Le panorama de la sécurité sur le Cloud!

Transcription

1 Le panorama de la sécurité sur le Cloud! Serge RICHARD - CISSP (IBM Security Systems) serge.richard@fr.ibm.com

2 La vision idyllique Questions? 2

3 La vrai vie... 3

4 Beaucoup de personnes ont un avis sur la question 4

5 Qu en est il réellement? Est-ce que la sécurité est réellement nécessaire? Est-ce qu il y a eu des attaques? Est-ce que cela à évolué depuis 2009(*)? Quel est le panorama d aujourd hui (*) Ma dernière présentation sur le sujet 5

6 La sécurité a permis de structurer l offre Cloud Approche par modèle d infrastructure Cloud Public Cloud Privé Cloud Hybride Approche par besoin fonctionnel Cloud d archivage Cloud poste de travail Cloud de stockage Approche par fournisseur de service IaaS PaaS BaaS SaaS 6

7 Et le Cloud a permis de faire évoluer la sécurité 7

8 Les attaques en 2011 sur le Cloud 8

9 Panorama : Le modèle de sécurité du Cloud La sécurité de bout en bout Cloud Security Webinar Nov boulevard - Fotolia.com

10 Panorama : Les solutions de sécurité du Cloud La sécurité par une approche solution Cloud Governance Cloud specific security governance including directory synchronization and geo locational support Discover, Categorize, Protect Data & Information Assets Strong focus on protection of data at rest or in transit Security Governance, Risk Management & Compliance Security governance including maintaining security policy and audit and compliance measures Information Systems Acquisition, Development, and Maintenance Management of application and virtual Machine deployment Problem & Information Security Incident Management Management and responding to expected and unexpected events Secure Infrastructure Against Threats and Vulnerabilities Management of vulnerabilities and their associated mitigations with strong focus on network and endpoint protection Cloud Security Webinar Nov 2011 Identity and Access Management Strong focus on authentication of users and management of identity Physical and Personnel Security Protection for physical assets and locations including networks and data centers, as well as employee security 10 boulevard - Fotolia.com

11 Panorama : Les services en fonction de la sécurité du Cloud La sécurité est adaptée en fonction des services rendus 11

12 Panorama : Evolution des mécanismes de sécurité du Cloud La sécurité des environnements virtuels 12

13 Panorama : Evolution des mécanismes de sécurité du Cloud Calculer sur les données chiffrées En chiffrant les données que l'on confie à un tiers, on s'assure qu'elles seront conservées en sécurité. Mais jusqu'à présent il était impossible de faire des calculs à distance sur ces données. Le premier algorithme de chiffrement permettant de les manipuler à loisir a été découvert en 2011 (Craig Gentry, IBM Research) Le défi technique consistait à trouver une méthode de cryptographie qui chiffre par exemple deux données a et b en a' et b' et avec laquelle a' et b' permettent de calculer c' tel que son déchiffrement nous donne bien la valeur de a + b - le résultat sur les données chiffrées doit bien correspondre à celui que l'on obtiendrait en menant le calcul sur les données brutes. Quand un algorithme de cryptographie possède cette propriété, on dit qu'il est «homomorphe pour l'addition». Pour obtenir un algorithme «complètement homomorphe», il faut qu'il ait la même propriété pour la multiplication et qu'il la conserve quel que soit le nombre d'opérations. C est une avancée intéressante pour la sécurité des données dans les environnements Cloud

14 Panorama : Association pour la sécurité du Cloud Editeurs et constructeurs décident des bonnes pratiques 14

15 Panorama : Association pour la sécurité du Cloud Mais les éditeurs récompensés pour la sécurité de leur offre Cloud ne sont pas des membres de l association. Ont-ils suivi les recommandations? 15

16 Panorama : Le point de vue du juridique et le Cloud Le retour du Patriot Act "La législation résultant de la mise en œuvre de l USA PATRIOT ACT (Uniting and Strengthening America by Providing Appropriate Tools Required to intercept and Obstruct Terrorism act) du 26 octobre 2001 prolongée jusqu en juin 2015 impose aux entreprises de droit américain, ainsi qu à leurs filiales dans le monde, et aux serveurs hébergés sur le territoire des Etats-Unis quelle que soit la nationalité des entreprises qui les exploitent, ainsi qu aux données hébergées en Europe par des sociétés de droit américain, des obligations permettant aux services de sécurité américains d accéder à des données à caractère personnel." 16

17 Panorama : Le point de vue du juridique et le Cloud La parole à Maitre Raphael Peuchot 17

18 18