus décernés le Label Cloud qui récompense un haut niveau d’exigence et une expertise en matière de sécurité et d’efficience.

Un processus indépendant et expert
Le Comité d’Attribution du Label (CATLab) est l’organisme indépendant en charge de délivrer le Label Cloud. Il est composé d’entreprises ayant participé à l’étude du label, d’auditeurs indépendants et de représentants d’organisations professionnelles.

Le jury du 30 mars était composé de Stéphane Coirre (Vice-Président de Cinov-IT) et Henry-Michel Rozenblum (Délégué Général Eurocloud et Rédacteur en chef de la lettre du SaaS) représentants les organisations professionnelles, Philippe Rosé (Rédacteur en Chef de Best Practices) représentant les journalistes de la presse professionnelle et Renaud Brosse (CEO de Timspirit) représentant les experts.

Le label Cloud se décline sur 3 niveaux : initial, confirmé et expert. Une auto-évaluation gratuite est disponible en ligne. L’exigence est ainsi rendue croissante quant à l’implémentation des bonnes pratiques au sein des entreprises. Un audit est systématiquement mis en place (qui peut aller jusqu’à un audit sur site poru le niveau le plus élevé) pour toute candidature. Le CATLab est le décisionnaire final quant à l’attribution du label. L’évaluation repose sur un processus en 5 étapes qui va du téléchargement du dossier de candidature, en passant par l’auto-évaluation en ligne, la soumission du dossier, l’instruction du dossier par un auditeur indépendant , la soutenance par la société candidate devant le CATLab, qui statue sur la délivrance du Label.

Cegedim Activ et Inforsud Diffusion, les 2 premiers labellisés
Ainsi ce sont 2 entreprises qui se sont vues octroyées le label ce lundi 30 mars. Cegedim Activ, niveau 3 – expert, pour ses solutions SaaS dans le secteur de la santé (Gestion du régime Obligatoire de santé, et Gestion du régime Complémentaire en santé et prévoyance) ; Inforsud Diffusion, niveau 2 – confirmé pour son offre d’hébergement (PaaS), et de messagerie (SaaS).

BYOD, Chiffrement, Cloud, Cybersécurité, Entreprise, Fuite de données, iOS, Linux, Logiciels, Microsoft, Propriété Industrielle

Nomad Vault : sauvegarder, partager et transférer

Un commentaire

Nomad Vault : Un réseau privé virtuel 100 % sécurisé accessible avec une petite clé USB.

Comment éviter de tout perdre en cas de crash du disque dur de son ordinateur portable ? Comment éviter de s’exposer à des failles de sécurité en accédant au cloud via un portail internet ? Comment être sûr qu’il n’y a aucune trace (fichier, document, logiciel….) de son travail lorsqu’on utilise son ordinateur ou sa tablette qui appartient à une entité tierce ?

Jusqu’à présent, il n’y avait aucune solution conçue spécialement pour les utilisateurs nomades. Et par conséquent, il n’y avait rien qui réponde parfaitement à leurs besoins.

Mais maintenant, il y a Nomad Vault ! Grâce à une petite clé USB très intelligente, les utilisateurs bénéficient d’une solution très performante conçue, développée et gérée en France. Le but : créer en quelques secondes son propre réseau privé virtuel 100 % sécurisé, accessible n’importe où et n’importe quand. Pour Laurent Brault, dirigeant de MDK Solutions, « Nomad Vault est une alternative innovante et sécurisée aux services de stockage/partage de données classiques. »

Comment ça marche ?
C’est très simple : il suffit d’insérer la clé USB dans votre ordinateur ou PC portable, ou de lancer l’application Nomad Vault Tablette sur votre tablette Android ou iOS…. et le tour est joué ! Après avoir saisi votre mot de passe, vous bénéficiez d’un canal crypté pour accéder à des serveurs distants.

Cette solution présente 3 avantages principaux :
1. Vous profitez d’une solution 100 % sécurisée, sans le moindre risque, pour utiliser des données, des logiciels, des fichiers stockés dans le cloud.
2. Grâce à la sauvegarde automatique, vous ne perdez rien en cas de crash de votre disque dur.
3. Vous pouvez travailler n’importe où, n’importe quand, et vous ne laissez jamais la moindre trace sur l’ordinateur (très pratique si vous devez vous connecter à partir d’un poste de travail qui n’est pas le vôtre : la confidentialité des données est garantie). Grâce à l’intelligence fonctionnelle de la clé USB, il n’est même pas nécessaire de passer par un portail internet, et donc de supporter les risques liés aux failles potentielles de sécurité en ligne. C’est la seule solution sur le marché à proposer cette innovation majeure !

Sur tablette (Apple iOS, Android)
1. L’intelligence locale de la Clé USB est remplacée par une Application Nomad Vault (gratuite pour toutes les fonctions de consultation, 3euros/an
pour avoir la possibilité de mise à jour).
2. L’authentification forte apportée par la clé est remplacée par un code à saisir transmis par un message SMS sur le téléphone mobile de l’utilisateur lors de l’identification.

Quelles sont les utilisations de Nomad Vault ?
Laurent Brault précise : « Une solution conçue spécialement pour les utilisateurs nomades, soit des millions de personnes en France. ». Dirigeants, avocats, commerciaux, consultants, courtiers, députés, formateurs…. De nombreux professionnels ont besoin de pouvoir travailler à distance, facilement et sans prendre le moindre risque. Avec Nomad Vault, ils peuvent garder leurs dossiers sous la main, même sans être connectés. Et comme chaque clé est unique et pilotable à distance, il est tout à fait possible de la personnaliser totalement pour l’adapter à des besoins spécifiques, en créant par exemple des accès spécifiques en fonction de l’utilisateur. Certains dossiers peuvent également être stockés directement sur la clé USB.

Que se passe-t-il en cas de perte/de vol de la clé USB ?
Avec MDK Solutions, il n’y a absolument rien à craindre ! Les données ne sont pas perdues pour autant : les fichiers sont synchronisés dans des serveurs cloud, situés sur le territoire français. Si votre clé est récupérée par une personne malveillante, elle ne pourra pas s’en servir : son contenu est crypté et donc inexploitable. A votre demande, MDK Solutions peut aussi blacklister la clé pour qu’elle soit inutilisable.

BYOD, Chiffrement, Cloud, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage

Sécurisation des données à l’heure du cloud

La sécurisation des données est un enjeu colossal à l’heure du cloud, notamment pour les entreprises et collectivités locales. Quatre choses essentielles doivent absolument être prises en compte.

Ces choses essentielles sont la sauvegarde, la sécurité des données personnelle et professionnelle, les usages de l’informatique et de l’importance de l’information/formation.

Sauvegarde
Les entreprises et les collectivités doivent faire face à un environnement toujours plus hétérogène et l’utilisation de plus en plus fréquente de l’informatique dématérialisée en fait partie. De nombreuses entreprises gèrent donc aujourd’hui des environnements physiques, des environnements virtuels ainsi que des environnements Cloud. De nombreuses entreprises recherchent une méthode efficace pour simplifier leurs processus de sauvegarde. Il peut être intéressant de penser la préservation des données au cœur même des logiciels ou avec les services Cloud. Mesures : Possibilité de revenir à une situation antérieure, si erreur lors d’une procédure lourde telle que la préparation du budget.

« Scheduler » : messages de recommandations au cœur des logiciels lors d’opérations particulières (ex. avant de commencer le budget, « nous vous conseillons de faire un archivage »).

Sécurité des données
Un exemple : 19.000 attaques de sites web suite aux attentats de Charlie Hebdo, y compris ceux des collectivités locales. Les collectivités et les entreprises ont souvent peu conscience des enjeux liés à la sécurité des données. Mais la sécurité est un travail d’équipe et il faut que les prestataires de Cloud ou de logiciels et leurs clients travaillent main dans la main pour proposer une sécurité optimum. Ce n’est pas au fournisseur de gérer la sécurité de son client, car ce dernier en est en fait le seul maître. Le fournisseur de Cloud met à disposition des outils permettant la mise œuvre d’une politique de sécurité, mais c’est au client de les utiliser à bon escient et de prendre conscience de la dangerosité de mettre à disposition des données informatiques, y compris en interne. 60% des piratages trouvent leur source en interne.

Mesures : Mettre en place des droits d’accès aux données restreints, gérer finement les profils d’utilisateurs ; mettre en place une charte informatique pour éduquer en interne et informer sur ce qu’il est possible de faire ou non ; ne pas hésiter à prendre conseil auprès de son prestataire informatique.

Usages de l’informatique
Les risques viennent souvent d’une méconnaissance de l’informatique et du web. Il faut être vigilant et ne pas « sortir » n’importe quelles données de la collectivité ou de l’entreprise. Attention également à ne pas télécharger n’importe quoi. Bien souvent, les entreprises et les communes ne savent pas si leurs sauvegardes sont bonnes. Elles sont formées par leur prestataire, mais elles ne se soucient pas vraiment, ne vérifient pas. Il n’y a pas de test de restauration, ce qui engendre parfois de mauvaises surprises …

Mesures : Formation, « éducation », aider à faire prendre conscience. Rappeler que les données ne doivent pas être sauvegardées que sur le poste mais aussi et surtout sur le serveur.

Importance de l’information/formation
Avant de sécuriser les réseaux, il faut éduquer les utilisateurs, mais aussi les cadres sur les enjeux, risques et bonnes pratiques. Par exemple, méconnaissance de la différence entre un virus et un malware. Un virus s’installe à votre insu sur votre machine et vient corrompre un programme existant. En revanche, un malware est interprété par le système comme un programme installé par l’utilisateur : en cliquant sur une PJ, en installant un petit programme, etc. Ainsi les antivirus sont inutiles face à cette menace ! Seule la vigilance de l’utilisateur peut le protéger.

Mesures : Etre vigilant sur l’ouverture de PJ quand on ne sait pas de qui vient le courriel. Se méfier des mails étrangers. Ne pas aller sur n’importe quel site et installer n’importe quel programme et ne pas hésiter à se tourner vers son prestataire informatique en cas de question.