SED SELF ENCRYPTING DRIVE Disques durs chiffrant : la solution contre les pertes de données

Transcription

1 SED SELF ENCRYPTING DRIVE Disques durs chiffrant : la solution contre les pertes de données Belkacem OULDLAZAZI Regional Sales Manager Southern EMEA Middle East & North Africa Wave Systems Corp. La Grande Arche-Paroi Nord Paris La Défense France Tel : GSM : UAE : (dubai-abu Dhabi) Fax : bouldlazazi@wave.com 4 au 6 juin 2013 à l'hôtel Mariott, le Renaissance - Tlemcen

2 Les solutions entreprises pour la sécurité des postes clients Gestion destpm Chiffrement des médias externes Poste Client Gestion des SED Vérification d Intégrité Controle des Ports DLP BitLocker Logiciel client Wave Enterprise EMBASSY Remote Administration Server (ERAS) 2

3 LE SED - SELF ENCRYPTING DRIVE Disques durs chiffrant : la solution contre les pertes de données L usage de disques durs dits «chiffrants» (SEDs, pour self-encrypting drives) permet de garantir le chiffrement intégral des données d un système de manière entièrement transparente pour l utilisateur et quasiment sans douleur pour l administrateur. Un disque dur chiffrant intègre un contrôleur matériel capable de chiffrer et déchiffrer à la volée, de manière transparente, l intégralité des données système et de l utilisateur. Il peut être géré localement, par l utilisateur lui-même, ou de manière centralisée à l aide d une solution d administration logicielle qui prendra en charge l initialisation, la gestion des clés et le recouvrement. Ces solutions ont largement progressé au cours des trois dernières années et elles permettent aujourd hui une véritable intégration au système d exploitation (sous Windows en particulier), notamment en synchronisant le mot de passe d ouverture de session avec celui d accès au disque, et en offrant des solutions d administration centralisées. 3

4 LE SED - SELF ENCRYPTING DRIVE Disques durs chiffrant : la solution contre les pertes de données il existe désormais une spécification commune pour les disques chiffrants : le Trusted Computing Group a publié la spécification Opal SSC, qui propose d harmoniser le Storage Device controller des disques, afin d unifier notamment l administration de ces supports. Des disques compatibles Opal commencent à être disponibles, notamment chez Hitachi, Samsung, Seagate et Toshiba Wave Systems Corp. Confidential. All Rights Reserved.

5 Ponemon Study a fait une étude démontrant que l on fait 75% En terme de TCO si l on utilise un chiffrement hardware SED sont les disques durs (HDD) ou Solid State Drive (SSD) qui cryptent les données stockées au niveau du matériel, construit directement dans le hardware, sans l'aide d'un logiciel.le chiffrement est toujours «on» les clés de chiffrement ne quittent jamais le lecteur et l'authentification est effectuée indépendamment du système d'exploitation. Beaucoup de lecteurs d'aujourd'hui suivent les normes du Trusted Computing Group (TCG) lors de la fabrication du SED conçue pour Opal. Opal est une norme TCG développé pour la construction et la gestion de SED. Opal est un ensemble de critères communs que les fabricants de disques SED suivre pour assurer la compatibilité Wave Systems Corp. Confidential. All Rights Reserved.

6 Protégez vous et vos données sur vos postes clients Pourquoi devez vous protéger vos données? Données = $ (Brevets, offres commerciales, contacts, stratégie ) Nouvelles Lois de Régulation Européenne (Projet de Loi, Janvier 2012): 24h pour déclarer toute fuite de données à la CNIL, sauf si vos données sont protégées et que vous pouvez le prouver Condamnations possibles: Déclaration publique de perte Amende (jusqu à 1 million ou 2% du CA annuel!) Peine de prison Solution SED/Wave: Le chiffrement matériel basé sur la techno SED (Self-Encrypting Drive) et le logiciel d admin centralisé de Wave Portable Disque interne Self- Encrypting Drive Login/Mot de Passe ou Carte à puce Console d admin Wave (ERAS)

7 ETUDE DE CAS : BP & chiffrement hardware (SED) 2010: BP utilise la solution de chiffrement logiciel pour protéger ses données 2011: 27 Mars: BP reporte la perte d un portable contenant les informations personnelles (nom, coordonnées cartes bancaires..) de plaignants de la marée noire du Golf du Mexique BP décide de changer la sécurité de ses données sur ses postes mobiles BP lance une étude comparative pour une solution de gestion des SED 2012: BP décide d équiper tous ses portables de disques SED ( postes) BP passe commande de licences Wave pour la gestion des SED BP passe commande de licences Wave pour le chiffrement des clefs USB BP débute les déploiement de la solution Wave ERAS et Wave Protector avec l aide d HP et Wave PS (Installation des serveurs, Tests de Disaster Recovery, formations..) Suite à son analyse, BP a estimé que la technologie SED leur coûte 10 fois moins qu une solution de chiffrement logiciel 7

8 Comparatif..Chiffrement logiciel classique et SED = Disque de stockage "classique" 80, 120,160, 320, 500 GB 5400 ou 7200 RPM 1.8 ou 2.5 SATA Format Mécanique ou SSD Disque SED Chiffrement Toujours Actif Chiffrement haute performance Sécurité Matérielle + Effacement instantané sécurisé Solutions largement adoptée : Technologie SED Seagate, Samsung, Micron, Hitachi, LiteOn Dell, HP, Lenovo, Fujitsu Chiffrement matériel AES 128 ou 256 bit Contrôle intégré des accès Protection de toutes les partitions (même en multi boot) Basée sur les spécifications internationales du TCG (Opal) 8

9 Activer la protection des données Une Authentification utilisateur est nécessaire Situation du SED par défaut Toutes les données sont chiffrées Pas d authentification utilisateur Le disque démarre et fonctionne normalement Toutes les données sont accessible, même en disque externe Activation avec la console Wave ERAS Situation après l activation de la sécurité Toutes les données sont chiffrées Une authentification utilisateur est nécessaire pour démarrer le disque Sans authentification réussie, aucune donnée n est accessible, même en disque externe Après authentification au disque, toutes les données sont accessibles normalement 9

10 Les avantages de la solution Wave SED/ERAS Même technologie sur disque mécaniques et SSD Aucun impact sur les performances du disque Aucune ressource CPU ni RAM utilisée Accès impossible à la clé de chiffrement Effacement des données sécurisé et instantané Synchronisation entre mot de passe preboot et Windows Single Sign-On (mot de passe à taper une seule fois) Authentification Preboot multi-utilisateurs (jusqu à 256 par disque) Mot de passe de secours toujours accessible : Statique et/ou One-Time Password OTP de secours avec SSO sur la session Windows utilisateur même en cas d oubli du mot de passe Windows Authentification preboot par login/mot de passe ou Carte à Puce/code PIN Texte preboot personalisable par GPO Support de tous les types de clavier au preboot (US, UK, FR, GE, IT, ES..) Chiffrement indépendant de l OS (protège tous les OS d un même disque) Déchiffrement ou Formatage local impossible (même pour un admin local) Stockage et Sécurisation de l historique de chaque disque (Conformité) Gestion des disques SED externes (USB ou esata) Support de postes hors Domaine (WorkGroup, non trusted Domain..) Console unique pour la Gestion des SED, TPM & BitLocker 10

11 SED/ERAS ROI Coûts d Acquisition Chiffrement logiciel Disque SED & soft Wave License Maintenance Matériel (disque SED) 0 Coûts de Déploiement Préparation du disque Temps de Chiffrement initial 0 Coûts d Utilisation Impact sur les performances 0 Maintenance supplémentaires Temps de redéploiement du chiffrement pour l IT 0 Perte de Productivité de l utilisateur (temps de chiffrement) 0 Effacement complet disque 0 Support HelpDesk (Mots de passe Windows oubliés) <0 Grâce aux économie de coûts de déploiement et d utilisation, BP a calculé faire une économie de $6,9M/an par rapport à ne mettre aucun chiffrement et de $16,2M/an par rapport à un chiffrement logiciel 11

12 En savoir plus? Présentation technique détaillée Démonstration complète auprès de vos équipes (IT, Sécurité, Support..) Retours d expériences BP Autres «Grands Clients Wave» Estimation personnalisée de votre TCO Produits de sécurité Wave complémentaires (chiffrement des clefs USB, Certificats TPM..) Evaluation Disque SED de prêt Version d évaluation de la console ERAS (Wave) Support technique Offre commerciale «En conclusion, nous estimons que le disque chiffrant SED est, pour la protection des ordinateurs portables contre les menaces de vol, une solution préférable aux solutions logicielles.» François Morris, RSSI du siège du CNRS, Président du groupe de travail sur la protection des données sensibles «Recommandation : Pour les nouveaux portables sous Windows et Linux : recours systématique aux disques chiffrants SED.» Jean-Marc Voltini, DSI CNRS 12

13 Déployer et gérer BitLocker Solution Microsoft (peu de flexibilité) Présent sur Win7 Enterprise & Ultimate (pas Pro) et Win8 Utilise la puce TPM et/ou une clef USB au démarrage Solution Mono-utilisateur par poste Large déploiement par script ou MBAM Procédure de recouvrement complexe Stockage des mots de passe de secours en clair dans l AD Possible modification du schéma de l AD Désactivation de BitLocker toujours possible par un admin local Support du clavier US seulement au démarrage/secours Pas de logs par défaut (problème de conformité)

14 Les avantages de la solution Wave ERAS pour BitLocker Vraie interface d administration et lignes de commande Activation/Désactivation de BitLocker à distance Choix du mode d authentification (TPM, TPM+PIN, Startup key..) Stockage sécurisé des mots de passe de secours dans une base de données chiffrées Pas de changement du schéma de l AD Aucune écriture dans l AD Stockage et Sécurisation de l historique de chaque disque (Conformité) Visualisation du % de chiffrement Reinitialisation des mots de passe de secours Réinitialisation des codes PIN Console HelpDesk intégrée Prise de contrôle et gestion des puces TPM Bibliothèque API pour intégration aisée par des interfaces tierces Console unique pour la Gestion des SED, TPM & BitLocker Supporte Win7, Win8, 32 et 64-bit 14

15 Comment sécuriser les tablettes Pro Hier: Ipad, tablette Androïd Environnement non Microsoft Nécessite des outils de MDM (Master Data Management) très couteux afin de permettre l accès aux ressources de l entreprise Gestion très complexe pour l organisation informatique Sécurisation quasi-impossible Aujourd hui: Nouvelles tablettes Dell, Lenovo, HP, Fujitsu.. sous Windows 8 Environnement Microsoft Compatible avec les infrastructures existantes pour PC/portables Accès au Domaine de l entreprise Compatible avec les logiciels utilisateurs classiques Intègre une puce TPM Peut intégrer un disque SED (option) Compatible BitLocker Wave Systems étend toutes ses solutions de sécurité aux tablettes Windows 8 et permet une sécurité parfaite et une gestion simple

16 QUESTIONS & REPONSES M e r c i Belkacem OULDLAZAZI Regional Sales Manager Southern EMEA Middle East & North Africa Wave Systems Corp. La Grande Arche-Paroi Nord Paris La Défense France Tel : GSM : UAE : (dubai-abu Dhabi) Fax : bouldlazazi@wave.com 16