Automatiser et gérer la conformité IT dans le cadre de la réduction des coûts et de la complexité Présentation Symantec Control Compliance Suite automatise les principaux processus de conformité informatique. Cette solution aide les entreprises à suivre les mandats externes par la création et la diffusion de politiques écrites, le suivi des acceptations et la gestion des exceptions. De plus, elle permet de démontrer la conformité aux politiques externes et internes en automatisant l'évaluation des contrôles techniques et des procédures. Des preuves de conformité peuvent être réunies, sans nécessairement faire appel à un agent, sur les configurations, les autorisations, les correctifs, les vulnérabilités et la validation manuelle du déroulement des procédures. Symantec Control Compliance Suite aide également à corriger les écarts par rapport aux standards définis en déclenchant automatiquement des actions correctives propres ou au travers de solutions tierces de workflow. Nécessité d'automatiser les processus de conformité informatique Aujourd'hui, l'application des règles de gouvernance et de mise en conformité informatiques est rendue encore plus difficile par de multiples problèmes de sécurité et par la nécessité d'être en conformité avec divers mandats externes. Des études récentes indiquent que les entreprises qui investissent dans des solutions ponctuelles pour chaque mandat de conformité dépensent beaucoup plus pour la conformité informatique que celles qui développent une solution unique capable de gérer plusieurs mandats. La méthode la plus efficace pour un haut niveau de conformité consiste à effectuer des mesures fréquentes des contrôles, des politiques et des résultats des audits informatiques. Les entreprises à l'avant-garde dans ce domaine effectuent une surveillance, des mesures et des rapports sur ces éléments toutes les 3 semaines. Elles mènent des audits internes et suivent les événements ayant un impact sur la sécurité informatique huit fois plus souvent que les autres entreprises. 1 Hors, la majorité des coûts associés à la mise en place d un haut niveau de conformité est due à des processus souvent répétitifs et consommateurs de temps : la création, la définition et la diffusion des politiques ; le suivi des exceptions ; la gestion des standards et des allocations ; la remédiation des écarts ; l évaluation des procédures et des process techniques. Ainsi, le besoin critique des entreprises est souvent de trouver un moyen plus efficace d'effectuer ces processus coûteux. Les entreprises se débattent non seulement pour maintenir un niveau de conformité efficace mais également pour identifier les politiques et les normes à mettre en place pour y arriver. Une entreprise est un environnement complexe et hétérogène, qui comporte une grande variété de plates-formes et d'objectifs de contrôle. L'identification de ce qui est nécessaire pour atteindre un niveau de conformité informatique efficace exige une vaste connaissance des règles, des cadres référentiels et des pratiques inhérents à ce domaine. 1. Amélioration de la conformité informatique : Etude comparative sur la conformité informatique, 2006 Page 1 sur 6
Symantec Control Compliance Suite Symantec Control Compliance Suite est un ensemble intégré de technologies qui facilite l'exécution des processus clés nécessaires pour instaurer et maintenir la conformité informatique. En réunissant ces technologies dans une solution unique, il facilite le processus de mise en conformité et en diminue le coût pour les clients. Module Policy Le module Policy aide à définir les politiques et à les aligner sur des pratiques d'excellence, des cadres référentiels et des règles de travail. Il identifie les doublons en matière d'objectifs de contrôle afin de réduire les tâches d'évaluation effectuées inutilement. Il automatise également la diffusion de politiques écrites au sein de l'entreprise, et surveille leur acceptation par les utilisateurs ainsi que les demandes d'exception. Le module Policy collecte les preuves de conformité par rapport aux objectifs de contrôle via l'intégration avec d'autres composants de Symantec Control Compliance Suite qui fournissent des évaluations techniques et des évaluations de procédures. Le résultat : des analyses et des rapports détaillés sur les procédures de mise en conformité. Ce module est fourni avec plus de 125 exemples et modèles de politiques, et est entièrement et très facilement personnalisable. Figure 1. Module Policy Analyse des tendances Module Entitlement Le module Entitlement regroupe les autorisations effectives d'accès aux données dans l'entreprise, convertit ces autorisations dans un format lisible, gère les classifications et transfère les informations aux responsables de l'entreprise pour l'approbation des droits d'accès. Les approbations de droits font l'objet d'un suivi et d'une classification par niveau à des fins d'analyse et d'audit mais également de preuve de contrôle. Figure 2. Recherche et configuration des points de contrôle des droits Page 2 sur 6
Module Response Assessment Le module Response Assessment automatise l'évaluation des contrôles non programmés. Ceux-ci constituent l'essentiel des objectifs décrits dans les règles/cadres référentiels. Les entreprises utilisent souvent des évaluations écrites, mais celles-ci sont coûteuses et difficiles à gérer. Le module Response Assessment gère le processus d'évaluation manuelle, de la création et de la diffusion des questionnaires jusqu'à l'analyse des réponses. Il s'intègre avec Symantec Control Compliance Suite pour fournir une vue globale à la fois des contrôles techniques et des contrôles des procédures, et couvre ainsi toutes les politiques. Figure 3. Evaluation des contrôles techniques et reporting Spécifications techniques Plates-formes prises en charge avec le module Standards Module Standards Le module Standards automatise la gestion des écarts par rapport aux normes techniques et permet de corriger les erreurs de configuration. Il fournit des standards techniques pré-intégrés qui définissent finement des pratiques d'excellence pour la sécurisation des serveurs et des bases de données. Les tendances par rapport au respect de la conformité à ces standards sont également indiquées. Le module Standards de Symantec Control Compliance Suite fournit également des instructions détaillées pour la correction des écarts et s'intègre avec les systèmes de gestion d incident pour empêcher toute modification sans autorisation adéquate. Page 3 sur 6
Fonctionnalités et avantages clés Module Policy Définition et gestion des politiques écrites Instructions pour la conformité aux exigences des lois et normes Sarbanes-Oxley, PCI DSS, FISMA, HIPAA, GLBA, Bâle II et NERC. Cadre référentiel pour la conformité aux normes ISO 17799, COBIT (v3 et v4) et NIST SP800-53 Exemples et modèles de politiques pour base de travail de mise en conformité informatique Diffusion des politiques et suivi des acceptations Cible les groupes d'utilisateurs destinataires des politiques Journalise toutes les acceptations pour utilisation dans des rapports et des audits Revue et approbation des exceptions par les responsables des procédures et indication des dates d'expiration Mise en correspondance des politiques avec les réglementations ou les cadres référentiels Rapport de conformité aux diverses réglementations Démonstration de la conformité aux politiques à partir de données techniques et de procédures Collecte et démonstration des preuves de conformité aux objectifs de contrôle Guides de pratiques d'excellence qui transposent des réglementations non documentées en politiques concrètes Analyse les risques via un index des risques d'impact (incluant comme attributs la confidentialité, l'intégrité et la disponibilité) Alignement des preuves de conformité sur les points de contrôle pour améliorer la traçabilité entre les preuves et les cadres référentiels/réglementations Module Entitlement Regroupement des autorisations effectives Prise en charge multi plates-formes (Windows, UNIX, Linux et Novell ) Détection automatisée des points de contrôle en fonction des fichiers/répertoires/groupes Rapport sur les autorisations effectives Retranscription des autorisations dans un format lisible et exploitable Recherche rapide des privilèges Organisation des tâches pour une gestion des droits efficace Affecte des responsables de service aux données opérationnelles Transmet les droits aux responsables des données pour revue et approbation Effectue périodiquement des cycles de revue et d'approbation des droits Définit des classifications d'administration Permet aux responsables des services de communiquer efficacement avec le département informatique lorsque des modifications sont nécessaires Page 4 sur 6
Module Response Assessment Création et diffusion de questionnaires Evalue, stocke et notifie les réponses dans le cadre du contrôle des procédures Contenu prêt à l'emploi basé sur les normes et les cadres référentiels les plus courants : BS 7799, COBIT, COSO, CSC, C-TPAP, HIPAA, FAA, FERPA, FFIEC, FISMA, GLBA, ISO 14001, ISO 27001, ISO 27799, ISO 20858, ITIL, MDA, OHSAS 18001, ONR 17700, PCI, NERC, NIST et SOX Possibilité de créer rapidement des questionnaires personnalisés Questions d'évaluation multi-branches Prise en charge de nombreux types de réponses (bouton de vote, forme libre, cases à cocher) Déploiement et évolutivité via des services Web Reporting des réponses Conserve les questionnaires incomplets pour permettre la saisie ultérieure de réponses Pondère les questions et les réponses par rapport aux risques Donne des exercices de type quizz aux utilisateurs et les certifie Module Standards Création ou sélection de normes techniques Prise en charge étendue de plates-formes hétérogènes pour une meilleure couverture de l'entreprise (voir tableau des spécifications techniques) Fournit les textes des lois et réglementations (Sarbanes- Oxley, FISMA, HIPAA, GLBA, Bâle II) et cadres référentiels (ISO 17799, COBIT et NIST SP800-53) Inclut des pratiques d'excellence de vérification basées sur des études CIS (Center for Internet Security Standards), NSA (National Security Agency) et les données des experts Symantec en matière de sécurité Evaluation des contrôles Technologie sans agent facilitant le déploiement et la maintenance Planification des tâches pour réduire le coût des évaluations techniques redondantes et fréquentes Scanner Internet intégré pour une vue globale de l'évaluation des vulnérabilités Tableau de bord permettant de créer des vues personnalisables du niveau de conformité Détection des écarts Rapports sur les scores positifs/négatifs par rapport aux standards pour une vue globale du niveau de sécurité et de conformité Gestion des exceptions par rapport aux vérifications techniques, revues et approbations, prise en compte automatique des exceptions dans les rapports Correction des écarts Intégration avec le système de gestion d'incident existant pour le contrôle des modifications Configurations requises Configuration matérielle serveur/portail web/ base de données Processeur 3,0 GHz Page 5 sur 6
1 Go de RAM 1 Go d'espace disque Résolution d'écran de 1024 x 768 pixels ou supérieure Microsoft Windows 2000, Windows Server 2003, Windows XP ou supérieur Microsoft.NET Framework 2.0 Configuration matérielle des clients Processeur 1,2 GHz 512 Mo de RAM Résolution d'écran de 1024 x 768 pixels ou supérieure Microsoft Windows 2000, Windows Server 2003, Windows XP ou supérieur Témoignages Information Security Magazine, prix Readers Choice 2007 Livre blanc IDC : «Optimizing Your IT Controls Environment for Compliance with Multiple Regulations», Charles Kolodgy, décembre 2005 Meilleure solution de surveillance des politiques : Prix Well-Connected de Network Computing en 2004 Pour en savoir plus Rendez-vous sur notre site Web : www.symantec.com/fr Contacter un spécialiste produit Pour connaître les coordonnées des bureaux dans un pays spécifique, visitez notre site Web. A propos de Symantec Symantec est le leader mondial des solutions de gestion de la sécurité, du stockage et des systèmes d information. Il aide ainsi les professionnels et particuliers à protéger et gérer efficacement leurs données. Basé à Cupertino en Californie, Symantec est présent dans plus de 40 pays. Pour en savoir plus, rendez-vous sur le site www.symantec.com/fr. Symantec Dublin Ballycoolin Business Park Blanchardstown Dublin 15 Ireland Phone: +353 1 803 5400 Fax: +353 1 820 4055 Meilleure solution de gestion des politiques : Prix de SC Magazine en 2004 Prix Editor s Choice de Network Computing en 2003 Copyright 2008 Symantec Corporation. Tous droits réservés. Symantec et le logo Symantec sont des marques commerciales ou des marques déposées de Symantec Corporation ou de ses filiales aux Etats- Unis et dans d'autres pays. Les autres noms peuvent être des marques commerciales de leurs détenteurs respectifs. Toutes les informations produit peuvent faire l'objet de modifications sans préavis. Page 6 sur 6