28 juin 2011
9
28 juin 2011 Quelles modifications des politiques et protections apporter ? Mobilité, consumérisation des équipements, réseaux sociaux
description
28 juin 2011. Mobilité, consumérisation des équipements, réseaux sociaux. Quelles modifications des politiques et protections apporter ?. Un changement des usages. Un triptyque pour gérer les nouveaux usages. Se protéger. Innover. Encadrer. Se protéger. Se protéger. Innover. Encadrer. - PowerPoint PPT Presentation
Transcript of 28 juin 2011
28 juin 2011
Quelles modifications des politiques et protections apporter ?
Mobilité, consumérisation des équipements, réseaux sociaux
2
Un changement des usages
28 juin 2011 - Propriété de Solucom, reproduction interdite
L’une des approches qu’ils adoptent est d’utiliser leur matériel personnel
En premier lieu, les smartphones
Mais aussi les PC ultraportables, les Mac…
Et les usages qui vont avec : réseaux sociaux, gestion de projets, « doodles »…
Ils souhaitent retrouver en entreprise le même niveau de convivialité et de performances que dans leur sphère personnelle
Le SI ne suit pas toujours le rythme des technologies grand public
Les innovations technologies sont de plus en plus accessibles à la majorité des utilisateurs
3
Un triptyque pour gérer les nouveaux usages
28 juin 2011 - Propriété de Solucom, reproduction interdite
Encadrer
InnoverSe protéger
4
Se protéger
28 juin 2011 - Propriété de Solucom, reproduction interdite
Encadrer
InnoverSe protéger
Dans l’immédiat, une approche possible pour sécuriser tout en autorisant les usages : innover !
D’une approche historique plutôt restrictive…
… à une nouvelle cible sécurité : les données !
• Se concentrer sur la donnée
• Lui faire porter sa propre protection
• Avec des droits gérés centralement
• La rendre ainsi utilisable « partout »
Le marché et les solutions sont encore trop jeunes pour cette cible
• Filtrage Web
• Contrôle des accès des terminaux
• Authentification forte pour les accès distants
• Interdiction des équipements personnels
Cette approche ne peut plus être tenue aujourd’hui, car vouée à l’échec
5
Innover (1/2) : un changement de paradigme en cours
28 juin 2011 - Propriété de Solucom, reproduction interdite
Encadrer
InnoverSe protéger
Une évolution forte des technologies ces dernières années…
• Chiffrement intégral, applications « silo », puce TPM embarquée…• Virtualisation du poste de travail et synchronisation transparente• Déport dans le Cloud de certaines fonctions de sécurité (antivirus/proxy)• …
… qui peut amener à autoriser des usages précédemment exclus
• Authentification transparente en mobilité et en Wi-Fi interne• Accès direct à Internet sans rebond par l’infrastructure de l’entreprise• Autorisation de nouveaux terminaux (smartphones/tablettes)• …
6
Innover (2/2) : des solutions déjà en cours de déploiement ! 3 illustrations concrètes d’une nouvelle approche Sécurité
28 juin 2011 - Propriété de Solucom, reproduction interdite
Connexion à distance du Poste de Travail nomade
• Le token « calculatrice » est la solution historique d’authentification, contraignante
• L’utilisation de certificats pour s’authentifier était jugée trop faible, surtout en cas de vol du poste
• Si le poste est intégralement chiffré avec usage d’une TPM, le certificat est protégé… et on peut imaginer l’utiliser à la place du token, avec une connexion « en un clic »
Connexions au Webmail depuis un poste banalisé
• Le token « calculatrice » est la solution historique généralisée
• Une solution de soft token, sur smartphone, par SMS ou directement intégrée à la page Web d’authentification, peut offrir un niveau de sécurité suffisant dans la plupart des cas (si elle est correctement implémentée)
Utilisation de smartphones personnels (BYOD)
• Historiquement interdit car il posait trop de problèmes de sécurité
• Peut aujourd’hui être envisagé sereinement avec les approches « silo » segmentant les usages processionnels et personnels sur les terminaux.
• Plutôt que forcer techniquement une politique de sécurité, interdire l’accès aux terminaux qui ne respectent pas celle de l’entreprise
Encadrer
InnoverSe protéger
7
Encadrer
28 juin 2011 - Propriété de Solucom, reproduction interdite
InnoverSe protéger
Encadrer
• Les fonctions Sécurité ont parfois tendance à se préoccuper de problématiques qui ne sont pas nécessairement de leur responsabilité (exemple : perte de productivité liée à l’usage de réseaux sociaux)
Encadrer les aspects Juridique et de Ressources Humaines
• Avec des mesures cohérentes sur les différents éléments du SI• En restant ouvert : autoriser en accompagnant plutôt qu’interdire• En relativisant l’encadrement, là où la technique atteint ses limites :
sensibiliser pour responsabiliser
Encadrer les pratiques d’utilisation
8
Les principales idées à retenir
28 juin 2011 - Propriété de Solucom, reproduction interdite
InnoverSe protéger
Encadrer
Les nouveaux usages ne pourront pas être indéfiniment stoppés
• Beaucoup de réflexes et solutions « historiques » peuvent être actualisés
Les innovations sécurité permettent de les encadrer
• évaluer les niveaux de protection acceptables en fonction du contexte et garder une cohérence globale dans ses niveaux de sécurité
• accompagner les utilisateurs par des actions de sensibilisation à la sécurité• couvrir spécifiquement les aspects juridiques et de Ressources Humaines
Il faut cependant veiller à
• en répondant au besoin des utilisateurs…• … mais aussi à leurs envies• C’est également l’opportunité de soigner l’image positive de la DSI
La DSI, et le RSSI notamment, se doivent d’y réagir
La sécurité doit aujourd’hui s’apposer, et non s’opposer !
www.solucom.fr
Chadi Hantouche
Consultant Sécurité & Risk Management
Mail : [email protected]
Contact
