Sécurité BigData

8/16/2019 Sécurité BigData

http://slidepdf.com/reader/full/securite-bigdata 1/12

Livre blanc exécutif

IBM Software Octobre 2012

Trois principes directeurs pour améliorerla sécurité et la conformité des donnéesUne approche holistique de la protection des données pour faire face à un universde menaces complexe



2 Trois principes directeurs pour améliorer la sécurité et la conformité des données

RécapitulatifLes médias, en titrant sur la fréquence croissante desdétournements d’informations et d’identités, ont focalisél’attention du public sur les atteintes à la sécurité et à lacondentialité des données, et leurs conséquences. En réaction,de nouvelles réglementations sont entrées en vigueur partoutdans le monde. Si les particularités de ces réglementationspeuvent différer, l’incapacité à assurer la conformité des donnéespeut conduire à des condamnations nancières signicatives,à des poursuites criminelles et à une perte de clients.

En outre, l’explosion de l’information, la prolifération desterminaux, les volumes croissants d’utilisateurs et les nouveauxmodèles informatiques (Cloud, réseaux Sociaux, Big data) ontdonné naissance à de nouvelles vulnérabilités. Pour protégerles données sensibles et répondre aux besoins de conformité,les organisations se doivent d’adopter une approche plusproactive et méthodique.

Les données constituent un composant critique du fonctionnementquotidien des organisations, et il est essentiel de garantirleur condentialité et de les protéger, quelle que soit leur

localisation. Selon les types d’informations, les besoins deprotection seront différents ; d’où la nécessité pour lesorganisations d’adopter une approche holistique, c’est-à-direglobale, pour les préserver :• Connaître la localisation des données : Tant qu’elles ne

savent pas les localiser et les relier, les entreprises et lesorganisations ne peuvent pas protéger leurs données sensibles.

• Protéger les données sensibles, qu’elles soientstructurées ou non : Les données structurées stockées dansles bases de données doivent être protégées de tout accès nonautorisé. Les données non structurées (documents,formulaires, chiers image, systèmes GPS, entre autres)nécessitent des politiques de condentialité pour supprimer

les informations sensibles, et ce, tout en permettant le partagedes données métier.

• Protéger les environnements hors production : Lesdonnées utilisées dans les environnements hors production(développement, formation, assurance qualité) doivent êtreprotégées, tout en restant exploitables pendant les processusde développement d’applications, de tests et de formations.

• Sécuriser et surveiller en permanence l’accès auxdonnées : Les bases de données d’entreprise, les entrepôts debases de données, les partages de chiers et les systèmes baséssur le framework Hadoop imposent une surveillance en tempsréel pour assurer la protection et l’audit de l’accès auxdonnées. Les contrôles à base de règles, utilisant des prolsd’accès, sont indispensables pour détecter rapidement desactivités non autorisées ou suspectes, et alerter les personnesconcernées. En outre, les référentiels de données sensiblesdoivent être protégés contre les menaces nouvelles ou d’autresactivités malveillantes, et faire l ’objet d’une surveillancepermanente pour connaître leurs faiblesses.

• Démontrer la conformité pour la réussite des audits :Il ne suft pas de développer une approche holistique de lasécurité et de la condentialité des données ; les organisationsdoivent également démontrer et prouver leur conformitéauprès de chargés d’audit externes.

Les solutions IBM® de sécurité et de condentialité des donnéessont conçues pour mettre en œuvre cette approche holistiqueet intégrer l’intelligence nécessaire pour répondre de manièreproactive aux menaces informatiques et aux risques auxquelsl’entreprise est confrontée. IBM a développé trois principesdirecteurs simples (Connaître et dénir, Sécuriser et protéger,Surveiller et auditer ) pour contribuer, au sein des organisations,à une sécurité et à une conformité plus efcaces, et ce, sansimpact sur les systèmes de production et sans contraintessupplémentaires pour des budgets déjà sous contrôle étroit.

De la rumeur à la connaissance :les raisons d’un intérêt croissant pourla protection des donnéesLa sécurité des données constitue un objectif mouvant ; plus le

volume de données augmente, plus nous voyons apparaître deréglementations et des menaces sophistiquées, alors que leschangements économiques rendent difciles la sécurisationet la protection des données. Les nouveaux supports d’attaque,associés à des menaces contre la cyber-sécurité (versinformatiques, chevaux de Troie, rootkits, faux logiciels desécurité - rogue, logiciel malveillant d’accès téléphonique -dialer, logiciels espions) et contribuant à la complexité dela sécurité avec l’évolution des architectures informatiques(virtualisation, Big Data, entreprise étendue, consumérisme,mobilité) empêchent les entreprises de se consacrer pleinementà la protection des données (voir Figure 1).

Selon l’étude «Databases are More at Risk Than Ever »

publiée en octobre 2011, menée auprès de 355 professionnelsde la sécurité des données, un répondant sur quatre considèrequ’une atteinte aux données en 2012 était probable ouinévitable. Seules 36 pour cent des organisations ont adopté desmesures pour s’assurer que leurs applications ne seraient pasexposées à des attaques par injection SQL, et plus de 70 pourcent d’entre elles prennent plus de trois mois pour appliquerdes correctifs logiciels critiques, ce qui donne aux attaquantsl’opportunité qu’ils attendent. La plupart des organisations ayantparticipé à l’étude sont dans l’incapacité d’indiquer s’il s’estproduit un accès ou des modications non autorisés dans leursbases de données. Dans la plupart des cas, une atteinte pourraitrester indétectée pendant plusieurs mois, voire plus, car seules40 pour cent de ces entreprises ou organisations contrôlent leursbases de données de manière périodique.

http://www.oracle.com/us/products/database/2011-ioug-data-security-survey-516534.pdf

http://www.oracle.com/us/products/database/2011-ioug-data-security-survey-516534.pdf



IBM Software 3

Dans la majorité des organisations, les stratégies de préventionsont quasiment inexistantes. Seule une sur quatre dit être capabled’empêcher, avant qu’elle ne se produise, une utilisation abusivedes autorisations des utilisateurs privilégiés d’une base de données,notamment des administrateurs de base de données. Seules 30 pourcent cryptent leurs informations sensibles et personnelles danstoutes leurs bases de données, bien que la réglementationmondiale en matière de condentialité des données impose lecryptage des données non actives. En outre, la plupart admettentdisposer de données sensibles dans des environnements horsproduction et accessibles par les développeurs, les responsablesde tests et mêmes des entités tierces.

Changements des environnements informatiqueset évolutions des affairesLes politiques de sécurité et les technologies correspondantesdoivent évoluer alors que les organisations se trouventexposées à de nouvelles initiatives opérationnelles, telles quel’externalisation, la virtualisation, le Cloud, la mobilité, lesapproches 2.0, le Big data et les réseaux Sociaux. Pour lesorganisations, cela veut dire rééchir de manière élargieconcernant la localisation des données sensibles et la manière d’y

accéder. Elles doivent également considérer un ensemble étendude données sensibles aussi bien structurées que non structurées,notamment les informations client, les secrets commerciaux,la propriété intellectuelle, les plans de développement, lesdifférenciateurs concurrentiels, entre autres informations.

Des pirates informatiques plus sophistiqués etplus ef cacesLa plupart des organisations sont aujourd’hui en difculté pourfaire face à l’écart croissant entre les capacités des piratesinformatiques et la protection de leur sécurité. La natureévolutive, la complexité et l’échelle étendue des attaques venuesde l’extérieur sont également des sujets de préoccupation. Dansle passé, les préoccupations les plus critiques résidaient dans ledéclenchement de virus ou les attaques brusques par déni deservice (DoS), entraînant une interruption momentanée desactivités des entreprises. Aujourd’hui, de plus en plus avertis etinterconnectés, les pirates informatiques s’appuient sur lesréseaux sociaux, achètent des applications de « piratage »préassemblées, quand ils ne sont pas nancés par des États.En pénétrant et en inltrant les réseaux, les nouvelles attaques APT (menaces persistantes évoluées) exploitent les écarts deconnaissances entre employés, les faiblesses des processus et les vulnérabilités technologiques, dans des combinaisons diverses,pour détourner des données de clients ou d’entreprises,notamment des secrets commerciaux, avec pour résultat éventueldes milliards de dollars de perte de chiffre d’affaires, desamendes, des procès et des dommages irréparables à laréputation.

Selon l’étude Verizon Data Breach Investigations Report 2012la démarche la plus courante pour une atteinte consiste àexploiter des mots de passe par défaut ou faciles à deviner (pou29 % des cas), suivi des logiciels malveillants de type backdoo(26 %), l’utilisation d’informations d’identication volées(24 %), l’exploitation de canaux dissimulés, de commandes et contrôles (23 %), ainsi que les logiciels malveillants enregistrede frappe au clavier (keylogger) et les logiciels espions (18 %)Les attaques par injection SQL constituent 13 % des atteintes.En ce qui concerne les cibles des attaques, 90 % des atteintesétudiées par Verizon se sont produites sur des serveurs (points vente, web, applications, bases de données).

Respect des obligations légales de conformitéLe nombre et la variété des obligations légales, qui concernentles entreprises et les organisations du monde entier, sont troplarges pour être mentionnés ici. Certaines de ces obligations lesplus importantes incluent la réglementation SOX (Sarbanes-Oxley Act), HIPAA (Health Insurance Portability and Accountability Act), PCI-DSS (Payment Card Industry DataSecurity Standard) – dont l’application s’étend désormaisau-delà de l’Amérique du Nord – FISMA (Federal Information

Security Management Act), ainsi que la directive européenne sla condentialité des données. Parallèlement, se développentégalement des contraintes imposant de démontrer uneconformité immédiate. Les entreprises doivent montrer leursprogrès immédiats en la matière, aussi bien en interne que pourleurs actionnaires, faute de quoi elles verront une détériorationde leur réputation et subiront des condamnations nancières.

L’explosion de l’informationL’explosion de l’information numérique est extraordinaire.En 2009, le monde comptait 0,8 zétaoctets (Zo) de données.En 2012, elles sont estimées à 1,8 Zo. Ce nombre est étonnant,si on considère qu’un zétaoctet correspond à 1 000 milliards degigaoctets (Go). L’explosion de l’information a fait de l’accès àdes informations publiques et privées un élément de la viequotidienne. Elle s’accompagne d’une augmentation du volumde la variété et de la vitesse de circulation des données. Lesorganisations doivent prendre conscience des dés particuliersrelatifs au Big data, notamment concernant les grandesinfrastructures Cloud, la diversité des sources et des formatsde données, la nature continue des ux d’acquisition de donnéeet de l’agrégation des données en volume.

Les applications métier les plus critiques collectent en généralces informations à des ns justiées ; toutefois, étant donnéla nature interconnectée du réseau Internet et des systèmesd’information dont l’ERP, le CRM et les applications métierpersonnalisées, les données sensibles peuvent facilement subirdes vols et des utilisations inappropriées.




Menaces internesUn pourcentage élevé des atteintes aux données résulteeffectivement des faiblesses internes en matière de sécurité.Ces atteintes concernent aussi bien des employés utilisant demanière inappropriée des numéros de cartes de crédit et d’autresinformations sensibles, ou d’autres stockant des donnéescondentielles sur leurs ordinateurs portables, lesquels peuventêtre ensuite volés. En outre, les organisations ont égalementla responsabilité de protéger les données, quelle que soit leurlocalisation — qu’il s’agisse de partenaires commerciaux, deconsultants, de sous-traitants, de fournisseurs ou d’autresinterlocuteurs tiers.

En résumé, les organisations se focalisent de manière plusrésolue sur les problématiques de sécurité et de condentialitédes données. Au-delà du développement de solutions ponctuelles,capables de résoudre des problématiques spéciques, elless’orientent vers l’élaboration de règles et de procédures desécurité et de condentialité au sein de l’entreprise. Alors ques’ouvre une nouvelle ère de l’informatique, il est particulièrementimportant d’intégrer la sécurité dans les règles métier et lesprocessus informatiques.

Sécurité ou con dentialité

Si la sécurité et la condentialité sont des notions associées,elles relèvent de concepts distincts. La sécurité est un systèmede protection d’infrastructure, permettant d’empêcher oud’autoriser l’accès à certains domaines ou données en fonctiond’une autorisation. En revanche, les restrictions de condentialitépermettent de maîtriser l’accès pour des utilisateurs ayantautorisation à accéder à un ensemble particulier de données.La condentialité des données permet de s’assurer que ceuxqui ont un intérêt professionnel légitime à accéder à un sous-ensemble de ces données n’utilisent pas de manière abusive

les autorisations qu’ils possèdent. Cet intérêt professionnel estgénéralement déni par une fonction, dénie à son tour par unerègle de régulation ou de gestion, ou les deux.

Parmi des exemples de solutions de sécurité des données,gurent la surveillance de l’activité des bases de données etl’évaluation de leurs vulnérabilités. Des exemples de solutions decondentialité des données, sont la suppression et le masquagedes données. Dans une situation récente illustrant la distinctionentre les deux notions, des médecins du centre médical del’UCLA ont été surpris en train d’examiner les dossiers médicauxde la vedette Britney Spears. Les règles de sécurité del’établissement hospitalier ont été respectées puisque lesmédecins ont obligatoirement accès aux dossiers médicaux,mais il s’est produit une atteinte à la condentialité puisque cesmédecins ont accédé au chier pour des raisons de curiosité etnon à des ns médicales justiées.

Les enjeux sont considérables :risques associés à une sécurité et à unecondentialité insufsantes des donnéesEn cas d’utilisation inappropriée des données, les entrepriseset leurs dirigeants peuvent faire face à des amendes allant de5 000 dollars jusqu’à 1 million de dollars par jour, assortiesd’éventuelles peines de prison. Selon l’Institut Ponemon, dansl’étude « 2011: Cost of Data Breach Study » (publiée en mars2012), le coût moyen pour l’entreprise d’une atteinte auxdonnées en 2011 était de 5,5 millions de dollars. Les atteintesaux données ont coûté aux entreprises concernées, en 2011, unemoyenne de 194 dollars par enregistrement altéré. Le nombred’enregistrements attaqués pour chaque incident en 2011 sesituait dans un intervalle compris entre 4 500 enregistrementset plus de 98 000. En 2011, le nombre moyen d’enregistrementsattaqués a été de 28 349.

La résolution de l’atteinte la plus coûteuse étudiée par l’institutPonemon (étude annuelle 2010 : U.S. Cost of a Data Breach,2011) a coûté 35,3 millions de dollars, en hausse de 4,8 millionsde dollars (+15 %) par rapport à 2009. L’atteinte aux données la

moins coûteuse a représenté un montant de 780 000 dollars,en hausse de 30 000 dollars (+4 %) par rapport à 2009. Commeles années précédentes, le coût des atteintes aux données sembledirectement proportionnel au nombre d’enregistrements altérés.

Les lourdes peines appliquées ne sont qu’un exemple de lamanière dont les organisations peuvent être touchées ; parmi lesautres impacts négatifs, gurent les atteintes au cours de l’action,sources de préoccupations pour les investisseurs, et la publiciténégative résultant d’une atteinte aux données. Les dommagesirréparables atteignant une marque signalent une entrepriseindigne de conance.

Les cinq sources de risque les plus courantes sont les suivantes :• Des autorisations excessives et une utilisation abusive

de ces autorisations par les utilisateurs. Lorsque lesutilisateurs (ou les applications) bénécient d’autorisationsd’accès à des bases de données dépassant les besoins liés àleurs fonctions, ces privilèges sont utilisables pour accéderà des informations condentielles.

• Augmentation non autorisée des niveaux d’autorisation.Les attaquants peuvent tirer parti des vulnérabilités deslogiciels de gestion de bases de données pour convertir desautorisations d’accès de bas niveau en des autorisations d’accèsde plus haut niveau.

• Injection SQL. Les attaques par injection SQL s’appuientsur un utilisateur susceptible de tirer parti de vulnérabilités

dans les applications web et dans les procédures stockées pourémettre des requêtes non autorisées d’interrogation des basesde données, souvent basées sur un niveau d’autorisation élevé.

Avec une injection SQL, les attaquants peuvent mêmebénécier d’accès sans aucune restriction à l ’ensemble d’unebase de données.



IBM Software 5

• DoS. Les attaques DoS (déni de service) sont déclenchéesau moyen de différentes techniques. Les plus courantesconcernent les dépassements de capacité des tampons,la corruption des données, la saturation des réseaux et lasaturation des ressources. Cette technique de saturationdes ressources est spécique à l ’environnement des basesde données et est fréquemment négligée.

• Exposition des données sauvegardées. Certaines attaquesmédiatisées récentes ont consisté à voler des bandes desauvegarde de bases de données et des disques durs non cryptés.

œuvre d’autres initiatives, qui impacteraient lourdement leursprocessus. Elles se doivent d’intégrer des règles de sécurité et dcondentialité dans leurs opérations courantes et de constituerles équipes nécessaires à la mise en œuvre de ces règles à l’échede l’organisation (notamment les équipes informatiques,responsables métier, équipes opérationnelles et départements juridiques). Alors que les besoins en matière de condentialitésont variables et dépendent des rôles, déterminer qui a besoind’accéder à quels données dénies, n’est pas aisé. Enn, lesapproches manuelles ou « maison » de protection des donnéesentraînent une augmentation des risques et créent del’inefcacité. Les approches manuelles ne permettentgénéralement pas de protéger un ensemble de données dedifférents types, structurées et non structurées, et ne permettentpas de suivre l‘évolution de l’organisation. Enn, le nombrecroissant d’obligations légales de conformité, assorties de délaide mise en application, contribue à des contraintes opérationnellsupplémentaires sans clarier les priorités.

Les organisations ont besoin d’une approche nouvelle de laprotection des données — une approche leur permettantd’intégrer des règles de sécurité et de condentialité dans leurs

meilleures pratiques et pouvant les aider, plutôt que les freiner,à développer leurs résultats nanciers. La conjugaison denombreux facteurs dynamiques et d’enjeux élevés place lesmodalités d’approche de la sécurité et de la condentialité desdonnées dans les priorités de premier plan.

Exploiter une approche holistique de lasécurité et de la condentialitéLes organisations ont besoin d’une approche globale de laprotection des données. Elle doit permettre la protection dedifférents types de données dans des environnements physiqueCloud computing et Big Data, et intégrer une protectiondes données structurées et non structurées aussi bien dans

les environnements de production que hors production(développement, test, formation). Cette approche contribueà recentrer des ressources limitées sans ajouter de nouveauxprocessus ou accroître la complexité. Une approche globaleapporte également aux organisations la capacité à démontrerleur conformité sans interrompre des processus métier critiquesou leurs activités courantes.

Pour initier la démarche, les organisations doivent prendre encompte six questions essentielles. Ces questions sont destinéesmieux centrer la réexion sur les vulnérabilités les plus critiquen matière de données :

1. Où sont localisées les données sensibles ?

2. Comment protéger, surveiller et auditer les bases de donnéesde votre entreprise ?

Figure : Analyse des attaques malveillantes ou criminelles selonl’étude 2011 Cost of Data Breach Study, menée par le Ponemon Institute(publiée en mars 2012)

Les freins à la mise en œuvre : les désrelatifs à la protection des données Alors que le marché a placé la sécurité comme une priorité depremier plan et que les risques sont clairement dénis, pourquelle raison les organisations n’ont-elles pas adopté uneapproche holistique, donc globale, de la protection desdonnées ? Et pour quelle raison sont-elles submergées parles nouvelles menaces ?

La réalité que les dés et la complexité sont considérables.D’abord, de nombreuses solutions ne couvrent qu’un aspect ouqu’une seule approche de la protection des données. Peu d’entreelles couvrent l’ensemble des menaces, des sources et des typesde données pour proposer une stratégie globale apportant laexibilité nécessaire face aux nouvelles menaces et à l’adoption denouveaux modèles informatiques. De plus, peu d’organisationsdisposent des ressources nancières et humaines pour mettre en

Virus, logiciels malveillants, vers informatiques, chevaux de Troie

Activités criminelles de collaborateurs internes

Vol d’équipements contenant des données

Injection SQL

Phishing

Attaques par le web

Manipulation d’utilisateurs

Autres




3. Comment protéger vos données vis-à-vis des accès autoriséset non autorisés ?

4. Est-il possible de protéger les données condentiellescontenues dans des documents tout en permettant le partagedes données métier, lorsque c’est nécessaire ?

5. Est-il possible de protéger des environnements horsproduction, tout en permettant leur utilisation à des ns deformation, de développement d’applications et de test ?

6. Quels sont les processus de cryptage de données les plus adaptés ?

Les réponses à ces questions constituent la fondation d’uneapproche globale de la protection des données, capable d’évoluerà mesure de l’engagement de l’organisation dans une nouvelleère informatique. Les réponses à ces questions permettentégalement de mettre l’accent sur les domaines essentiels que lesorganisations pourraient négliger avec les approches actuelles.

1. Il est impossible pour une organisation de protéger sesdonnées si elle ne sait pas qu’elles existent. Les donnéessensibles sont stockées dans des formats structurés et nonstructurés dans des environnements de production, ou dansd’autres contextes. Les organisations doivent décrire et dénir

l’ensemble des actifs de données et leurs relations, quelle quesoit la source. Il est essentiel de classier les données, decomprendre les relations entre les données et de dénir desniveaux de service. Le processus de découverte des donnéespermet d’analyser les valeurs et les prols de donnéespour identier les relations liant des éléments de donnéesdisparates sous forme d’unités logiques d’information,ou « objets métier » (notamment des données client, relativesaux patients ou à la facturation).

2. La surveillance des activités permet de contrôler les accèsdes utilisateurs (autorisés ou non) et des applications,indépendamment des fonctions natives de journalisation etd’audit des bases de données. Cette fonction permet unecompensation maîtrisée des problématiques de répartitiondes tâches (SoD - separation-of-duties) pour les utilisateursautorisés grâce à la surveillance de l’ensemble des activitésdes administrateurs. La surveillance des activités permetégalement une sécurité accrue en détectant les activitésinhabituelles d’accès et de mise à jour de la couched’application à une base de données, un entrepôt de données,un processus de partage des chiers ou un système Hadoop.L’agrégation, la corrélation et la génération de rapportsd’événements procure des capacités d’audit sans avoir àmettre en œuvre les fonctions d’audit natives. Les solutionsde surveillance de l’activité doivent être capables de détecterdes activités malveillantes ou des accès non approuvés ouinappropriés par des utilisateurs dûment autorisés.

3. Les données doivent être protégées au travers de différentestechniques de transformation, notamment le cryptage, lemasquage et la suppression. C’est la dénition de l’utilisationmétier des données qui permettra de dénir les règles detransformation des données. À titre d’exemple, il est possible

d’établir une règle permettant de masquer des données àl’écran ou à la volée, pour éviter que les agents des centresd’appels ne visualisent le numéro de sécurité sociale de leurinterlocuteur. Autre exemple, il est possible de masquer lesmontants de chiffre d’affaires dans des rapports partagés avecdes partenaires commerciaux et des fournisseurs.

4. La suppression des données permet d’éliminer des donnéessensibles dans des formulaires et des documents, en fonctiondes rôles des utilisateurs ou des objectifs métier. À titred’exemple, les médecins doivent avoir accès à des informationssensibles, notamment celles relatives aux symptômes et auxpronostics, alors qu’un employé chargé de la facturation aurabesoin du numéro de sécurité sociale et de l’adresse defacturation du patient. La difculté consiste à assurer laprotection appropriée, et ce, tout en répondant aux besoinsmétier en gérant les données en fonction de critères de« nécessité ». Les solutions de suppression de données ontpour objectif de protéger les informations sensibles dans desdocuments, des formulaires et des graphiques non structurés.

5. Le masquage (ou désidentication) des données dans desenvironnements hors production consiste simplement àsupprimer, masquer ou transformer de manière systématique

des éléments de données pouvant être utilisés pour identierune personne. Le masquage des données permet auxdéveloppeurs, aux responsables de tests et aux formateursd’utiliser des données réelles et de produire des résultats valides, et ce, tout en respectant la conformité aux règles deprotection de la vie privée. Les données ainsi gommées ounettoyées sont généralement considérées comme utilisablesdans des environnements hors production, en s’assurant quemême si les données sont volées, exposées ou perdues, elles nepourront être utilisées par personne.

6. Le cryptage de données ne constitue pas une technologienouvelle, et il en existe de nombreuses approches. Le cryptageest explicitement exigé par de nombreuses réglementations,notamment PCI-DSS, associé à la mise en œuvre d’une sphèrede sécurité dans le cadre de différentes obligations légales.Ce qui veut dire que les organisations n’ont pas à divulguer lesatteintes aux données dont elles font l’objet si les données sontcryptées. Du fait des offres proliques de différents fournisseurs,il est difcile pour une organisation d’identier l’approchede cryptage la plus performante. Concernant le cryptage dedonnées structurées, il est possible d’envisager une approchede traitement au niveau des chiers. Elle permettra deprotéger à la fois les données structurées contenues dans lesystème de gestion de base de données (SGBD) et égalementles chiers non structurés, notamment le journal du SGBDou les chiers de conguration, tout en restant transparentepour le réseau, les supports de stockage et les applications.

Il est préférable de privilégier les offres de cryptage apportantune répartition des tâches robuste, des règles uniées et unsystème d’administration des clés permettant de centraliseret de simplier la gestion de la sécurité des données.



IBM Software 7

Apporter une réponse aux dés enmatière de sécurité et de conformitédes donnéesEn quoi l’approche d’IBM en matière de protection desdonnées est-elle inégalée ? L’expertise. C’est la conjugaisond’une approche englobant les personnes, les processus, latechnologie et l’information qui distingue les solutionsIBM de sécurité et de condentialité des données de celles dela concurrence. La nalité de la gamme proposée par IBM estd’aider les organisations à respecter leurs obligations légales,réglementaires et métier, et ce, sans ajouter de chargesupplémentaire. Ce qui permet aux organisations de mettre enœuvre leurs initiatives de conformité, de réduire leurs coûts,de minimiser les risques et de soutenir le développement del’organisation. En outre, IBM intègre les fonctions de sécuritédes données dans un framework de sécurité plus large.L’IBM Security Framework (voir Figure 2), conjugué auxmeilleures pratiques, apporte l’expertise, l’analyse des donnéeset les modèles de maturité nécessaires pour offrir à nos clients lacapacité à s’engager dans l’innovation, en toute conance.

Pour répondre aux problématiques de sécurité et de conformitédes données, IBM a déni trois principes directeurs pour mettren œuvre une approche globale de la sécurité des données :Connaître et dénir, sécuriser et protéger, surveiller et auditer.En adoptant ces trois principes, une organisation peut amélioresa posture globale de sécurité et respecter en toute conance seobligations légales de conformité.

Connaître et dé nir

Une organisation se doit d’identier les données sensibles, de llocaliser, de les classier, de dénir des types de données et dedéterminer des indicateurs et des règles permettant d’assurerune protection durable. Les données sont souvent réparties surdifférentes applications, bases de données et plateformes, le tousans être véritablement décrites. Pour les décrire, la plupart desorganisations s’appuient de manière excessive sur des expertsdes systèmes et des applications. Parfois, ces descriptions sontintégrées dans la logique de l’application, et il peut exister desrelations masquées en arrière-plan des interfaces concernées.

Identier les données sensibles et découvrir les relations entreles données nécessite une analyse soigneuse. Les sources dedonnées et les relations entre elles doivent être clairementidentiées et documentées an de ne laisser aucune donnéesensible exposée à des vulnérabilités. C’est seulement après avidentié l’ensemble du contexte qu’une organisation peut déndes règles appropriées de sécurité et de condentialité pourses données.

La solution IBM InfoSphere Discovery est conçue pouridentier et décrire les données dont vous disposez, leurlocalisation et leurs liens entre les différents systèmes,en identiant de manière intelligente les relations et endéterminant les transformations et les règles métier appliquées.Elle permet d’automatiser l’identication et la dénition desrelations entre données dans des environnements complexes

et hétérogènes.En l’absence de processus automatisés pour identier les relatioentre données et dénir les objets métier, une organisationpeut consacrer des mois à une analyse manuelle — et ce, sansaucune assurance d’une démarche complète ou exacte. AvecIBM InfoSphere Discovery, par contre, il est possible d’identide manière automatique et exacte des relations entre données ede dénir des objets métier en une fraction du temps qui seraitnécessaire avec une approche manuelle ou de prolage.La solution s’adapte à un large éventail de sources de données,notamment les bases de données relationnelles, les bases dedonnées hiérarchiques et d’autres sources de donnéesstructurées, stockées sous forme de chiers texte.

Figure : IBM est le seul fournisseur proposant un framework desécurité sophistiqué intégrant des fonctionnalités de sécurité intelligenteenglobant les personnes, les données, les applications et l’infrastructure.




Pour résumer, la solution IBM InfoSphere Discovery apporteaux organisations les capacités suivantes :

• Localiser et inventorier les sources de données à l’échellede l’organisation ;

• Identier et classier les données sensibles ;• Connaître les relations entre les données ;• Dénir et décrire les règles de condentialité ;• Décrire et gérer les exigences et les menaces de

manière continue.

Sécuriser et protégerLes solutions de sécurité et de condentialité des donnéess’appliquent à l’ensemble des éléments hétérogènes del’entreprise, en contribuant à protéger les données structuréescomme non structurées, présentes dans les environnements deproduction et hors production (voir Figure 3). Les solutionsIBM InfoSphere aident à protéger les données sensibles desapplications ERP/CRM, des bases de données, des entrepôtsde données, des outils de partage de chiers et des systèmesutilisant le framework Hadoop, mais aussi pour gérer desformats non structurés, tels que des formulaires et desdocuments. Les technologies essentielles incluent la surveillancedes activités, le masquage des données, la suppression desdonnées et le cryptage des données. La solution InfoSphereGuardium apporte les contrôles et les capacités nécessaires àl’échelle de l’entreprise en englobant différentes plateformeset sources de données, permettant ainsi d’enrichir lesinvestissements déjà effectués dans des plateformes telles que

RACF sur System z, qui apporte des modèles de sécuritéintégrée capables d’exploiter des sources de données telles queDB2 for z/OS, IMS et VSAM. Une approche globale de laprotection des données permet d’assurer une protection à360 degrés de l’ensemble des données organisationnelles.

Pour chaque type de données (structurées, non structurées,ofine et online), nous recommandons différentes technologiesde protection. Il est nécessaire de garder à l’esprit que différentstypes de données existent dans les environnements deproduction comme hors production.

Données structurées : Ces données sont fondées sur un modèle

et disponibles sous des formats structurés (base de données, XML).

Données non structurées : Ces données apparaissent dans desformulaires ou des documents pouvant être manuscrits,dactylographiés ou disponibles dans des référentiels de chiers, telsque les documents de traitement de texte, les messages de courrierélectronique, les images, les chiers sonores numériques, les chiersvidéo, les données de GPS, entre autres.

Données connectées : Ces données sont utilisées de manièrecourante pour le fonctionnement de l’organisation, et incluent lesmétadonnées, les données de con guration ou les chiers journaux.

Données non connectées : Il s’agit de données contenues dans desbandes de sauvegarde ou sur des équipements de stockage.

Figure : Lors du développement d’une stratégie de sécurité et de con dentialité des données, il est essentiel de prendre en compte tous les types dedonnées présents dans les environnements de production et hors production.

Données contenues dans desbases de données hétérogènes(Oracle, DB2, Netezza, Informix,

Sybase, Sun MySQL, Teradata)

• Surveillance d’activité• Évaluation des vulnérabilités• Masquage des données• Cryptage des données

Données hors des bases de données(Hadoop, part ages de fichiers, ex : SharePoint,

TIF, .PDF, .doc, documents numérisés)

• Suppression des données• Surveillance d’activité

• Masquage des données

Donnéesstructurées

Données nonstructurées

Donnéesconnectées

Données nonconnectées

Données utilisées dansles activités courantes

• Surveillance d’activité• Évaluation des vulnérabilités

• Masquage des données• Cryptage des données

Données extraites desbases de données

• Cryptage des données

S y s

t è m e s

d e

p r o

d u c t io n e t h o

r s p

r

o d u c

t i o n



IBM Software 9

A noter que ces quatre types de données élémentaires secaractérisent par une explosion en termes de volume, de variétéet de vitesse. La plupart des organisations cherchent à intégrerces types de données dans des systèmes Big data, tels queNetezza ou Hadoop, pour les analyser de manière plus détaillée.

L’offre IBM InfoSphere Guardium Activity Monitor and Vulnerability Assessment apporte une solution de sécuritépermettant de prendre en compte l’ensemble du cycle de vie dela sécurité et de la conformité d’une base de données, avec uneconsole web uniée, un magasin de données « back end » et unsystème d’automatisation du workow. La solution vous apportela capacité à :

• Évaluer les vulnérabilités et les failles de conguration desbases de données et des référentiels de données ;

• Vérier que les congurations sont protégées après mise enœuvre des changements recommandés ;

• Assurer la visibilité et la granularité totales de toutes lestransactions menées sur les sources de données — quels quesoient les plateformes et les protocoles — au moyen d’unprocessus d’audit sécurisé et infalsiable intégrant la

répartition des tâches ;• Surveiller et appliquer des règles pour l’accès aux donnéessensibles, les actions des utilisateurs dûment autorisés, lecontrôle des changements, l’activité des utilisateurs desapplications et les exceptions de sécurité, notamment leséchecs de connexion ;

• Automatiser l’ensemble du processus d’audit de conformité — y compris la diffusion des rapports aux équipes de supervision,aux agents chargés des abonnements et aux niveauxhiérarchiques d’escalade — en utilisant des rapportsprécongurés compatibles avec les réglementations SOX,PCI-DSS et de protection de la condentialité des données ;

• Créer un référentiel d’audit unique et centralisé pour lereporting de conformité à l’échelle de l’entreprise,l’optimisation des performances, les investigations et lesrecherches de preuves ;

• Étendre facilement les opérations depuis la protection d’unesimple base de données jusqu’à celle de milliers de bases dedonnées, d’entrepôts de données, de solutions de partage dechiers ou de systèmes utilisant le framework Hadoop, pourdes centres de données disséminés dans le monde entier.

Traditionnellement, la protection des informations nonstructurées contenues dans les formulaires, les documents et lesgraphiques est effectuée manuellement en supprimant le contenuélectronique et en utilisant un stylo noir sur du papier poursupprimer ou masquer des informations sensibles. Cependant,ce processus manuel peut provoquer des erreurs, conduire à desomissions involontaires et laisser des informations masquées dansdes chiers, d’où un risque d’exposition de données sensibles. Les volumes immenses de formulaires et de documents électroniquesproduits aujourd’hui font de ce processus manuel une activitéfastidieuse sur le plan pratique, et contribuent aux risquesauxquels une organisation peut s’exposer.

IBM InfoSphere Guardium Data Redaction permet deprotéger de toute divulgation inopinée les informations sensiblescontenues dans des documents non structurés et des formulaires.La solution automatisée apporte de l’efficacité au processus desuppression en détectant les informations sensibles et en leséliminant automatiquement de la version des documents miseà la disposition de lecteurs ne disposant pas d’autorisationparticulière. Basée sur des techniques de suppression de donnéespar logiciel parmi les plus performantes de l’industrie,la solution InfoSphere Guardium Data Redaction apporteégalement la exibilité nécessaire pour l’analyse et lasurveillance humaines, le cas échéant.

IBM InfoSphere Optim Data Masking Solution proposeun ensemble complet de techniques de masquage de donnéesrépondant à la demande à vos besoins de conformité en matièrede condentialité des données, incluant les capacités suivantes :

• Fonctionnalités de masquage en fonction des applications,pour s’assurer que les données masquées, par exemple, lesnoms et les adresses, sont présentées sous un aspect identiquaux informations originales (voir Figure 4).

• Sous-programmes de masquage de données pré-conditionnéeet contextualisées, pour désidentier des données (par exemplnuméros de carte de crédit, numéros de Sécurité sociale,adresses géographiques, adresses de courrier électronique).

• Fonctionnalités de masquage permanent, qui permettent depropager des valeurs de remplacement masquées de manièrecohérente dans les applications, les bases de données, lessystèmes d’exploitation et les plateformes matérielles.

• Fonctionnalités de masquage de données statiques oudynamiques, compatibles à la fois avec les environnementsde production et hors production.

Avec l’offre InfoSphere Optim, les organisations disposent desmoyens de désidentier des données d’une manière pertinente

pour les utiliser dans les environnements de développement, detest ou de formation, et ce, tout en protégeant la condentialitédes informations.

Figure : Les informations permettant d’identi er des personnessont masquées en utilisant un masque réaliste, mais contenant desdonnées ctives.

Masque




IBM InfoSphere Guardium Data Encryption constitue unesolution uniée, facile à administrer et évolutive pour crypterles données sans sacrier les performances des applications ouapporter de la complexité à la gestion de clés. InfoSphereGuardium Data Encryption permet de résoudre les dés desapproches invasives et ponctuelles au travers d’une démarchetransparente et cohérente permettant le cryptage et la gestion dela sécurité des données d’une organisation. Contrairement auxapproches invasives telles que le cryptage de bases de donnéespar colonnes, le cryptage de chiers par le procédé PKI ou lecryptage ponctuel natif, IBM InfoSphere Guardium DataEncryption constitue une solution uniée et transparente facile àadministrer. L’approche uniée du cryptage permet de bénécierdes fonctionnalités les plus performantes des deux domaines :la capacité à répondre parfaitement aux besoins de gestion del’information, conjuguée à une robuste sécurité des données,basée sur des règles. Des agents jouent le rôle de boucliertransparent, dont le rôle est d’évaluer toutes les demandesd’information au regard de règles facilement personnalisables.Ces agents assurent des contrôles intelligents basés sur ledécryptage pour les opérations de lecture, d’écriture et d’accèsà des contenus cryptés. Cette solution haute performance est

idéale pour les environnements distribués, et les agents assurentune sécurité cohérente, contrôlable et non invasive, centrée surles données, quasiment pour tous les chiers, bases de donnéesou applications, et ce, quelle que soit leur localisation.

En résumé, la solution InfoSphere Guardium Data Encryptionapporte les avantages suivants :

• Un procédé de cryptage unié, cohérent et transparent adaptéaux entreprises les plus complexes ;

• Une approche basée sur des règles, vériable et exploitable àl’échelle de l’entreprise ;

• Des processus de mise en œuvre parmi les plus rapidespossible, ne nécessitant aucune modication des applications,des bases de données ou des systèmes ;

• Une gestion de clés simpliée, sécurisée et centralisée pourl’ensemble des environnements distribués ;

• Des règles de sécurité des données intelligentes et facilementpersonnalisables pour une sécurité des données robusteet permanente ;

• Une séparation des tâches forte ;• Des performances exceptionnelles avec une capacité éprouvée

à répondre aux contrats de niveau de services (SLA) pour lessystèmes critiques d’entreprise.

IBM Tivoli Key Lifecycle Manager apporte aux départementsinformatiques les moyens de gérer plus facilement le cycle de vie

des clés de cryptage en leur permettant de centraliser et derenforcer leurs processus de gestion de clés. La solution permetde gérer les clés de cryptage pour des dispositifs IBM de

stockage à cryptage intégré, mais aussi pour les solutions autresqu’IBM utilisant le protocole KMIP (Key ManagementInteroperability Protocol). IBM Tivoli Key Lifecycle Managerapporte les avantages suivants en matière de sécurité des données :

• Centralise et automatise le processus de gestion des clésde cryptage ;

• Améliore la sécurité des données, tout en réduisantconsidérablement le nombre de clés de cryptage à gérer ;

• Simplie la gestion des clés de cryptage grâce à une interfaceutilisateur intuitive utilisée pour la conguration etl’administration ;

• Minimise le risque de perte ou d’atteinte à desinformations sensibles ;

• Facilite l’administration de la conformité à des normesréglementaires, telles que SOX et HIPAA ;

• Étend les capacités d’administration de clés à la fois auxproduits IBM et non-IBM ;

• S’appuie sur des standards ouverts pour améliorer la exibilitéet faciliter l’interopérabilité entre fournisseurs.

Surveiller et auditer Au-delà de la localisation et de la protection des données,l’entreprise se doit de démontrer sa conformité, de se préparerà réagir à de nouveaux risques, externes ou internes, et desurveiller en permanence ses systèmes. La surveillancedes activités des utilisateurs, de la création d’objets, de laconguration des référentiels de données et de la dénition desdroits permet aux professionnels informatiques et aux chargésd’audit d’assurer le suivi des utilisateurs des applications et desbases de données. Ces spécialistes peuvent créer des règlesprécises dénissant des comportements appropriés et bénécierd’alertes si ces règles sont violées. Une organisation doit être enmesure de démontrer rapidement sa conformité et confère auxchargés d’audit la responsabilité de vérier la situation en lamatière. Le reporting d’audit et les processus de désinscriptionfacilitent les processus de conformité en contrôlant les coûts eten minimisant les perturbations techniques et métier. En résumé,une entreprise doit créer des processus d’audit continus etdétaillés de toutes les activités de bases de données, y comprisla description de chaque transaction (qui, quoi, quand, oùet comment).

La solution IBM InfoSphere Guardium Activity Monitor permetdes audits détaillés et indépendants des systèmes de gestion debases de données, avec un impact minimal sur les performances.InfoSphere Guardium est également conçu pour réduire lescoûts d’exploitation grâce à l’automatisation et à des règles etdes référentiels d’audit centralisés pour différents systèmes

de gestion de bases de données, auxquels s’ajoutent desfonctionnalités de ltrage et de compression.



IBM Software 11

Conclusion : une sécurité et uneconformité des données plus performantesLa protection de la sécurité et de la condentialité des donnéesconstitue une responsabilité rigoureuse et permanente qui doitêtre intégrée aux meilleures pratiques. IBM propose uneapproche intégrée de la sécurité et de la condentialité desdonnées, mise en œuvre au travers de trois principes directeurs :

1.Connaître et dénir.2.Sécuriser et protéger.3.Surveiller et auditer.

La protection des données impose une approche holistique,c’est-à-dire à 360 degrés. Au travers de son expertise détailléeet approfondie dans le domaine de la sécurité et de lacondentialité, IBM peut aider votre entreprise à dénir etmettre en œuvre une approche de ce type.

Ouvertes et modulaires, les solutions IBM prennent en comptetous les aspects de la sécurité et de la condentialité desdonnées, en englobant les données structurées, semi-structuréeset non structurées, quelle que soit leur localisation. Les solutionsIBM sont compatibles avec la plupart des systèmes d’exploitationet bases de données les plus performants, notamment IBM DB2,Oracle, Teradata, Netezza, Sybase, Microsoft ® SQL Server,IBM Informix, IBM IMS, IBM DB2 for z/OS, IBM VSAM, Microsoft Windows®, UNIX®, Linux® et IBM z/OS. InfoSphereest également compatible avec des applications ERP et CRMmajeures — Oracle E-Business Suite, PeopleSoft Enterprise, JD Edwards EnterpriseOne, Siebel et Amdocs CRM — ainsique la plupart des progiciels et applications spéciques.IBM propose des solutions de surveillance des accès pour leslogiciels de partage de chiers tels que Microsoft SharePointet IBM FileNet. IBM intègre également les systèmes basés sur leframework Hadoop, tels que Cloudera et InfoSphere BigInsights.

À propos des solutions IBM InfoSphereLe logiciel IBM InfoSphere constitue une plateforme intégréepermettant de dénir, d’intégrer, de protéger et de gérer desinformations abilisées et dignes de conance pour l’ensemblede vos systèmes. Cette plateforme apporte les briques deconstruction fondamentales pour générer des informationsdignes de conance, au travers de l’intégration des données, desentrepôts de données, de la gestion des données de référence etde la gouvernance de l’information, l’ensemble de ces fonctionssont intégrées autour d’un cœur de métadonnées et de modèlespartagés. La gamme de solutions est modulaire, ce qui vouspermet de lancer la démarche à partir de l’un ou l’autre desthèmes et de conjuguer les briques de construction du logicielIBM InfoSphere avec des composants proposés par d’autresfournisseurs, ou de déployer plutôt une combinaison de ces

briques pour accélérer la démarche et créer de la valeur. Laplateforme IBM InfoSphere constitue une fondation à l’échellede l’entreprise pour les projets utilisant intensivement del’information, en apportant les performances, l’évolutivité, laabilité, les capacités d’accélération nécessaires pour simplieles dés les plus difciles et produire plus rapidement desinformations dignes de conance pour votre organisation.

À propos des solutions IBM SecurityLa gamme de solutions de sécurité d’IBM apporte l’intelligencnécessaire en matière de sécurité pour protéger de manièreglobale les collaborateurs, les infrastructures, les données et lesapplications d’une entreprise. IBM propose des solutions degestion des identités et des accès, de sécurité des bases dedonnées, de développement d’applications, de gestion desrisques, de gestion de terminaux et de sécurité des réseaux, entrautres. IBM dispose de l’une des structures de recherche, dedéveloppement et prestation de services en matière de sécuritéparmi les plus importantes. Cette structure s’appuie sur neufcentres opérationnels de sécurité (SOC), neuf centres derecherche IBM, onze laboratoires de développement en matièrede sécurité des logiciels, ainsi que l’Institute for AdvancedSecurity, avec une implantation aux États-Unis, en Europe etdans la zone Asie-Pacique. IBM assure la surveillance de13 milliards d’événements de sécurité par jour, dans plus de130 pays, et détient plus de 3 000 brevets dans le domaine dela sécurité.

Pour plus d’informationsPour en savoir plus sur les solutions IBM Security, visitez le sitibm.com /security/fr

Pour en savoir plus sur les solutions IBM InfoSphere destinéesprotéger la sécurité et la condentialité des données, n’hésitezpas à contacter votre interlocuteur commercial IBM ou à visite

le site : ibm.com /guardium .Pour en savoir plus sur les nouvelles fonctionnalités de sécuritédu logiciel IBM DB2 for z/OS, téléchargez le Redbook àl’adresse :www.redbooks.ibm.com/Redbooks.nsf/ RedbookAbstracts/sg247959.html

Par ailleurs, les solutions de nancement proposées parIBM Global Financing contribuent à une gestion efcace de

votre trésorerie, protègent vos investissements IT vis-à-vis del’obsolescence et vous permettent d’obtenir des gains de coûttotal de possession (TCO) et de retour sur investissement (ROI).De plus, IBM propose son offre GARS (Global Asset RecoveryServices), destinée à répondre aux enjeux environnementaux grâce

à des solutions nouvelles et plus économes en énergie. Pour ensavoir plus sur IGF, visitez le site : ibm.com / nancing/fr .

http://www.ibm.com/security/fr


http://www.ibm.com/software/data/guardium/



http://www.redbooks.ibm.com/Redbooks.nsf/RedbookAbstracts/sg247959.html


http://www.ibm.com/financing/fr









Veuillez recycler

IBM France17 Avenue de l’Europe92275 Bois Colombes Cedex

IBM, le logo IBM, ibm.com, BigInsights, DB2, FileNet, Guardium,IMS, Informix, InfoSphere, Optim, RACF, System z, Tivoli, et z/OSsont des marques d’International Business Machines Corp., déposéesdans de nombreux pays du monde. Les autres noms de produits et deservices peuvent être des marques d’IBM ou d’autres sociétés. Une listactualisée des marques déposées IBM est accessible sur le web sous lamention « Copyright and trademark information » à l’adresseibm.com/legal/copytrade.shtml .

Linux est une marque déposée de Linus Torvalds aux États-Unis et/oudans d’autres pays.

Microsoft et Windows sont des marques de Microsoft Corporation auxÉtats-Unis et/ou dans d’autres pays.

Netezza est une marque ou une marque déposée de NetezzaCorporation, une entreprise IBM.UNIX est une marque déposée de The Open Group aux États-Unis etdans d’autres pays.

Le présent document est proposé dans sa version actuelle à sa dateinitiale de publication et peut être modié à tout moment par IBM. Toutes les offres ne sont pas disponibles dans tous les pays dans lesqueIBM opère.

LES INFORMATIONS CONTENUES DANS CE DOCUMENTSONT FOURNIES « EN L’ÉTAT », SANS AUCUNE GARANTIEEXPRESSE OU TACITE, NOTAMMENT SANS AUCUNEGARANTIE DE QUALITÉ MARCHANDE OU D’ADAPTATION À UN EMPLOI SPÉCIFIQUE, ET SANS AUCUNE GARANTIEOU CONDITION DE NON INFRACTION VIS-À-VIS DES LOIS.Les produits IBM bénécient d’une garantie conforme aux conditionsgénérales des contrats dans le cadre desquels ils sont mis à la dispositiodes clients.

IMW14568-FRFR-05

http://www.ibm.com/legal/us/en/copytrade.shtml

http://www.ibm.com/legal/us/en/copytrade.shtml

Sécurité BigData

Documents

Transcript of Sécurité BigData