7 avril 2009 Le chiffrement des équipements nomades : les clefs du succès

Transcription

1 Chiffrement s données locales s moyens nomas (ordinateurs portables et clés USB) 7 avril 2009 Le chiffrement s équipements nomas : les clefs du succès

2 7 avril 2009 Le chiffrement s équipements nomas : les clefs du succès Conférence CLUSIF : chiffrement s données locales

3 Agenda 1. Pourquoi chiffrer? 2. Préparer la mise en œuvre 3. Le chiffrement au quotidien 7 avril Propriété Solucom, reproduction interdite 3

4 Pourquoi chiffrer? Nécessité protéger les informations sensibles L information : un actif stratégique Des métiers plus en plus dépendants l information Des informations au caractère particulièrement sensible Des impacts forts en cas fuite Un risque en pleine explosion du fait d innombrables raisons et nombreux canaux fuite (notamment liés aux équipements portables) Volatilité du format numérique qui facilite la duplication et la communication (interne et externe) l information Omniprésence s informations sensibles De nombreux exemples récents fuites d informations rendues publiques Perte (ex : Poste portable volé à l aéroport) Vol (ex : PDA perdu dans le taxi) Accès non autorisé à s données sensibles (ex : clef USB prêtée à un collègue) 7 avril Propriété Solucom, reproduction interdite 4

5 Pourquoi chiffrer? Assurer la confintialité sur les équipements nomas Des Des besoins besoins mobilité mobilitéaccrus Se Se prémunir prémunir contre contre les les risques risques fuite fuite d'informations d'informations Le chiffrement constitue un moyen protection avancé Indépendamment la technologie, le chiffrement repose sur une donnée protégée : la clef chiffrement La protection la clef chiffrement est assurée par un ou plusieurs facteurs d authentification Ce que je connais (un secret) : mot passe ou co PIN Ce que j ai : un certificat électronique, une carte à puce ou un token USB Ce que je suis : empreinte digitale 7 avril Propriété Solucom, reproduction interdite 5

6 Agenda 1. Pourquoi chiffrer? 2. Préparer la mise en œuvre 3. Le chiffrement au quotidien 7 avril Propriété Solucom, reproduction interdite 6

7 Préparer la mise en œuvre Les points d attention à prendre en compte Cadrer ses besoins et contraintes Préparer la mise en œuvre Notamment dans un contexte international, prendre en compte les dimensions légales et réglementaires Choisir la ou les réponses technologiques pour répondre aux besoins Intifier les Impacts pour l exploitation et le support Le chiffrement au quotidien Garantir le maintien l accès aux données dans le temps Obtenir l adhésion s utilisateurs, en offrant une solution ergonomique (voire transparente) et en effectuant s actions sensibilisation et gestion du changement 7 avril Propriété Solucom, reproduction interdite 7

8 Préparer la mise en œuvre Intifier ses besoins et contraintes Caractérisation s données sensibles Quoi? : typologie s données (courriels stratégiques, base données clients, données à caractère personnel, informations R&D ) Comment? : localisation (portables commerciaux, PDA VIP ) et manipulation (stockage, échanges ) Qui? : utilisateurs (personnel interne, prestataires, partenaires, fournisseurs, clients ) Menaces Risques Vol ou perte d équipements mobiles Accès non autorisé d utilisateurs internes Accès non autorisé d utilisateurs ou programmes externes malveillants Atteinte à l image l entreprise Désavantage concurrentiel Extorsion Manquement aux obligations légales De De part part leur leur exposition, les les équipements nomas doivent souvent être être protégés en en priorité!! Retour d expérience 7 avril Propriété Solucom, reproduction interdite 8

9 Préparer la mise en œuvre Des aspects légaux et réglementaires à prendre en compte La maîtrise l usage la cryptographie est un enjeu sécurité intérieure et extérieure pour nombreux pays Contexte général d usage la cryptographie (importation, usages domestiques, exportations) Réglementation spécifique à chaque pays Mais existence certains accords internationaux Politique libérale (ou aucune législation) Pays d Amérique du Sud, plusieurs pays d Afrique Majorité s pays l UE, Etats-Unis Des contrôles sur l usage, sur les importations et les exportations Israël, Malaisie, Malte In, Arabie Saoudite Contrôle général la cryptographie institué Russie, Chine, Iran Exemple En En Chine, Chine, nécessité nécessité d utiliser d utiliser s s solutions solutions avec avec licence licence validée validée par par une une commission commission gouvernementale gouvernementale et et manr manr également également une une licence licence d utilisation d utilisation Il Il est est nécessaire d anticiper et et répondre à l ensemble s s contraintes auxquelles l entreprise est est soumise!! 7 avril Propriété Solucom, reproduction interdite 9

10 Préparer la mise en œuvre Choisir la ou les bonnes solutions techniques Besoins à couvrir Solutions envisageables Points d attention Protection contre le vol et la perte s postes ou s PDA Chiffrement intégral Le plus transparent pour les utilisateurs Protection contre les accès non autorisés aux données Chiffrement unitaire fichiers et répertoires Peut être utilisé en complément d une solution chiffrement intégral pour disposer d une granularité protection plus fine, mais attention à la gestion la localisation Protection dans les échanges par médias amovibles Auto-déchiffrables / Chiffrement autonome avec mot passe Prévoir les cas où le média est utilisé sur un poste où la solution chiffrement n est pas installée Quelques exemples solutions du marché et Open Source : Retour d expérience 7 avril Propriété Solucom, reproduction interdite 10

11 Agenda 1. Pourquoi chiffrer? 2. Préparer la mise en œuvre 3. Le chiffrement au quotidien 7 avril Propriété Solucom, reproduction interdite 11

12 Le chiffrement au quotidien Impacts d une solution chiffrement sur l exploitation et le support Gestion centralisée : s moyens techniques et une organisation à mettre en place Répartition géographique Répartition s rôles au sein la DSI Lien avec l organisation Active Directory Gestion du recouvrement Exemple Définition Définition s s rôles rôles gestion gestion la la politique politique chiffrement chiffrement et et gestion gestion du du recouvrement recouvrement s s données données dans dans un un contexte contexte international international Une nécessaire adaptation s processus gestion parc Installation d une machine Intervention d un administrateur en local Intervention d un administrateur à distance «Crash» du poste Exemple Impacts Impacts d un d un outil outil chiffrement chiffrement intégral intégral dans dans le le cas cas d une d une déploiement déploiement d images d images Ghost Ghost Retour d expérience 7 avril Propriété Solucom, reproduction interdite 12

13 Le chiffrement au quotidien Conserver l accès aux données dans le temps Des situations inévitables à anticiper Oubli du mot passe ou perte l authentifiant matériel, corruption du système d exploitation, corruption physique secteurs, changement poste (migration données) (En mo connecté ou non) Deux approches envisageables Recouvrement s authentifiants (autorité séquestre / «gardien s clefs») Recouvrement s données protégées (utilisation d une clé maîtresse recouvrement) Une organisation réactive pour la gestion s secrets Intification l utilisateur auprès du Help-Desk Réinitialisation du mot passe Déverrouillage temporaire du contrôle d accès Il Il est est nécessaire garantir la la confintialité tout tout en en s assurant la la disponibilité!! Retour d expérience 7 avril Propriété Solucom, reproduction interdite 13

14 Le chiffrement au quotidien Gagner l adhésion s utilisateurs Limiter les actions explicites l utilisateur Une protection transparente limite les risques perte confintialité liés au facteur humain à condition d être réalisée tout au long du cycle vie s données protégées (stockage et transport) ou à conditionner par une sensibilisation accrue Intégrer la solution avec le poste travail Explorateur Windows Outils bureautiques Choisir le facteur d authentification utilisé par les utilisateurs Secret (peut être contraignant à saisir)? Objet physique : token ou carte à puce (risque d oubli et perte)? Synchronisation avec le contrôle d accès au poste travail? Sensibiliser les utilisateurs et accompagner le changement Un Un outil outil peu peu ergonomique sera sera mal mal ou ou pas pas utilisé utilisé!! Retour d expérience 7 avril Propriété Solucom, reproduction interdite 14

15 Conclusion : un réel intérêt, mais s précautions à prendre Des solutions chiffrement mures et et intéressantes pour protéger les les informations sensibles sur sur les les équipements nomas Mais s s impacts psychologiques, organisationnels et et techniques qui qui complexifient leur mise en en œuvre Il Il convient donc s assurer d une préparation et et d un accompagnement méticuleux, au au risque d en perdre tous les bénéfices. 7 avril Propriété Solucom, reproduction interdite 15

16 Votre contact Laurent PERRUCHE Consultant Tel : +33 (0) Mobile : +33 (0) Mail : laurent.perruche@solucom.fr