2011 Numéro 14 DES SOLUTIONS POUR DOPER L'ACTIVITÉ SOMMAIRE SECURITE DES DONNEES MENACEE Enquête sur ceux qui initient les attaques et leurs méthodes VOL DE DONNEES Votre entreprise peut-elle survivre à une perte de données stratégiques? PROTEGEZ VOTRE ENTREPRISE Mettez en place une stratégie de protection en profondeur pour votre entreprise ProtEgez vos donnees!
BIENVENUE PROTEGEZ VOS DONNEES CONTRE LES ATTAQUES «Pas un jour sans que le problème de la sécurité ne soit évoqué. Nos clients nous demandent des solutions rapidement installables et garantissant la protection complète de leur entreprise.» Aujourd hui, le risque de vol des données concerne toutes les entreprises et non plus seulement les dirigeants des grandes multinationales. Qu il s agisse de relevés bancaires, d informations personnelles ou de préférences d achat, nos données sont stockées et échappent à notre contrôle. Lorsque de grandes entreprises font la Une des journaux pour des failles de sécurité mettant en péril aussi bien leur valorisation boursière que leur réputation, il est clair que même les entreprises disposant de gros services informatiques sont vulnérables. Que dire alors de toutes ces entreprises, beaucoup plus petites, qui ne disposent pas des ressources nécessaires pour déjouer les risques éventuels? La réponse est simple : personne n est à l abri d une attaque. Le vol de données est l une des activités enregistrant la plus forte croissance au monde. Du coup, la protection des données est à l ordre du jour pour chacun. Mais il ne suffit pas d y réfléchir. Ce numéro s intéresse aux systèmes permettant de protéger les données importantes de votre entreprise, en les mettant à l abri des pirates. La bonne nouvelle? Il existe des solutions de sécurité polyvalentes et économiques, très faciles à mettre en œuvre. Les entreprises, même petites, disposant d une solution Oracle Database 11g tirent déjà profit des multiples fonctions de sécurité intégrées, pour leur plus grande tranquillité d esprit. Mais avec la multiplication des menaces, il est peut-être nécessaire d envisager des options de sécurité supplémentaires pour protéger votre entreprise et sécuriser vos données. Pour vous aider à protéger vos données sensibles, Oracle vous propose un ensemble complet de solutions. Alors, prenez le temps de consulter les informations relatives au plan de protection des données et découvrir comment l implémenter. Cordialement, Jean-Pierre Binet Directeur commercial, division moyennes entreprises LA CONSOLIDATION DES DONNEES POUR UNE BAISSE DES COUTS ET UNE HAUSSE DE L EFFICACITE NUMÉRO PRÉCÉDENT EN SAVOIR PLUS SUR LES SOLUTIONS DE SECURITE DES DONNEES ORACLE DANS CE NUMÉRO VALORISER AU MIEUX LE CLOUD COMPUTING PROCHAINEMENT 02
DEVENEZ PROTECTEUR DES DONNEES LA SECURITE DES DONNEES : PRIORITE N 1 Pas un jour sans que les médias ne rapportent un cas de violation de données par un pirate professionnel, d usurpation d identité ou de sabotage d informations. Le 1er avril 2011, l attaque massive des bases de données par large injection de code SQL a mis en péril plusieurs millions de sites Web. C est la preuve que la protection des données doit être élevée au rang de priorité n 1 par tous. L AMPLEUR DU PROBLEME La plupart de vos données sensibles sont stockées dans votre base de données. Entre 2005 et 2010, plus de 900 millions* d enregistrements ont été compromis. Les informations de connexion peu robustes ou volées, l injection de code SQL et les logiciels malveillants personnalisés sont responsables de 90 %* des violations des données, et tous ces risques continuent d empoisonner la vie des entreprises qui tentent de protéger leurs informations les plus précieuses. DES MENACES INTERNES L une des menaces les plus difficiles à maîtriser est celle qui provient de l intérieur même de l entreprise : des personnes sans scrupules, notamment celles qui bénéficient de droits d accès privilégiés, communiquent des informations à des concurrents ou se laisser appâter par des prédateurs externes voulant espionner leur entreprise. Ces types d attaque peuvent s avérer beaucoup plus difficiles à suivre. Le rapport Verizon a révélé que près de la moitié des entreprises perdent des informations sensibles et stratégiques à la suite d une attaque interne. Mais le plus grave c est que la plupart de ces entreprisse ne découvrent ces attaques que bien trop tard. L EXTERNALISATION : UN FACTEUR DE RISQUE SUP- PLEMENTAIRE Si vous externalisez, dans le cadre de la consolidation et de la gestion des données ou pour du Cloud computing, vous devez avoir toute confiance dans les dispositifs de sécurité de votre fournisseur car les occasions de partage, de vol et de perte de données sont plus nombreuses. Souvent, les entreprises, et plus particulièrement dans le tiers-monde, ont une forte rotation du personnel, et les occasions de gagner de l argent facile en fournissant l accès à des données sensibles sont multiples. Et comme chaque pays a ses propres lois en matière de sécurité des données, il est plus difficile de remonter les filières de violation des données. Aussi, veillez à ce que votre fournisseur vous présente une certification en matière de sécurité complète et adopte les meilleures pratiques dans ce domaine. VOS PRINCIPAUX DEFIS Garantir l intégrité des données sensibles face à l ensemble des menaces internes et externes Assurer la disponibilité et l accessibilité des données pour tous vos employés réduire les risques associés au stockage ou à l accès des données sur les terminaux mobiles maintenir la confiance du client qui risque d être perdue en cas de failles de sécurité ou d interruption de l exploitation Baisser les coûts de gestion et de protection des données, et de mise en conformité Surveiller et auditer les bases de données pour une détection précoce des failles Suivez toutes ces recommandations pour planifier votre solution et vous assurer que les outils retenus répondent aux besoins de votre entreprise. Pour en savoir plus sur Oracle Database Options, visitez le site oracle.com/goto/security-options/fr La première chose est de vous concentrer sur la source, la base de données elle-même. Des études en matière de violation de données ont révélé que des contrôles de sécurité multicouches sont nécessaires pour protéger l entreprise de menaces allant d un détournement de compte à des attaques par injection SQL. Il est donc nécessaire de prendre en compte tous les aspects des risques qu encoure votre entreprise pour développer une stratégie de défense en profondeur. *Source : Verizon 2010 Data Breach Investigations Report QUEL EST VOTRE DEGRE DE VULNERABILITE? 2 entreprises sur 3 admettent ne pas avoir été en mesure d identifier une fraude ou une utilisation privilégiée. > Source : 2010 IOUG Data Security Survey 03
SECURISATION DES ACCES INFORMATIQUES DE LA SIPLEC Mise en place d un annuaire LDAP ORACLE DSEE hautement sécurisé La société SIPLEC est en charge des importations de biens de consommation et des hydrocarbures pour le compte des 665 supermarchés et hypermarchés E.LECLERC à travers l Europe. Son effectif est de l ordre de 300 personnes situées à Ivry en région parisienne, au Havre, et à l international dans sept implantations. Cette présence à travers le monde permet de bâtir des relations directes avec les producteurs garantissant ainsi un contrôle complet des achats internationaux. Les systèmes d information (SI) occupent une place de premier ordre dans l activité de négoce de SIPLEC. En effet, les SI portent et manipulent les informations nécessaires et vitales à l accomplissement des objectifs de l entreprise : En fonctionnement nominal un annuaire ldap est utilisé pour la messagerie, l autre pour les autres applications. En fonctionnement dégradé l annuaire restant récupère toutes les fonctions. VPN SSL CITRIX Serveurs d applications Annuaire LDAP Maîtrise 1 Serveur de messagerie IVRY opérations commerciales et logistiques avec les magasins E.LECLERC Chaîne de logistique du fournisseur à l entrepôt relation commerciale avec les partenaires : prospects et fournisseurs Support des processus d Assurance Qualité Requêtes LDAP Réseau Intersite Réplications Multi-maîtres NANTES La société SIPLEC comme beaucoup de PME est attentive à la maîtrise de ses coûts informatiques et parvient à gérer la diversité de ses projets informatiques avec une équipe interne très réduite. Un des éléments de réponse pour assurer une haute disponibilité des systèmes informatiques tout en réduisant les coûts de fonctionnement est d avoir recours à des architectures redondantes avec bascule automatique. Pour contrôler les accès à son système d information, SIPLEC, avec l assistance de la société ADUNEO, a mis en œuvre une architecture hautement sécurisée d annuaire à la norme LDAP. Le progiciel retenu est le progiciel Oracle Directory Server Enterprise Edition version 6.3. Architecture haute disponibilité de l annuaire Les applications qui utilisent le service d authentification de l annuaire LDAP sont nombreuses : des applications métiers critiques, la messagerie électronique, les accès externes sécurisés etc. La criticité de ces applications impose une haute disponibilité du service LDAP atteinte grâce à l architecture d annuaire mise en place : 2 annuaires ldap (l un à Ivry, l autre à Nantes), en réplication multi-maîtres Chaque annuaire ldap s exécute sur une machine virtuelle Linux VPN SSL CITRIX Secours Serveurs d applications Secours Annuaire LDAP Maîtrise 2 Serveur de messagerie Secours Outil d administration de l annuaire : L outil Oracle Delegated Administrator V7 propose une interface web d administration déléguée de l annuaire, en particulier il permet de définir des classes de service. Ces classes de services, lorsqu elles sont assignées à des utilisateurs, permettent de définir automatiquement certaines capacités (quota, nombre de messages, accès à IMAP ou POP ). Outil de consultation de l annuaire : SIPLEC a sollicité ADUNEO pour lui fournir une application de consultation de l annuaire apportant de nombreuses fonctionnalités parmi lesquelles : recherche de personnes, recherche de services, édition de la fiche d une personne, permettre aux utilisateurs de modifier leur fiche (upload photo, mise à jour de quelques paramètres), export CSV de l annuaire, constitution de listes d adresses et diffusion de mails à ces listes. Aduneo a développé cette application en Java en s appuyant sur son framework dédié à ce type d application «NeoPage» afin d accélérer les temps de réalisation et de réduire les coûts. NeoPage est une application Java tournant sur un serveur d applications JSP. 04
SECURISATION DES ACCES INFORMATIQUES DE LA SIPLEC Le progiciel «Neopage» d Aduneo apporte de nombreuses fonctions standard d administration et de consultation d annuaire telles que : Accès aux sources d information (annuaires ldap, base de données..) Gestion des accès aux pages Délégation de l administration Disponibilité de composants d interface utilisateur pour : la saisie des critères de recherche l affichage de la liste des résultats et navigation associée l affichage de structures hiérarchiques sous forme d organigrammes navigables l affichage de structures hiérarchiques sous forme d arbres l affichage des champs en lecture comme en modification Cache interne ou externe (memcached) pour l amélioration des performances (en particulier en consultation) Synchro AD/LDAP Oracle L annuaire LDAP Oracle contient des informations redondantes avec l annuaire Active Directory, ce qui entraîne une déperdition de travail de gestion, un risque d incohérence et une faille de sécurité (pas de politique de mot de passe commune). Ce point est en cours d amélioration en mettant en place une solution de synchronisation des comptes et mots de passe entre AD et Oracle Directory Server. Apports de la solution en termes de sécurité L utilisation de l annuaire LDAP comme référentiel d authentification et d habilitation des principales applications a permis d améliorer la sécurité en : réduisant le nombre de référentiels à maintenir et à protéger au sein de l entreprise Simplifiant la gestion des mots de passe pour les utilisateurs rationalisant la gestion des accès aux applications (gestion de profils/groupes dédiés ou accès restreints suivant l appartenance à certaines directions fonctionnelles) Bénéfices d une solution de gestion des IDENTITés Les principaux bénéfices tirés de la mise en place d une solution centrale de gestion des identités sont : Permettre un travail collaboratif efficace à travers des outils évolués de consultation d annuaire (pages blanches, pages jaune, organigramme,..) mais aussi en simplifiant la vie des utilisateurs grâce aux outils d authentification unique (SSO). Améliorer la pertinence de l information contenue dans l annuaire en la saisissant une seule fois et au plus proche de la source. Améliorer la sécurité d accès au système d information grâce à une politique homogène de l authentification, à une gestion précise des habilitations et à des possibilités de traçage et d audit : quand les mots de passe sont différents pour chaque application les utilisateurs les notent près de l écran ou choisissent des mots simples à trouver, en l absence d outils de e-provisioning il est fréquent d oublier de radier d un annuaire le personnel ayant quitté l entreprise, etc. Réduire les coûts de gestion de l identité en réduisant les durées de saisie lors de la création ou de la mise à jour d un compte utilisateur, lors de la réinitialisation de mots de passe oubliés, en déléguant certaines mises à jour aux intéressés euxmêmes ou à des correspondants annuaire. Réduire les coûts de développement informatiques en mutualisant la fonction annuaire et en évitant de redévelopper la même fonction dans chaque application. Présentation ADUNEO Créé il y a 10 ans Aduneo est un acteur spécialisé et reconnu dans le domaine des annuaires et de la gestion des identités. Partenaire de SUN puis Oracle depuis 2001, ADUNEO maîtrise l ensemble des produits de gestion des identités et des accès de l éditeur. Notre équipe de consultants prend en charge les phases d étude et est impliquée dans le suivi de la réalisation. Nos ingénieurs intégrateurs installent et configurent les progiciels, nos ingénieurs en développement assurent la programmation des différentes applications liées à l annuaire : synchronisations, workflow, web service, interfaces de consultation et d administration. Enfin notre équipe de Maintien en condition opérationnelle (MCO) assure l administration au quotidien des annuaires de nos clients et la TMA des développements réalisés. Oracle n est pas responsable des offres, produits ou services proposés par ses partenaires, et rejette toute responsabilité en la matière. ADUNEO Pierre Bergerol Directeur commercial > 01 46 83 84 27 > pierre.bergerol@aduneo.com > aduneo.com 05
SOLUTIONS ORACLE DE PROTECTION DES DONNEES LA PROTECTION DE VOS DONNEES COMMENCE ICI La protection des données ne se limite pas à un simple logiciel antivirus. Elle couvre l organisation et le suivi de vos données les plus sensibles, et la mise en place de processus de sécurité plus simples, plus rapides et plus économiques via l automatisation. L objectif est triple : disponibilité, intégrité et confidentialité. Les technologies Oracle vous aident à atteindre cet objectif, et bien d autres encore.. En fait, elles font de vous en un véritable défenseur des données. Avec Oracle Database 11g, gérez vos données de façon plus simple et économique, et bénéficiez de reporting plus rapide et plus précis. Pour en savoir plus sur les fonctions Oracle Database, visitez le site oracle.com/goto/db11g/fr L éventail des solutions de sécurité Oracle vous aidera à automatiser vos procédures de sécurité, et à réduire vos coûts de protection des données et de mise en conformité. BLOQUEZ LES MENACES AVANT QU ELLES N ATTEIGNENT VOTRE BASE DE DONNEES Oracle Database Firewall constitue la première ligne de défense des bases de données Oracle et non-oracle. Avec cette solution, surveillez l activité de votre base de données sur le réseau pour empêcher les accès non autorisés ou bloquer les injections de code SQL, les usurpations de rôles ou privilèges et les accès illégaux aux données sensibles. VOUS NE POUVEZ PAS VOUS PERMETTRE DE RESTER INACTIF. CHOISISSEZ DES OUTILS ORACLE FACILES ET RAPIDES A INSTALLER, SANS INTERROMPRE L ACTIVITE DE VOTRE ENTREPRISE. > oracle.com/database/security APPLIQUEZ DES REGLES DE SECURITE INTERNES A VOTRE BASE DE DONNEES Avec Oracle Database Vault, vous pouvez maîtriser qui peut accéder aux informations, où, quand et comment. Vous pouvez, par exemple, être certain que les informations relatives à la rémunération ne sont accessibles qu au personnel autorisé. Database Vault offre également une solide plate-forme de gouvernance des données. Vous pouvez aussi protéger vos données au moyen de règles de contrôle d accès reposant sur des facteurs comme l heure, l adresse IP, le nom de l application ou la méthode d authentification, pour éviter tout accès ad hoc non autorisé et contournement applicatif. BLOQUEZ LES UTILISATEURS NON AUTORISES Oracle Advanced Security est une solution de chiffrement complète qui bloque tout accès direct aux informations stockées dans les fichiers de base de données, et instaure une authentification forte des utilisateurs de la base de données. Vous pouvez chiffrer de façon fluide toutes les données de vos applications ou uniquement certaines informations comme les numéros de carte de crédit ou de sécurité sociale, ou les informations personnellement identifiables, tant au sein qu en dehors de la base de données, lors de leur transit sur le réseau ou pour des sauvegardes. Pour en savoir plus, visitez le site oracle.com/goto/rac/fr DES AUDITS EN TEMPS RÉEL DE L ACTIVITÉ DE VOTRE BASE DE DONNÉES Oracle Audit Vault réduit les coûts, la complexité de mise en conformité et les risques de menaces internes en automatisant la collecte et la consolidation des données d audit. Cette solution constitue un entrepôt d audit sécurisé et hautement évolutif simplifiant le reporting, l analyse des données d audit et la détection des menaces sur les données d audit. Par ailleurs, les paramètres d audit de la base de données gérés de façon centralisés et contrôlés depuis Audit Vault favorisent la réduction des coûts de sécurité informatique. Avec Oracle Audit Vault, les organisations sont mieux armées pour mettre en œuvre des politiques de confidentialité, se protéger contre les menaces internes et répondre aux exigences de mise en conformité comme celles des lois Sarbanes-Oxley et PCI. SECURISEZ L ENVIRONNEMENT DE VOTRE BASE DE DONNEES Oracle Configuration Management sécurise l environnement de votre base de données. Vous pouvez organiser votre base de données en groupes de règles, les analyser par rapport à plus de 400 meilleures pratiques et normes du secteur, détecter et prévenir les modifications de configuration de base de données non autorisées, et créer des tableaux de bord de gestion et des rapports de mise en conformité très précieux. 06
Les protecteurs des donnees en action! DES REPONSES A LA SECURITE DES DON- NEES POUR DES RESULTATS CONCRETS en temps réel, basé sur les rôles, aux informations relatives à chaque prisonnier. Oracle Audit Vault a également permis au service de gérer les informations sensibles, d en assurer le reporting et de les partager en toute confidentialité avec les autres organes de justice pénale. Vous trouverez ci-après des exemples d entreprises ayant décidé de relever ce défi et qui sont aujourd hui de véritables protecteurs des données. Le service pénitentiaire d Irlande du Nord (Northern Ireland Prison Service) est chargé de gérer et de réhabiliter près de 1 500 détenus répartis dans trois prisons. Pour améliorer la gestion de ces détenus et répondre aux normes strictes imposées en matière d accès aux données, de protection et de sécurité des informations, ce service a collaboré avec Oracle pour mettre ETES-VOUS PRET? De nombreux autres clients Oracle sont aujourd hui des protecteurs de donnees et en recoltent les fruits. Lisez leurs témoignages : > oracle.com/goto/database/security-customers en place une base de données unique intégrant une suite d outils automatisés. Le nouveau système a permis à plus de 1 500 employés, des directeurs d établissement aux équipes en poste à l entrée principale, de bénéficier d un accès instantané et La fondation Estonian e-health Foundation avait besoin d améliorer les échanges d informations dans le secteur de la santé pour devenir partie intégrante du nouveau système de soins centralisé d Estonie, tout en maintenant la confidentialité des données personnelles des patients, hautement sensibles. A cela s ajoutait la nécessité d une mise en œuvre rapide et sans interruption dans les services aux patients. Oracle Database Vault a constitué la réponse à ses besoins. La fondation a mis en place cette solution pour séparer les responsabilités des activités des services de celles des activités administratives, et a permis aux médecins de bénéficier d un accès national aux dossiers médicaux via des services Web sécurisés. Toutes les données incluses dans les nouveaux systèmes ont été chiffrées à l aide de la solution Oracle Advanced Security, qui a également pris en charge toutes les sauvegardes de base de données. CMC est un leader mondial dans le domaine des produits dérivés en ligne. Avec à peine 1 000 employés mais un chiffre d affaires annuel dépassant les 300 millions de dollars, il était impératif pour cette société de soumettre ses volumes d affaires croissants et les données sensibles afférentes à des dispositifs de sécurité renforcée. Parallèlement aux problèmes de confidentialité des clients, CMC devait se conformer aux réglementations sectorielles qui comprenaient une solide surveillance en termes de sécurité. Devant la nature «en ligne» de l activité, il était important que ces tâches soient automatisées. La solution adoptée comprend donc Oracle Database Vault, Oracle Audit Vault et Oracle Advanced Security. Outre la sécurisation de ses propres données, CMC a été capable de réduire de moitié ses efforts administratifs liés aux cycles d audit tout en renforçant la sécurité en augmentant le nombre de points de contrôle en matière d accès aux données. 07
SOUS LE FEU DES PROJECTEURS LA SECURITE DES BASES DE DONNEES COMMENCE ICI Oracle Database 11g offre sécurité, évolutivité, fiabilité et performances inégalées au travers d un large choix de serveurs uniques ou en cluster exécutant Windows, Linux ou UNIX. Cette solution se remarque par des fonctions complètes permettant de gérer aisément les applications les plus exigeantes en termes de traitement transactionnel, business intelligence et gestion des contenus. Première solution de base de données au monde, Oracle Database 11g Release 2 Enterprise Edition est livrée avec un large éventail d options de sécurité des données qui aideront votre entreprise à croître et répondre à ses besoins en termes de performances, de sécurité et de disponibilité. Bénéficiez d outils et de ressources démontrant les avantages que les options de la solution Oracle Data Security peuvent conférer à votre entreprise. Demandez votre kit de ressources GRATUIT et découvrez-en plus sur les mises à niveau Oracle Database En savoir plus sur Oracle Security Options > oracle.com/goto/ security-options/fr SECURITY OPTIONS La base de données est au cœur de la sécurité des données > oracle.com/goto/db11g/fr DATABASE Pour en savoir plus, appelez le : 0800 905 805 E-mail : ic-france_ww@oracle.com > oracle.com/fr/pme CONTACTEZ-NOUS Copyright 2011, Oracle et/ou ses filiales. Tous droits réservés. Oracle et Java sont des marques déposées d Oracle et/ou de ses filiales. Les autores noms cités peuvent être des marques appartenant à leurs propriétaires respectifs. Ce document est uniquement fourni à titre d information et son contenu peut être modifié à tout moment sans notification prèalable. Ce document n est pas garanti sans erreur, il ne fait l objet d une garantie d aucune sorte, pas même exprimée oralement ou induite légalement. Sont également exclues toutes garanties de commercialisation ou d adaptation à un usage particulier. Nous rejetons explicitement toute responsabilité quant au respect du contenu de ce document, et aucune obligation contractuelle ne saurait être formée directement ou indirectement par ce document. Ce document ne peut être reproduit ou transmis sous quelque forme que ce soit ni par quelaue moyen que ce soit, électronique ou mécanique, quel qu`en soit l usage, sans notre accord écrit préalable. Oracle s engage à développer des pratiques et des produits contribuant à protéger l environnement Ce magazine a été imprimé sur du papier recyclé à partir d encres végétales.