Présentation de la démarche : ITrust et IKare by ITrust

Transcription

1 Présentation de la démarche : ITrust et IKare by ITrust 1.1. ITrust La société ITrust est composée d Ingénieurs CISSP et LeadAuditor ITrust édite depuis 2007 un catalogue de services autour : - d audits de vulnérabilités, - de tests de pénétration en mode intrusif, - d enquêtes forensiques après incident, - de sécurisation informatique Confidentiel Défense, - de la sécurisation des entreprises étendues (cloud), - de la certification ARJEL (Autorité de Régulation des Jeux en Ligne) - de la cryptographie, PKI, IAM, - des normes et certifications Bâle III, ITIL, EBios, 27001, - de la prévention, la sensibilisation et la formation à la sécurité des SI. ITrust est également membre fondateur de la FPTI (Fédération des professionnels des tests d intrusion) et membre actif de réseaux professionnels autour de la sécurité informatique (Clusif, GS Days, Resyst, Cloud Security Alliance, ) Constats actuels Quelques faits concernant la sécurité aujourd hui : - 6 entreprises françaises sur 10 ont subi au moins un incident de sécurité en (50% d augmentation), dont 5 ayant subi des pertes financières directes (PWC 2011), - Le coût moyen d'un incident de sécurité est de (Clusif 2010), - Dans 20% des cas, les entreprises mettent plus d une semaine pour revenir à une situation de fonctionnement normal (Clusif 2010), - En 2010, 80% des entreprises françaises (de plus de 200 personnes) estiment avoir une dépendance forte vis à vis de leur système d information, et 3/4 considèrent qu'une indisponibilité de 24h et moins de leur Système d'information serait lourde de conséquences. Des besoins qui évoluent : - Le fonctionnement en entreprise étendue et/ou en mode cloud, - Le nomadisme, l apparition du BYOD 1, - Le décloisonnement vie privée/vie professionnelle et le phénomène réseaux sociaux, - Advanced Persistent threats (APT) ou Menaces Persistantes Avancées. 1 BYOD = Bring Your Own Device. Cela concerne l apparition des IPhone, IPad, appareils Android et autres dispositifs personnels dont font grand usage les salariés et qui s interconnectent maintenant avec les réseaux d entreprise amenant de nouvelles ouvertures et menaces de sécurité. SAS - Société par actions simplifiée - Capital de Euros - SIRET: /6

2 2. Bonnes raisons de choisir ITrust et IKare by ITrust 2.1. Vos données de sécurité restent confidentielles Contrairement aux éditeurs américains la solution européenne IKare de management des vulnérabilités n est pas soumise au Patriot Act. Rappelons en effet, que tout éditeur ou hébergeur US qui héberge des données de ses clients à l obligation de fournir libre accès au gouvernement des États-Unis à toutes les données que les services US jugeraient utiles pour la sécurité de leur territoire. Cette règlementation initiée par le Patriot Act suite au 11 septembre 2001 s applique à toute société immatriculée aux États-Unis. De ce fait, un éditeur américain, bien qu il dispose d un centre informatique ou d une filiale en Europe, ne peut pas garantir que les données des entreprises européennes resteront confidentielles. La législation résultant de la mise en œuvre de l'usa Patriot Act (Uniting and Strengthening America by Providing Appropriate Tools Required to intercept and Obstruct Terrorism act), datée du 26 octobre 2001, prolongée jusqu'en juin 2015, impose aux entreprises de droit américain, ainsi qu'à leurs filiales dans le monde, et aux serveurs hébergés sur le territoire des Etats-Unis quelle que soit la nationalité des entreprises qui les exploitent, ainsi qu'aux données hébergées en Europe par des sociétés de droit américain, des obligations permettant aux services de sécurité américains d'accéder à des données à caractère personnel. Sont donc concernées l'ensemble des données relatives à une personne physique stockées dans des fichiers informatiques hébergées dans le Cloud. De plus, les entreprises américaines ont l obligation de répondre aux injonctions du FBI ou de la CIA, sans passer par un juge. Un scanner de vulnérabilité (d un éditeur américain) en mode cloud héberge donc les résultats et vos failles de sécurité sur un data center soumis à cette règlementation même si le data center est situé en France ou en Europe. Une bonne raison de choisir un outil européen, seul capable de vous garantir une complète confidentialité, afin de mieux dormir sur ses deux oreilles. IKare est proposé en SaaS interne ou externe à nos clients. Les données de sécurité traitées sont hébergées par le client lui même et n en sortent pas OU sont hébergées en SaaS externe dans nos data centers sécurisés situés en France et non soumis à la règlementation américaine. Dans les deux cas, vos données sont confidentielles et le restent SAS - Société par actions simplifiée - Capital de Euros - SIRET: /6

3 2.2. Les vulnérabilités de votre SI restent dans votre SI La solution IKare est délivrée en priorité en SaaS 2 interne (i.e. privé, portée par les infrastructures du client). Une mise à jour quotidienne des bases de vulnérabilités (ainsi que du moteur) s opère à travers un tunnel ssh depuis la sonde protégée par vos défenses périmétriques. Ainsi, à aucun moment vos informations de sécurité ne sortent de votre SI. Vos vulnérabilités ne restent ainsi connues que par vous. Dans l optique d une réversibilité, vos données sont déjà dans votre SI et continuent à être utilisables indépendamment d ITrust. Lorsque l option d un mode SaaS interne n est pas envisageable, nous proposons à nos clients un hébergement très haute sécurité (type HDS). 2 SaaS = (Security) Software As A Service. IKare est délivré comme un service en mode OPEX (contrairement à des nivestissements en Capex) SAS - Société par actions simplifiée - Capital de Euros - SIRET: /6

4 2.3. IKare s adapte à votre SI Dans le cadre de l offre Enterprise, vous bénéficiez des services professionnels d ITrust. En particulier, nous vous proposons d adapter IKare au SI de votre Entreprise en fournissant des connecteurs déjà sur étagère (options) ou en proposant des connecteurs ad-hoc qui seront développés par notre équipe de R&D. L architecture d IKare permet de connecter tout type de systèmes modernes à travers l API XML-RPC du produit. Exemples de connecteurs: Centreon, DHCP, Système de gestion de tickets, Systèmes de gestion des logs, Tableaux de bord, outils de gestion des évènements type SIEM open source ou du marché (Splunk, QRadar, ArcSight, envision, Prelude, ). Par son architecture, IKare peut être couplé à la plupart des démarches SIEM du marché (open source et propriétaires). La roadmap d IKare nous amène vers une solution intégrée de type SIEM 3 pour la fin de l année SIEM = Security Information and Event Management Système qui permet de corréler les évènements se sécurité de diverses nature. SAS - Société par actions simplifiée - Capital de Euros - SIRET: /6

5 3. Bénéfices IKare 3.1. Bénéfice 1 (règle des 90%) : faire chuter votre exposition aux risques informatiques. IKare vous permet de bénéficier d un outil de surveillance sécurité très évolué propre à mener des actions correctives efficaces et instantanées sur votre informatique. Grâce entre autres à son moteur OpenVAS, IKare réduit jusqu à 90% le taux de vulnérabilité informatique de l entreprise (90% est aussi le taux de réussite des audits intrusifs réalisés par les Experts de ITrust chez ses clients). En effet, IKare détecte : 3 fois plus de vulnérabilités qu un concurrent référent (étude XMCO). 2 fois plus de ports ouverts corrects que ce concurrent (idem). 2 fois moins de faux positifs (idem). 2 fois plus de vulnérabilités sur plate-forme Windows (idem). 4 fois plus de vulnérabilités sur serveur Apache (idem) Bénéfice 2 : vous mettre en complète conformité réglementaire. L Ordonnance du 26 aout 2011 (Loi Escoffier) stipule «en cas de faille et de violation de données à caractère personnel, le fournisseur de services devra notifier l existence de cette faille à la CNIL et potentiellement aux personnes intéressées», ce qu elle peut éviter si elle détecte par avance les failles avec une solution de scan de vulnérabilité Bénéfice 3 : rassurer vos clients et augmenter vos marges commerciales. Le label ITrust Security Metrics montre à vos clients votre conformité parfaite avec la loi (package télécom UE), ce qui les rassure sur la qualité de votre système d information. Ce label génère aussi de la marge supplémentaire, car il rassure vos clients et car il constitue un fort différenciateur sur le marché très concurrentiel du cloud computing Bénéfice 4 : dégager votre responsabilité en cas de compromission des données. En cas de compromission des données de vos clients, IKare dégage votre responsabilité du fait de votre parfaire conformité avec la réglementation et de votre mise en place d une des solutions de détection des vulnérabilités les plus performantes du marché Bénéfice 5 : Variabiliser et faire chuter vos coûts opérationnels. - Variabilisation («opexisation») des coûts fixes de la sécurité informatique, - Absence de perturbation de la production lors du scan sécurité, - Meilleure utilisation des infrastructures de sécurité informatique, - Baisse des primes d'assurance de la production et des opérations Bénéfice 6 : gagner beaucoup de temps en déploiement et en exploitation. - Gain de temps sur l'installation et la mise à jour de la solution - Gain de temps sur les déploiements à grande échelle et multi-sites - Gain de temps en cas d'évolution de la base informatique physique - Gain de temps en cas d'évolution des applications informatiques - Gain de temps lors des ajouts d'adresses IP. SAS - Société par actions simplifiée - Capital de Euros - SIRET: /6

6 3.7. Bénéfice 7 : Conforme aux dernières exigences de cyber-défense Les dernières recommandations en terme de cyber-sécurité du rapport Bockel sont les suivantes: - Recommandation n 12 : Rendre obligatoire pour chaque ministère la tenue d'une cartographie à jour de son propre réseau et de son système d'information. Dans l'attente de l'édification du Réseau Interministériel de l'etat (RIE), réduire le nombre de passerelles entre les réseaux des ministères et l'internet et développer les systèmes de surveillance de ces passerelles permettant de détecter les attaques, - Recommandation n 19 : Engager une réflexion avec les compagnies d'assurance sur la prise en charge des opérations de traitement d'une cyberattaque moyennant un certain niveau de sécurité initial et la réalisation d'un audit annuel, - Recommandation n 22 : Encourager et développer le rôle des sociétés privées de conseil et d'assistance en matière de sécurité informatique, par un système d'agrément ou de label, des modifications législatives et des mesures incitatives, - Recommandation n 23 : Améliorer et renforcer le soutien à l'export des entreprises françaises proposant des produits de sécurité informatique Bénéfice 8 : One stop shopping en sécurité L organisation des services d ITrust nous permet de vous proposer une offre intégrée de services depuis l accompagnement amont pour sécuriser votre Entreprise jusqu au monitoring de sécurité temps réel assuré avec IKare ou monitoré par nos équipes. Cœur de métier historique de l entreprise ITrust, nos Consultants sécurité testent la résistance, en externe ou en interne, et vous accompagnent afin de sécuriser durablement votre réseau informatique. ITrust édite et commercialise IKare, le seul scanner de vulnérabilité entièrement développé en France. IKare est une solution de gestion des vulnérabilités qui intègre le contrôle des bonnes pratiques de sécurité. ITrust gère les processus de sécurité des entreprises qui souhaitent externaliser la gestion de leur sécurité informatique. Notre Centre de Contrôle intègre un reporting avancé sur les opérations de sécurité. SAS - Société par actions simplifiée - Capital de Euros - SIRET: /6