Document

4.2 MiB
2196 Downloads
Details
Cloud Security Guidance

Devenu une notion inévitable et populaire ces dernières années, le cloud est passé d’un concept brumeux et risqué à la stratégie ICT « du futur » vers laquelle toute organisation va tôt ou tard se tourner. Avec un budget ICT sous pression, le gouvernement est aussi séduit par les possibilités offertes par le cloud. Outre la réduction des coûts, la raison majeure de cet engouement est la facilité d’accès à un parc de ressources informatiques au potentiel presque illimité, tout cela avec un effort minimal de gestion. Au lieu de posséder et d'exploiter les infrastructures informatiques, une organisation peut ainsi louer les ressources partagées d’un service cloud, devenant alors locataire (appelé tenant) d'infrastructure plutôt que propriétaire.

Le partage de telles infrastructures est malheureusement le talon d’Achille des services cloud. En effet, des cyber-attaques ont montré la possibilité d’exploiter la proximité de partage des tenants d’un même service cloud. Par conséquent, on considère qu’un service cloud est intrinsèquement moins sûr qu’une infrastructure auto-hébergée. Les problèmes de sécurité, en particulier de confidentialité et d’intégrité des données, sont la préoccupation majeure des utilisateurs du cloud, car leurs données se retrouvent gérées hors du cadre de leur gouvernance. Dans notre contexte de sécurité sociale et de soins de santé, et plus généralement dans le contexte gouvernemental, ces problèmes sont d’autant plus accrus qu’ils concernent potentiellement les données sensibles des citoyens et entreprises.

Durant la session d’information, nous présenterons un modèle développé par Smals pour évaluer le niveau de sécurité d’un service cloud. Dans un premier temps, nous parcourrons les points-clés de sécurité qu’un service cloud doit assurer. Ces points-clés sont primordiaux à analyser avant d’envisager l’utilisation d’un service cloud, car ils permettent de révéler les potentielles failles de sécurité de ce dernier. Ces points-clés constituent le premier volet du modèle. Ils sont regroupés en 4 critères majeurs qui seront développés au cours de l’exposé : gouvernance, gestion d’identité et du contrôle d’accès, sécurité IT et sécurité opérationnelle. Puis, nous explorerons le deuxième volet du modèle qui décrit comment choisir un service cloud en fonction des données qu’on souhaite y transférer. Nous verrons que ce choix est principalement basé sur la classification des données de la sécurité sociale. Durant l’exposé, nous illustrerons l’utilisation du modèle avec un exemple bien connu : le service Dropbox.




De cloud is de laatste jaren een onontkoombaar en populair begrip geworden dat uitgegroeid is van een vaag en risicovol concept tot de ICT-strategie "van de toekomst" die elke organisatie vroeg of laat zal toepassen. Met een ICT-budget dat onder druk staat, wordt ook de overheid verleid door de mogelijkheden die de cloud biedt. Naast de kostenbesparingen is de hoofdreden van deze hype de vlotte toegankelijkheid tot tal van informaticaresources met bijna oneindig veel mogelijkheden, en dit alles met een minimaal beheer. In plaats van de informatica-infrastructuur zelf te bezitten en te exploiteren, kan een organisatie op die manier de resources die gedeeld worden via een clouddienst huren. Hierdoor wordt hij dus de huurder ("tenant" genoemd) van de infrastructuur in plaats van de eigenaar.

Het delen van zo’n infrastructuur is spijtig genoeg ook de achilleshiel van de cloud. Cyberaanvallen hebben immers aangetoond dat het delen van eenzelfde clouddienst door tenants misbruikt kan worden. Men beschouwt een clouddienst bijgevolg als iets dat wezenlijk minder veilig is dan een zelf gehoste infrastructuur. De beveiligingsproblemen, in het bijzonder vertrouwelijkheid en integriteit van gegevens, baren de gebruikers van de cloud veel kopzorgen omdat ze het volledige beheer van hun gegevens niet meer in eigen handen hebben. In onze context van sociale zekerheid en gezondheidszorg, en meer algemeen in een overheidscontext, zijn deze problemen eens zo groot omdat ze mogelijk gevoelige gegevens betreffen van burgers en ondernemingen.

Tijdens de infosessie stellen we een model voor dat ontwikkeld is door Smals om het beveiligingsniveau van een clouddienst te kunnen evalueren. Eerst worden de belangrijkste beveiligingsaspecten overlopen die een dergelijke dienst moet garanderen. Ze zijn van essentieel belang bij het overwegen van het gebruik van de dienst, omdat ze de mogelijke gaten in de beveiliging ervan aan het licht kunnen brengen. Deze beveiligingsaspecten vormen het eerste luik van het model en ze worden gegroepeerd in 4 hoofdcriteria die verder verduidelijkt zullen worden tijdens de sessie: governance, identiteitsbeheer en toegangscontrole, IT-beveiliging en operationele beveiliging. Daarna zullen we het tweede luik van het model verkennen dat beschrijft hoe we een clouddienst kunnen kiezen naargelang de gegevens die we erop willen zetten. We zullen zien dat deze keuze voornamelijk gebaseerd is op de classificatie van de gegevens van de sociale zekerheid. Tijdens de presentatie zullen we het gebruik van het model verduidelijken met een goed gekend voorbeeld: Dropbox.

Annexes:
Languages:Français
Author:Tania Martin
Category:Presentation
Date:2014/12
Keywords:Cloud, Security
Download:Download