Version:septembre2010
Livre Blanc SI : contrôle des prestataires externes Septembre 2010 Page 2 Sommaire I. Lesdifficultésopérationnellesengendréesparlerecoursàdesprestatairesinformatiques...3 a) Risquesdesécurité...3 b) Problèmedeconformitéauxexigencesréglementaires...4 c) Coûtsdemiseenœuvreetdemaintenance...5 d) Lecasdescomptespartagés...5 II. Quellessontlessolutionsexistantes?...6 a) Faiblegranularitédesdroits...6 b) Multiplicitédessolutionsentrainantuneadministrationcomplexe...6 c) Reportinginadaptéauxexigencesréglementaires...7 d) Divulgationdesmotsdepasse...7 e) Traçabilitéinsuffisante...7 III. Spécificationsd uneplate formed administration«prestataires»...7 a) Trèsfortegranularitédesdroits...7 b) Compatiblemulti équipements...8 c) Outilsdereportingintégré...8 d) Non divulgationdesmotsdepassedescomptescibles...8 e) Traçabilitétotaledesopérationseffectuées...8 f) Intégrationàl existant...8 g) Coûtd installationetd administrationréduit...9 h) Générationd alertes...9 i) Filtragedescommandes...9 j) Montéeenchargeethautedisponibilité...9 IV. WallixAdminBastion(WAB) laplate formed administrationorientéeprestataires...10 a) Trèsfortegranularitédesdroits...10 b) Compatiblemulti équipements...11 c) Outilsdereportingintégré...12 d) Non divulgationdesmotsdepassedescomptescibles...12 e) Traçabilitétotaledesopérationseffectuées...12 f) Intégrationàl existant...13 g) Coûtd installationetd administrationréduit...13 h) Générationd alertes...14 i) Filtragedescommandes...14 j) Montéeenchargeethautedisponibilité...14 V. Lesapportsd unetellesolution...15 a) Coûtd installationetd administrationréduit...15 b) Diminutiondesrisques...15 c) Conformitéparrapportauxnormes(«Compliance»)...16 VI. Conclusion...16
Livre Blanc SI : contrôle des prestataires externes Septembre 2010 Page 3 I. Lesdifficultésopérationnellesengendréesparlerecoursàdes prestatairesinformatiques Aujourd hui, les entreprises doivent ouvrir leur système d information à un nombre toujours plus importantdeprestatairesextérieurs,d abordpourréduirelebudgetinformatique cequisetraduit parlerecoursàdesprestatairesexternespourdescompétencesquinefontpaspartieducœurde métierdeladsi ensuitepourgagnerenrapiditédansledéploiementdenouvellessolutions.parmi cesdifférentstypesdeprestatairesfigurentparexemple: deséditeursdelogicielsmétiersdevantintervenirsurleursapplicatifs desinfogéreursassurantlagestiondetoutoupartiedesinfrastructureset/oudes applications Des«outsourcers»enchargedusupporttechnique(exemple:SSIIspécialiséedans lesupportetletuningoracle) Des consultants spécialisés dans un domaine applicatif spécifique (ex: expert CRM ouerp) Les deux principaux désavantages que comporte l externalisation de services informatiques sont la perte de contrôle, synonyme de risques en termes de sécurité, de conformité réglementaire (compliance), de gestion des accès et la perte de compétence. On peut également y ajouter la difficultédeconserverlamaîtrisedescoûtsd externalisation. a) Risquesdesécurité L externalisationdetoutoupartiedusystèmed informationchezunprestataireexternepeut présenter des risques importants pour l entreprise (fuite d informations, destruction de donnéessensibles,etc.).deplus,sanstraçabilitédesactions,ildevientdifficiledeconnaitre lescausesexactesetlesresponsablesd unéventueldysfonctionnement. Un certain nombre d études récentes confirment les risques inhérents aux privilèges dont disposentlesadministrateursit quecesadministrateurssoientinternesoubienexternes. Atitred illustrationonpeutnotammentciter (1) : 35% des administrateurs IT admettent utiliser leurs privilèges d administrateurs pour obtenirdesinformationsconfidentiellesousensibles. 74%desadministrateursITsedisentcapabledecontournerlesmécanismesactuelsde protectiondesinformationsconfidentiellesousensibles Parmi les informations sensibles auxquelles accèdent les administrateurs figurent notammentparordred importance: 1 Source:2009Trust,Security&PasswordsSurveyResearchBrief étuderéaliséeparcyber Ark Softwareauprèsde400professionnelsIT
Livre Blanc SI : contrôle des prestataires externes Septembre 2010 Page 4 o o o o o Basededonnéesclients Basededonnéesdesressourceshumaines Plandefusion/acquisition Informationsmarketing Plandelicenciement En cas de licenciement, les administrateurs IT quitteraient la société avecles informations suivantes: Typed information 2009 2008 Basededonnéesclients 47% 35% Motdepasseadministrateurduserveurdemessagerie 47% 13% Projetsdefusion/acquisition 47% 7% CopiedesdonnéesR&D 46% 13% MotdepasseducompteduP DG 46% 11% Donnéesfinancièresconfidentielles 46% 11% Listedesmotsdepassedescomptesàprivilège 42% 31% Il est à noter que la conjoncture économique actuelle accroit de façon très importante les risquesdefuited informations. Lerecoursàdesprestatairesexternes pouradministrertoutoupartiedeséquipementsd un Systèmed Information démultipliecesrisquesenraison: du très rapide turn over existant chez de nombreux prestataires qui augmente les risquesdefuited informationsuiteaudépartd unadministrateuritduprestataire deladifficultépourleclientdes assurerdel honnêtetédupersonneld unprestataire cerisqueestencoreplusimportantsiseséquipessontsituéesdansdespaysémergeants comptetenudelavaleurmarchandedesinformationsaccessibles. Enfin,lepersonnelITdel entreprisedoitégalementpouvoirseconnecteràdistance quece soit en cas d astreinte ou simplement de déplacement, avec des problématiques de connexionidentiquesàcellesdesprestatairesexternes. b) Problèmedeconformitéauxexigencesréglementaires L accèsauxsystèmesetauxapplicationssensiblesestsoumisàdescontraintestrèsstrictes: les accès doivent être protégés par des mots de passe soumis à des règles rigoureuses. Les
Livre Blanc SI : contrôle des prestataires externes Septembre 2010 Page 5 comptes doivent être créés par des personnels habilités et être supprimés dèslors que l utilisateurchangederôledansl entreprise. En complément, les entreprises doivent pouvoir fournir la preuve que ces règles sont respectées.lamiseenplacedeprocessassociésàl identitédel utilisateuretàsonrôledans l entreprisereprésenteuninvestissementdetempsnonnégligeable.lecasd unutilisateur quin apasd identitédansl entrepriseetdontlerôleestdéfiniparuncontratd infogérance peutposerproblème. Lesprestatairesexternesaccèdentàdescomptesàprivilègesdonnantaccèsàdesdonnées sensibles.lesuivideleuractivitéesttrèscomplexecar,nefaisantparpartiedesemployés,il impliquelacréationderôlesetdeprocessspécifiques. c) Coûtsdemiseenœuvreetdemaintenance Lamiseenplaced uncontratd infogéranceestsouventlongueetnécessitelacoopérationde plusieursservices.ilfautparexempleouvrirunaccèsaucœurdusystèmed information,ce qui veut dire s assurer de la participation des responsables systèmes, des responsables réseau,sécurité Laclôtured unaccèsàlafinducontratd infogéranceesttoutaussicompliquéàmettreen œuvre.quiplusest,cettefoisci,iln yapersonnepourréclamercetteopération avecdonc un risque élevé de conserver ouverts des accès qui auraient dû être fermés depuis bien longtemps. Enfin, les responsables informatiques doivent régulièrement lancer des audits afin de s assurer que les accès ont été bien refermés après les connexions des prestataires externes. d) Lecasdescomptespartagés Auconfluentdesquestionsdeconformité,desécuritéetdecoûtdemaintenancesetrouvele problèmedescomptespartagés.l existencedecomptespartagésestbiensouventdevenue unenécessitépourdenombreusessociétés.créerdescomptesindividualiséspoureffectuer desopérationsdemaintenanceestuncassetête,maisplusilyad opérateursquiutilisentun comptepartagéplusilestdifficiledemaintenirunepolitiquedemotsdepasseetplusilest compliquédesavoirquiautilisélecompte. Lessociétésquisouhaitentexternaliserlamaintenancedeleursystèmedoiventfairefaceà un choix difficile: soit créer des comptes à privilèges dédiés à leurs prestataires, soit compromettrelasécuritédeleurssystèmes.
Livre Blanc SI : contrôle des prestataires externes Septembre 2010 Page 6 II. Quellessontlessolutionsexistantes? Différentes solutions permettant de fournir un accès sécurisé à des prestataires externes existent déjà,tellesqueparexemple:vpnipsecoussl,serveursderebondssh,serveursderebond,liaisons spécialisées,développementinterne Cessolutionss installenthabituellementendmzetsontpositionnéesenrelaisentreleprestataire extérieuretl équipementcible. Toutefois,ellesprésententdifférentsinconvénients: a) Faiblegranularitédesdroits Cessolutionsassurentengénéraluncontrôled accèssimpleautorisantuneconnexionvers uneadresseipciblereprésentantunserveurouunéquipementréseau sansdescendreau niveauducomptecible. Il n est donc pas possible de pouvoir uniquement autoriser une connexion sur un ou plusieurscomptesprécissansdonnerl accèsàl ensembledescomptesd unéquipement! b) Multiplicitédessolutionsentrainantuneadministrationcomplexe Pourchaquetyped équipementexisteengénéralunesolutionspécifique.parexemple,des serveurs Unix ou Linux seront accessibles en SSH via un serveur de rebond tandis que des serveurs Windows seront de leur côté accessibles via un serveur Windows TSE et les personnesenastreinteseconnecterontviaunesolutionvpnssl. Chacune de ces solutions s administre de façon spécifique, avec au quotidien un coût d administration élevé en temps et en personnel ainsi qu un risque important d ouvrir plus quenécessairelesdroitsd accèsafind éviterd avoiràlesmodifiertropsouvent.
Livre Blanc SI : contrôle des prestataires externes Septembre 2010 Page 7 c) Reportinginadaptéauxexigencesréglementaires Cessolutionspermettentl accèspardesprestatairesextérieursàdessystèmescritiqueset doivent donc fournir les éléments de reporting permettant de vérifier la conformité de ces accèsparrapportauxdifférentesnormes(sox,bâle2 ). Or la très grande majorité de ces solutions n intègrent pas en général d outils de reporting répondantàcesexigences. d) Divulgationdesmotsdepasse Ces solutions imposent que les prestataires connaissent le mot de passe du compte utilisé surl équipementcible,cequifaitqu encasd utilisationd uncomptesystèmegénérique(ex: compte«administrateur»surunserveurwindowsou«root»surunserveurunix/linux),le motdepassedececomptedevraêtretransmisauprestataire. Cettetransmissionpeutconstituerunefailledesécuritémajeurecarlesmotsdepassedes comptessystèmegénériquesnesontquetrèspeusouventmodifiés. e) Traçabilitéinsuffisante Ces solutions fournissent en général un journal des connexions mais ne permettent pas de savoirexactementcequiaétéfaitlorsd uneconnexion.ainsi,iln estpaspossibledesavoir parexemplesiunprestataireextérieura,parexemple,essayéde«rebondir»versunautre serveur. III. Spécificationsd uneplate formed administration «prestataires» Compte tenu des faiblesses que présentent les solutions actuelles et des retours d expérience de nombreux clients et prospects, Wallix a établi le cahier des charges d une plate forme d administrationoptimiséepourl accèsdeprestatairesextérieursausystèmed information: a) Trèsfortegranularitédesdroits Laplate formed administrationdoitpermettreunetrèsgrandegranularitédesdroitsd accès avec la possibilité, prestataire par prestataire voire administrateur par administrateur, d autoriseruniquementl accèsàcertainscomptessurunéquipementcibledonné.
Livre Blanc SI : contrôle des prestataires externes Septembre 2010 Page 8 b) Compatiblemulti équipements Une seule plate forme d administration «prestataires» doit permettre l accès à tout type d équipement cible, que ce soient des serveurs Windows, des serveurs Unix/Linux, des équipementsdestockageoubiendeséquipementsréseaux. L utilisation d une solution unifiée permet de limiter les coûts d acquisition mais aussi et surtoutdelimiterlecoûtdepossessionenréduisantletempsd administrationnécessaire. c) Outilsdereportingintégré La plate forme doit permettre de disposer automatiquement de rapports répondant aux principalesexigencesréglementaires,tellesqueparexemplesavoirquiaaccèsàuncompte de service critique (ex: compte «root» d un serveur Unix/Linux ou compte «administrateur»d unserveurwindows). d) Non divulgationdesmotsdepassedescomptescibles Lasolutiondoitpermettredenepasavoiràdiffuserauxprestataireslesmotsdepassedes comptescritiques. Cettenon divulgationpermetnotammentdenepasavoiràchangertouslesmotsdepasse descomptesciblesencasderuptureducontratavecunprestataire outoutsimplementdu départ,chezleprestataire,del undesemployésconnaissantlesmotsdepasse! e) Traçabilitétotaledesopérationseffectuées Lasolutiondoitpermettredesavoirexactementcequiaétéeffectuéparleprestatairelors desaconnexionsurl équipementcible etcelaquelquesoitletyped équipement. Cette traçabilité peut d une part inciter les prestataires externes à faire preuve de professionnalisme dans l exécution de leur mission (la fameuse peur du gendarme!) et d autrepartdepouvoirdéfiniraveccertitudeetobjectivitéquelleactionetquelintervenant est à l origine d un incident (ce dernier point peut être très intéressant dans le cas d une infogérance d une partie du SI: détermination de la responsabilité en cas d incident, donc applicationounondespénalitésprévuesaucontrat). f) Intégrationàl existant La solution doit s intégrer à l existant, notamment en termes de gestion des utilisateurs. Ainsi,silesprestatairesfigurentdansunannuaired entreprise(ex:ldap,activedirectory, ),ilfautquelasolutionpuisselesauthentifieràpartirdecetannuaire.
Livre Blanc SI : contrôle des prestataires externes Septembre 2010 Page 9 Encomplément,elledoitpouvoirréutiliserl existantentermedesolutionsd authentification forteorientéesprestataires(ex:rsasecurid ). Enfin, elle doit disposer d une interface programmatique(ex: API, langage de scripting, ) permettantdel interfaceràl existant(ex:solutiond IAM,solutiondehelpdesk ) g) Coûtd installationetd administrationréduit La solution doit être facile et rapide à installer mais aussi et surtout ne pas impliquer de changement majeur pour les prestataires que ce soit en termes techniques (pas d installation de logiciel client spécifique) ou fonctionnels (pas de formation longue du personneldesprestataires). Idéalement, elle doit également pouvoir accessible via des terminaux mobiles de type smartphone(iphone,android,windowsmobile )sinécessaire. h) Générationd alertes Unetellesolutiondevraitêtrecapabled envoyer(mail,inscriptiondansunfichierdelogs, ) desalertesàdesresponsablesdelasécuritéencasdeconnexions mêmeautorisées àdes serveurscritiquespourlasociété. i) Filtragedescommandes Lasolutiondoitpouvoir auminimumdanslecasdeconnexionsssh filtrerlescommandes utilisées par les prestataires avec possibilité de couper si nécessaire la connexion en cas d utilisationd unecommandefigurantdansune«black list». j) Montéeenchargeethautedisponibilité Lasolutionnedoitpasêtreungouletd étranglementetdoitdoncdisposerd uneexcellente capacité de montée en charge en termes de nombre de connexions simultanées. En complément, elle doit disposer d une fonction de haute disponibilité permettant d assurer unecontinuitédeserviceencasd incident.
Livre Blanc SI : contrôle des prestataires externes Septembre 2010 Page 10 IV. WallixAdminBastion(WAB) laplate formed administration orientéeprestataires WallixAdminBastion(WAB)estunesolutiondéveloppéeparWallixspécifiquementpourlesbesoins des entreprises et des collectivités locales souhaitant mettre en place une plate forme d administrationorientée«prestataires». WABdisposedescaractéristiquessuivantes: a) Trèsfortegranularitédesdroits WAB permet à l administrateur de définir des droits d accès non pas au niveau des équipements mais au niveau des comptes cibles. Ainsi, en fonction de son profil, un prestataireexternepourraseconnecteràunensembledecomptesciblesdonnés. Ainsi, sur un même serveur Windows, un prestataire X pourra par exemple être autorisé à utiliserlecompte«administrateur»tandisqu unautreprestataireyneseraluiautoriséqu à utiliseruncompteavecdesprivilègesbienplusréduits. La gestion des droits des utilisateurs utilise le concept du contrôle d'accès à base de rôles (RBAC Role BasedAccessControl).
Livre Blanc SI : contrôle des prestataires externes Septembre 2010 Page 11 A noter, en complément des droits d accès, WAB permet également de définir des droits «protocolaires»danslecasd uneconnexionssh.ainsi,pourchaqueprestataire,enfonction ducomptecible,ilestpossibled autoriseroud interdire: l accèsau«shell» l exécutiondecommandesdistantes l «upload»oule«download»defichiersviascp Par exemple, il est possible de n autoriser un prestataire en charge de la supervision de serveurs qu à envoyer des commandes vers ces serveurs(ex: Reboot) sans possibilité de s y connecteren«shell»oubiendetransférerdesfichiers. b) Compatiblemulti équipements WABnenécessitepasl installationd agentssurleséquipementsciblesetpermetdonc via le support natif des protocoles RDP, SSH, TELNET, SFTP et RLOGIN de contrôler et d enregistrerlesconnexionsverslesprincipauxtypesd équipementscibles: serveurswindows serveurunix(aix,solaris,hp UX ) serveurslinux équipementsréseaux En complément, WAB peut enregistrer les connexions utilisant d autres protocoles et notammentdesprotocolesmétiers vial utilisationd unserveurrdp(ex:windowsterminal ServerEdition)intermédiairejouantlerôledeserveurderebondsurlequelsontinstallésles logiciels clients des applications devant être enregistrées(ex: Oracle, SAP, Notes, VMware ).
Livre Blanc SI : contrôle des prestataires externes Septembre 2010 Page 12 c) Outilsdereportingintégré Via l interface d administration du WAB, il est possible de connaitre l historique des connexionsparutilisateurouparcomptecibleainsiquedesavoiràtoutmoment«quiest connectéàquoi». WABpermetégalementdedisposeràtoutmomentderapportssurlesautorisationsd accès dechaqueutilisateur,ainsiquelesdroitsd accèspourchaquecomptecible. WABfournitautomatiquementlalistedesutilisateurspouvantutiliseruncompteprécissur unéquipement(ie:quiaaccèsaucomptegénérique«root»d unserveurlinux). d) Non divulgationdesmotsdepassedescomptescibles WABdisposed unmoduled authentificationcentraliséequistockeeninternelesdifférents motsdepassedescomptescibles.ainsi,onpeutpermettreàunprestatairedeseconnecter àuncompteàprivilègesansavoiràluitransmettrelemotdepassecorrespondant. Encomplément,danslecasoùunprestataireaaccèsàplusieurscomptescibles,iln auraà retenir qu un seul mot de passe: celui de son compte WAB, évitant ainsi les risques de «fuite»demotsdepasseexistantsavecd autressolutions. Ilestànoter,quel onpeutdésactivercettefonctionnalitécompteparcompte.danscecas,le prestataire devra s authentifier une première fois sur le WAB et une seconde fois sur l équipementcible. Dans le cas des comptes partagés, que ce soit le compte «root» ou tout autre compte à privilège,wabpermetdelessécuriser.eneffet,cescomptessontaccessiblesauxprestataires externessansqueceux cin aientàenconnaitrelesmotsdepasse. Encomplément,chaqueprestataireyaccédantestidentifiéparsonidentitéuniqueWAB,sa session étant à la fois logguée et enregistrée. Grâce au WAB, les administrateurs systèmes peuventconserverlaflexibilitéqueleuroffrentlescomptespartagéssanscompromettreles règlesd auditoulasécurité. e) Traçabilitétotaledesopérationseffectuées WABpermetd enregistrerlecontenudessessions,quecesoitsouslaformedefichiervidéo Flash pour les sessions RDP/TSE (serveurs Windows) ou bien sous la forme de fichiers textesouvidéopourlessessionsssh,telnetetrlogin(serveurslinux&unix,équipements réseaux ). Cesenregistrementspeuventensuiteêtrevisualiséspourconnaîtrelesopérationseffectuées parunprestatairesurunéquipementcible.encomplément,lesenregistrementssousforme
Livre Blanc SI : contrôle des prestataires externes Septembre 2010 Page 13 defichierstextesdessessionssshpermettentd effectuertrèsfacilementdesrecherchespar motclé. A noter: les enregistrements de session peuvent être stockés au sein du WAB ou bien être exportésversunéquipementdestockageexterne. f) Intégrationàl existant WABs intègreàl existantenmatièredegestiondesutilisateurs.silesprestatairesfigurent dansunannuaired entreprise(ex:ldap,activedirectory ),ilspeuventêtreauthentifiésà partirdecetannuaire.bienentendu,wabpermetégalementdelesauthentifierenlocal(le motdepasseduprestataireestalorsgéréparlewab). WAB permet également une authentification forte grâce au support de RADIUS comme protocole d authentification externe et supporte donc des solutions telles que RSA SecurID oubiensafeword. Enfin,WABdisposed unlangagedescriptingpermettantàunapplicatifexterne(iam,helpdesk )depiloterl application. g) Coûtd installationetd administrationréduit WABestcommercialiséprincipalementsousformed appliancematérielleouvirtuelle,cequi permetdemettreenplacelasolutiondansunlapsdetempstrèscourts. Par ailleurs, la solution ne nécessite pas l installation d agents, que ce soit sur les équipementsciblesoubiensurlespostesutilisésparlesprestataires. En complément, WAB permet aux prestataires de continuer à utiliser leurs outils habituels d administration des serveurs(clients SSH tels que Putty ou WinSCP, client RDP«Bureau à distance» ) évitantainsid avoiràformerlesprestatairesàdenouveauxoutils. A noter: pour se connecter aux équipements cibles en passant par le WAB, les prestataires peuventbienentenduutiliserunpc(windows,mac,linux )maisaussiunsmartphoneou unetablette(iphone/ipad,android,blackberry,windowsmobile ). LeparamétrageinitialduWAB,ainsiquesonadministrationaujourlejour,s effectueviaune interfaceweb(https)intuitiveetsimpled utilisation,disponibleenfrançaisetenanglais.il estégalementpossibled administrerlewabviauneinterface«commandeenligne»(cli). Par ailleurs, il est possible de gérer différents profils d administrateurs du WAB tel que par exemple un profil «auditeur» (qui peut tout visualiser mais rien modifier) ou bien d attribueràunadministrateurlagestiond unepartieseulementdesutilisateurset/oudes équipementsparamétrésdanswab.
Livre Blanc SI : contrôle des prestataires externes Septembre 2010 Page 14 Exemple:unadministrateurduWABneseraenchargequedesprestatairesbasésenFrance tandisqu unautreleseradesprestatairesindiens oubienquedesserveursdudatacenter deparis. h) Générationd alertes WAB dispose d un module de génération d alertes permettant d envoyer une alerte à une personnepréciséeàl avance(ex:administrateurduwab)encasnotammentdeconnexion àuncompteciblejugécritique. Cettealerteesttransmisepare mailetestégalementinscritedanslefichierdelogsduwab cequipermetdepouvoiraisémentlatraiterauseind unoutildesupervision. Après réception de cette alerte, l administrateur du WAB a la possibilité si la session sembleillégitime de«tuer»cettesessiondirectementvial écranaffichantentempsréel la liste des sessions ouvertes. Ce module fonctionne également pour différentes alertes orientées sécurité (changement d empreinte SSH, échec d authentification d un utilisateur, échecdeconnexionversunéquipementcible,détectiond unechainedecaractèresinterdite ). i) Filtragedescommandes WAB permet d établir pour les connexions SSH une «black list» de chaines de caractères interdites, ces «black lists» pouvant être spécifiques à un profil utilisateur ou bien à un comptecible. En cas de détection d une chaine de caractère figurant dans la black list, une alerte e mail seraenvoyéeaveccoupureautomatiquedelasessionsinécessaire. Exemple:ilestsouventpertinentd éviterqu unprestatairepuissechangerunmotdepasse sur un serveur Linux administré via SSH. Dans ce cas, il suffit de bloquer la chaine de caractères«passwd»dansleprofildeceprestataire.sileprestataireessayedechangerle mot de passe via le commande «passwd» alors la session sera coupée (avant que la commandenesoitappliquée)etunealerteseraenvoyée. j) Montéeenchargeethautedisponibilité L architecture interne du WAB a été conçue pour permettre une montée en charge importanteentermesdeconnexionssimultanées,qu ils agissedeconnexionssshourdp.a titred exemple,uneappliancewabdccsupportejusqu à360connexionsrdpsimultanées! Parailleurs,certainsmodèlesd applianceswabintègrentunealimentationredondanteainsi quedesdisquesenraid10afind assureruneredondancematériellemaximale.
Livre Blanc SI : contrôle des prestataires externes Septembre 2010 Page 15 Encomplément,lesappliancesWABfonctionnentenhautedisponibilitéavecpartaged une adresseipvirtuelleetsynchronisationdesinformationsentrelesdeuxappliances.encasde dysfonctionnement de l appliance principale, l appliance secondaire prendra automatiquement le relais sans que les prestataires n aient à changer leurs process de connexion. V. Lesapportsd unetellesolution La mise en place d une solution Wallix AdminBastion pour l administration des prestataires IT externes apporte à la DSI des avantages compétitifs déterminants, qui peuvent être analysés et chiffrésenadoptantleplansuivant: a) Coûtd installationetd administrationréduit Par rapport à l utilisation de plusieurs solutions juxtaposées, une solution unique présente l avantaged unfaiblecoûtdepossession. Dans un tel projet, les éléments à prendre en compte pour comparer les différentes solutionssont: Duréeduprojetd installation:parle t ond unechargedetravailquisecompteenmois hommesouenjours? Coûtd administration:combiendetempspourintroduireunnouveauprestataireetles droits conférés? Combien de temps pour faire évoluer le parc d équipements à administrer? Formation des utilisateurs: combien de temps pour former un prestataire externe à l utilisation de la solution? (important, notamment en période de congés avec les inévitablesremplacementsàorganiser). b) Diminutiondesrisques Lamiseenplaced unwabpermetàladsideréduirefortementlesrisquesliésaurecoursà desprestatairesexternes: Nondivulgationdesmotsdepassesurlesmachinescibles Granularitédesdroitsd accès Traçabilitéintégraledessessionsd administration(enregistrementdelasession) Alertesencasd accèsàdesserveurscritiques
Livre Blanc SI : contrôle des prestataires externes Septembre 2010 Page 16 Lacomparaisondessolutionsdisponiblespeutsefaireenattribuantunnombredepointsà chacun des items précédents, en fonction de l impact de chacun d entre eux sur la sécurisationdusidel entreprise. Onpeutaussiestimerlecoûtd unsinistredanscesdomaines,etévaluerladiminutiondela probabilité d incident apportée par la solution. Par exemple, grâce à la traçabilité des sessionsd administration,etàladéterminationobjectivedelaresponsabilitéd unincident, un infogéreur pourra faire une évaluation de la réduction des pénalités qu il aurait à payer danslecadred uncontratd infogérance. c) Conformitéparrapportauxnormes(«Compliance») Grâce essentiellement aux outils de reporting et à l enregistrement des sessions d administration (traçabilité), une telle solution permet aux entreprises soumises à des normes particulières (ISO 27001, SOX, Bâle II, ) de progresser dans le respect de ces normes. La valeur ajoutée d une telle solution est à rapprocher des recommandations faites par les auditeursdelasociété,quipourrontaideràvalorisersesapports. VI. Conclusion Avec Wallix AdminBastion, les entreprises disposent aujourd hui d une solution permettant enfin un contrôle très poussé des prestataires IT externes sans s engager dans un chantier techniqueetorganisationneldegrandeenvergure. Ce contrôle s appuie notamment sur une granularité très forte des droits d accès ainsi que sur la possibilité de pouvoir enregistrer intégralement le contenu d une session d administration. Encomplément,WallixAdminBastions appuyantsurunegestiondesdroits«parrôle»,son implémentation oblige à enfin formaliser les droits d accès des administrateurs et donc à remettreàplatlespolitiquesdecontrôled accès(ex:quiaaccèsauxcomptesgénériqueou de service) sachant que celles ci sont souvent informelles et donc sources de failles de sécurité.