CA Technologies annonce de nouvelles solutions de sécurité pour la protection des API, des applications mobiles et des services Cloud

Transcription

1 DOSSIER SOLUTION Nouvelles solutions de sécurité de CA Technologies CA Technologies annonce de nouvelles solutions de sécurité pour la protection des API, des applications mobiles et des services Cloud

2 AT&T 2 Dossier solution : Nouvelles solutions de sécurité de CA Technologies Section 1 : Défis L augmentation spectaculaire de l utilisation des appareils mobiles, tant par les employés que par les clients, pousse la plupart des organisations IT à revoir leur stratégie. La banalisation du BYOD (utilisation d appareils personnels dans le cadre professionnel) peut s avérer bénéfique à la productivité des employés comme à la satisfaction des clients, à condition qu une approche globale de la sécurité mobile soit adoptée. Cela n est toutefois pas simple. Seul le déploiement d une stratégie de sécurité de bout en bout, depuis l appareil jusqu au data center, peut correctement répondre aux besoins des utilisateurs mobiles. C est pour relever ce défi que CA Technologies a annoncé, en février 2014, d importantes extensions à sa suite de sécurité mobile. Ces dernières permettront aux organisations de mettre en œuvre une véritable solution de sécurité mobile de bout en bout. Ce document présente un récapitulatif de ces fonctionnalités. 1 milliard de consommateurs seront équipés d un smartphone ou d une tablette d ici à 2016 Les défis de la sécurité mobile Étant donné que de plus en plus d employés ont besoin d accéder à leurs données professionnelles à partir de leur appareil mobile et que les clients entendent pouvoir bénéficier d un accès mobile aux informations et aux services, la mise en place d une stratégie de sécurité mobile complète s impose. Les applications mobiles ont besoin d être déployées plus rapidement, les données sur les appareils doivent être protégées et l accès mobile aux applications de l entreprise doit être contrôlé. Ce sont là seulement quelques-uns des principaux défis technologiques qu une stratégie de sécurité mobile doit prendre en compte. Certains défis métier cruciaux se trouvent toutefois souvent au centre de la stratégie de mobilité d une entreprise. Déploiement sécurisé des applications mobiles : les organisations multiplient les initiatives en matière de services mobiles dans le but d améliorer l accès des employés aux données de l entreprise ou de stimuler l activité en proposant des applications mobiles aux clients. Ces initiatives peuvent impliquer d étendre l accès aux applications Web aux utilisateurs mobiles, de développer des applications mobiles natives ou de déployer des applications standard, spécialement conçues pour les utilisateurs mobiles. Néanmoins, dans tous les cas, les enjeux restent les mêmes. Quelle que soit la stratégie retenue, les organisations doivent s efforcer de relever les défis suivants : Accélérer la livraison des nouvelles applications mobiles Contrôler les données auxquelles l utilisateur accède à partir des applications mobiles Assurer la sécurité des applications elles-mêmes Plus précisément, ouvrir l accès aux données de l entreprise implique la résolution de nombreux obstacles techniques, tels que les suivants : Comment se protéger des accès non autorisés aux API (et données)? Comment intégrer les applications SOAP existantes aux environnements mobiles de type REST? Comment faciliter l accès des développeurs aux ressources API, afin qu ils puissent découvrir, tester et exploiter des API pour la conception de nouvelles applications? Expérience utilisateur sécurisée et conviviale : une organisation IT ne pouvant quasiment exercer aucun contrôle sur l appareil d un utilisateur, les inquiétudes concernant la sécurité des transactions de cet utilisateur (qu il soit employé, partenaire ou client) grandissent. Plus précisément, comme elle ne peut pas contrôler les logiciels qui sont exécutés sur l appareil, l authentification de l utilisateur devient un point d une importance cruciale. Dans le même temps, l entreprise souhaite que les utilisateurs aient une expérience homogène et agréable lorsqu ils effectuent des tâches professionnelles à l aide de leur appareil personnel. Rien de tel que des processus d authentification compliqués et incohérents d un appareil à l autre, pour faire définitivement fuir les clients. Ainsi, une fonction d authentification qui satisfait les besoins de l entreprise en offrant une authentification solide basée sur les risques et qui ne dissuade pas vos clients de travailler avec vous, est une évidente nécessité.

3 3 Dossier solution : Nouvelles solutions de sécurité de CA Technologies Section 2 : Solution Les défis présentés ci-dessus concernent toutes les organisations qui tentent de mettre en œuvre une stratégie de mobilité globale tant pour les employés que pour les clients. Avec l essor du BYOD, les employés ont besoin de partager les informations de l entreprise de manière sécurisée quel que soit l appareil, et les organisations ont besoin de satisfaire leurs clients mobiles et d assurer l homogénéité de leurs services. Avec ses solutions récentes, CA Technologies répond à ces exigences en offrant une solution de sécurité mobile complète, de bout en bout, qui protège les applications et les données, depuis l appareil jusqu au data center. De la sécurité des appareils à celle des applications mobiles en passant par la sécurité des contenus, la solution de sécurité mobile de CA Technologies permet de répondre aux défis que la mobilité pose à toutes les organisations. L illustration 1 présente les composantes générales de la solution de sécurité mobile de CA Technologies. Les trois colonnes du milieu ci-dessous comportent les nouvelles fonctionnalités récemment annoncées. Illustration 1. La solution de sécurité mobile de CA Technologies Dans le cadre de cet important lancement de produits, différentes fonctionnalités critiques ont été ajoutées à la solution de sécurité mobile de CA Technologies. Ces composantes, et les fonctionnalités qu elles procurent aux entreprises, sont les suivantes : Sécurité et gestion des API De nombreuses organisations sont arrivées à la conclusion que le moyen le plus efficace de développer de nouveaux canaux commerciaux et de permettre la création de solutions partenaires complémentaires, était de rendre leurs API accessibles aux développeurs internes et externes. Cette réalité s applique particulièrement bien à leurs défis en matière de mobilité, qui vont de la mise en œuvre d une solution BYOD à l utilisation d ipad sur le terrain. Pour ce faire, les organisations doivent exposer des données internes à l entreprise de manière sécurisée et dans des formats adaptés aux appareils mobiles, qui puissent être rapidement utilisés par les développeurs mobiles et les applications qu ils créent.

4 4 Dossier solution : Nouvelles solutions de sécurité de CA Technologies La sécurisation de l accès mobile aux API de l entreprise est souvent difficile à réaliser, du fait de l utilisation de protocoles différents dans les environnements Web et mobiles. Les environnements d application existants, tels que SOAP, ont rarement été conçus dans un format moderne et adapté à la mobilité. Ainsi, la possibilité d adapter ces protocoles et modèles à l environnement mobile peut grandement faciliter le processus de développement et de déploiement des applications mobiles. En outre, avec l augmentation de l utilisation d API d entreprise, le trafic peut vite être saturé et réduire l efficacité globale des applications qui dépendent de ces API. En particulier, le volume élevé d accès aux applications mobiles et aux systèmes back-end peut engendrer des problèmes de performance et de disponibilité des services. Le trafic doit être géré de manière efficace pour assurer le bon fonctionnement des applications conçues à partir d API et éviter l altération des performances des systèmes back-end. Enfin, le contrôle des API doit être rigoureusement surveillé, afin d éviter qu une application mobile ne soit autorisée à accéder à des données dont l accès ou l utilisation est interdit. La passerelle CA Layer 7 Mobile Access Gateway (MAG) est une composante essentielle qui simplifie le processus d adaptation des données, des applications et de l infrastructure de sécurité internes pour l utilisation mobile, et permet aux applications mobiles d utiliser les API de manière efficace et en toute sécurité. La passerelle procure un moyen centralisé de contrôler la sécurité et les règles de gestion des informations exposées aux développeurs et aux applications mobiles via des API. Les règles d accès aux API contrôlent l accès depuis l application mobile vers chaque API en fonction de l utilisateur, de l application et de l appareil. Elles offrent ainsi à l entreprise des fonctionnalités de contrôle d accès très précises. Pour simplifier le développement des applications, elle permet également aux organisations d exploiter leurs investissements en applications existants, en adaptant leurs services sous la forme d API REST mobiles et modernes. Pour assurer des performances d exécution optimales, elle recompose également les petits appels back-end et les regroupe en requêtes mobiles efficaces, de manière à réduire les coûts de bande passante et à améliorer l expérience utilisateur. CA MAG 2.1 supporte en outre la connexion via les réseaux sociaux et intègre des fonctionnalités de géolocalisation permettant d élargir la gamme de services des applications mobiles. La passerelle prend également en charge les schémas d authentification CA SiteMinder dans le kit de développement d applications mobiles. Développement d applications Pour créer des applications de qualité, l éditeur d API doit être en mesure d attirer les développeurs de talent et de leur proposer les outils qui leur permettront de tirer le meilleur parti des API de l entreprise. Le portail d API CA Layer 7 procure aux développeurs un accès facile aux API, ainsi qu à la documentation interactive, aux échantillons de code, aux outils de test et aux forums de discussion. Il fournit au développeur toutes les ressources de conception nécessaires pour rapidement découvrir et comprendre une API, puis créer une application et contrôler son utilisation. De manière tout à fait inédite, le portail d API permet aux entreprises de supporter simultanément des développeurs partenaires, tiers et internes, au sein de différentes business units, en octroyant à chaque unité de travail son propre ensemble de droits pour l accès aux API et leur publication, tout ceci à partir d un portail unique. La version 2.6 du portail d API CA Layer 7 comporte de nouvelles fonctionnalités pour simplifier et accélérer le processus de création d applications, et rationaliser le processus d intégration de développeurs. Gestion et sécurité des applications Il n est pas simple de sécuriser les transactions des utilisateurs mobiles, car différents cas de figure doivent être pris en compte, notamment les suivants : Applications mobiles disponibles dans le commerce Applications mobiles natives développées sur site Accès mobile aux applications de l entreprise via un navigateur

5 5 Dossier solution : Nouvelles solutions de sécurité de CA Technologies Chacun de ces cas de figure présente des difficultés qui lui sont propres, mais le problème central est le même : garantir que l utilisateur de l application est correctement authentifié, qu il est autorisé à accéder aux données et que la sécurité et la confidentialité des données sont respectées. Examinons séparément chaque cas de figure et voyons les solutions proposées par CA Technologies. Applications standard disponibles dans le commerce : des solutions de gestion des appareils mobiles (MDM) ont émergé pour faire face aux défis liés à la sécurité des appareils mobiles. Toutefois, en matière de gestion de la mobilité d entreprise, une approche centrée sur les appareils ne suffit pas à véritablement traiter tous les problèmes soulevés par les grands déploiements mobiles. Les employés doivent pouvoir accéder, sur leur appareil personnel, aux applications de l entreprise, ainsi qu à leurs propres applications et contenus. Les organisations IT ont besoin d une solution de gestion des applications mobiles efficace, qui leur permette de gérer et de contrôler les applications et les données de l entreprise sur les appareils personnels des employés, sans pour autant imposer un contrôle total de l appareil. CA Technologies a récemment lancé CA Mobile Application Management (CA MAM), une solution mobile complète qui permet de sécuriser, de gérer et de contrôler les applications mobiles à l aide de règles de contrôle d accès très précises. Les fonctionnalités de sécurité, de contrôle et de gestion sont déplacées de l appareil vers la couche Application, afin de permettre au personnel IT de définir des règles d accès aux applications mobiles très précises et de contrôler la distribution des applications aux utilisateurs mobiles. Étant donné que ces fonctionnalités permettent d octroyer aux employés et clients un accès aux applications et données de l entreprise sur la base de rôles, il n est pas nécessaire d exercer un contrôle total sur les appareils personnels. CA MAM permet également une gestion des applications basée sur les rôles, la prise en compte de paramètres géographiques, temporels et réseau, l authentification unique et l authentification des applications ; elle donne en outre la possibilité de contrôler les fonctions des périphériques accessibles aux applications mobiles, tels que caméra, contacts ou services de localisation GPS. CA MAM peut être utilisé pour sécuriser les applications internes ou tierces, sans aucune modification de code. CA MAM utilise la technologie CA Smart Containerization pour contrôler les règles d accès aux applications mobiles de manière dynamique et extrêmement précise, tout en conservant l expérience d application native propre à l appareil ou à la plate-forme. La technologie Smart Containerization permet de contrôler de manière dynamique et extrêmement précise les caractéristiques de sécurité, de performance, de conformité et de support d un appareil mobile, d une application, de données, de courriels ou de tout autre objet avec lequel le contenant peut être associé, tout en préservant l expérience utilisateur native. Applications mobiles natives : celles-ci soulèvent des défis particuliers dans la mesure où leur accès aux données de l entreprise peut comporter des implications majeures en termes de sécurité. Comme nous l avons déjà mentionné plus haut, la passerelle CA Layer 7 Mobile Access Gateway (MAG) permet aux développeurs d applications mobiles natives d accéder aux données de l entreprise en toute sécurité, par le biais des API que l entreprise souhaite exposer à ces applications. Accès mobile via un navigateur : le contrôle de ce type d accès à partir d appareils mobiles est essentiel pour protéger les applications de l entreprise contre les utilisations abusives et les attaques. La centralisation des règles de sécurité applicables aux utilisateurs Web et mobiles permet de garantir la cohérence au niveau de l interface utilisateur et de faciliter l administration, avec un seul mécanisme pour l ensemble des canaux. CA SiteMinder offre une sécurité centralisée, basée sur des règles (authentification, autorisation et audit) pour les utilisateurs mobiles qui accèdent aux applications Web de l entreprise. Des règles de sécurité cohérentes peuvent être créées pour le Web et les plates-formes mobiles, afin de définir quels utilisateurs peuvent accéder aux applications Web critiques et les conditions dans lesquelles l accès peut être autorisé. La centralisation des règles,

6 6 Dossier solution : Nouvelles solutions de sécurité de CA Technologies pour les utilisateurs Web et les utilisateurs mobiles, améliore la sécurité, simplifie grandement la gestion de la sécurité et permet d en réduire le coût. CA SiteMinder intègre une fonction de protection des sessions avec DeviceDNA (une technologie en cours d homologation qui permet de prévenir les détournements de session), ainsi qu une fonction permettant d améliorer la connexion via les réseaux sociaux. Authentification forte basée sur les risques : la solution de sécurité mobile de CA Technologies renforce la sécurité, tout en offrant à l utilisateur une expérience agréable, grâce à une authentification à deux facteurs, basée sur les risques. L authentification à deux facteurs basée sur un logiciel permet d éliminer les efforts et les coûts liés à l administration d un grand nombre de jetons matériels, et une protection brevetée des informations d identification de l utilisateur réduit considérablement le risque de perte ou de réutilisation des informations d identification. En outre, les utilisateurs mobiles étant susceptibles d effectuer des transactions dans des contextes variés (emplacement, type d appareil, etc.), la capacité à pouvoir évaluer le risque d une authentification donnée est essentielle. Le processus d authentification avancé de CA Technologies peut calculer un niveau de risque en fonction de paramètres contextuels tels que l emplacement géographique, l heure, la date, le type de périphérique et l historique de l utilisateur. Si le risque de l opération dépasse un seuil défini, il est possible d appliquer des méthodes d authentification renforcées, ou même de rejeter la tentative. Il est également possible d autoriser l accès à l utilisateur, mais d une manière très restreinte (en lui permettant, par exemple, d accéder uniquement aux ressources à faible risque, plutôt que de lui octroyer l accès habituel auquel il peut prétendre lorsqu il est au bureau ou sur le réseau de l entreprise). Les entreprises peuvent ainsi jouir d un niveau de sécurité très fort, sans que l expérience des utilisateurs n en pâtisse. Section 3 : Avantages Les avantages de ces fonctionnalités améliorées sont considérables pour les organisations de toute taille, surtout en termes de sécurité des services mobiles et d accélération de la livraison des applications. Les principaux bénéfices sont les suivants : Sécurité mobile de bout en bout Grâce aux améliorations apportées à sa solution de sécurité mobile, CA Technologies est désormais en mesure de vous offrir une plate-forme complète de sécurité mobile, de bout en bout. Du contrôle des appareils mobiles jusqu au contrôle de ce que l utilisateur peut faire avec les informations auxquelles il accède dans le data center, la solution de mobilité de CA Technologies permet aux organisations d exploiter la formidable croissance des services mobiles pour améliorer leurs interactions avec leurs employés et leurs clients. Plus précisément, la solution de mobilité de CA Technologies permet aux organisations de répondre aux exigences suivantes : Sécurisation de l application : intégration de fonctions de sécurité telles que l authentification à deux facteurs et l authentification unique, directement dans l application native via des kits de développement d applications mobiles, ou protection à l aide d un processus d encapsulation d applications basé sur des règles. Évaluation des risques : réduction des risques d accès non autorisé et de fraude grâce à l authentification basée sur les risques. Pour déterminer si l accès peut ou non être octroyé, différents facteurs contextuels sont évalués, tels que l identité, l emplacement géographique et le type d appareil. Chiffrement des communications : protection contre l interception des données qui quittent l application et sont transmises au back-end, grâce au processus de chiffrement SSL à double sens. Protection du back-end : sécurisation de l accès au back-end avec des contrôles d accès aux API très précis et conformes aux règles de sécurité de l entreprise. Surveillance du data center : protection du back-end contre les attaques de type XSS (cross-site scripting), les injections SQL et les attaques par déni de service (DoS).

7 7 Dossier solution : Nouvelles solutions de sécurité de CA Technologies Exécution, mais aussi conception Les partisans du DevOps se concentrent sans relâche sur l accélération des cycles de mise en production des applications mobiles et sur l amélioration des performances, de la disponibilité et des niveaux de service. Pour répondre à ces exigences, les organisations doivent adopter un ensemble de pratiques de développement et de production qui réduisent les délais de conception et de test, tout en supportant le volume et l envergure des transactions des applications mobiles au cours de l exécution. La solution de sécurité mobile de CA Technologies permet aux organisations d accomplir différentes actions : Encourager les développeurs internes et externes à développer des solutions complémentaires susceptibles de stimuler l activité. Accélérer la livraison des applications mobiles en simplifiant le processus de développement et en fournissant, de bout en bout, le niveau de sécurité adéquat, basé sur l identité, pour les services Web, mobiles, Cloud et basés sur les API. Recomposer les petits appels back-end en requêtes mobiles efficaces, pour limiter les coûts de bande passante et améliorer l expérience de l utilisateur. Section 4 : La solution de CA Technologies CA Technologies propose une solution de sécurité mobile qui permet aux entreprises d offrir des services mobiles à leurs clients et à leurs employés, en toute sécurité. Les organisations sont ainsi en mesure d accélérer le développement de leurs applications mobiles et leur mise sur le marché, de réduire les fraudes sur les applications mobiles de l entreprise ou tierces et de permettre à leurs employés de mieux collaborer. Ce lancement de nouveaux produits étend les fonctionnalités des solutions suivantes : CA Layer 7 Mobile Access Gateway est une passerelle mobile légère, à faible latence, dotée de contrôles de gestion et de sécurité qui permettent aux entreprises d exposer leurs ressources internes telles que les API mobiles, en toute sécurité, et de relever ainsi des défis cruciaux en matière d identité, de sécurité, d adaptation, d optimisation et d intégration. Le portail d API CA Layer 7 est une plate-forme sécurisée complète pour l intégration, la fidélisation et la gestion des développeurs. CA Mobile Application Management fournit toutes les fonctionnalités nécessaires à la distribution, à l installation, à la configuration et à la gestion des applications mobiles écrites par l entreprise ou publiées dans un magasin d applications. CA AuthMinder est un système d authentification polyvalent qui permet aux organisations de déployer et de gérer un grand nombre de méthodes d authentification, telles que mots de passe, questions/réponses de sécurité, jetons logiciels à deux facteurs ou informations d identification matérielles. CA RiskMinder est une solution d authentification puissante et évolutive, basée sur les risques, qui fonctionne en temps réel pour évaluer le contexte, calculer un niveau de risque, recommander des actions et gérer les alertes/cas. CA SiteMinder assure une gestion sécurisée de l authentification unique et des accès afin d authentifier les utilisateurs et de contrôler l accès aux applications.

8 8 Dossier solution : Nouvelles solutions de sécurité de CA Technologies Restez connecté à CA Technologies sur Agility Made Possible : l avantage de CA Technologies CA Technologies (NASDAQ : CA) fournit des solutions de gestion des systèmes d information qui aident les clients à gérer et à sécuriser des environnements informatiques complexes pour supporter des services métier agiles. Les organisations s appuient sur les logiciels et les solutions SaaS de CA Technologies pour accélérer l innovation, transformer leur infrastructure et sécuriser les données et les identités, du cœur des data centers jusqu au Cloud. CA Technologies s engage à ce que ses clients atteignent les résultats souhaités et la valeur métier attendue grâce à l utilisation de sa technologie. Pour en savoir plus sur les programmes qui contribuent au succès de nos clients, visitez le site /customer-success. Pour plus d informations sur CA Technologies, rendez-vous sur le site Copyright 2014 CA. Tous droits réservés. Tous les noms et marques déposées, dénominations commerciales, ainsi que tous les logos référencés dans le présent document demeurent la propriété de leurs détenteurs respectifs. Ce document est uniquement fourni à titre d information. CA décline toute responsabilité quant à l exactitude ou l exhaustivité des informations qu il contient. Dans les limites permises par la loi applicable, CA fournit le présent document «tel quel», sans garantie d aucune sorte, expresse ou tacite, notamment concernant la qualité marchande, l adéquation à un besoin particulier ou l absence de contrefaçon. En aucun cas, CA ne pourra être tenu pour responsable en cas de perte ou de dommage, direct ou indirect, résultant de l utilisation de ce document, notamment la perte de profits, l interruption de l activité professionnelle, la perte de clientèle ou la perte de données, et ce même dans l hypothèse où CA aurait été expressément informé de la survenance possible de tels dommages. CS _0214