Technologie de coffre-fort numérique breveté

Technologie : Coffre-fort numérique breveté de Cyber-Ark

Le défi

Aujourd'hui, de nombreuses entreprises continuent à déverser des millions de dollars dans des solutions de sécurité traditionnelles basées sur le périmètre qui n'offrent qu'une protection limitée. Les brèches de sécurité et leur impact financier ne cessent d'augmenter. Selon les statistiques, plus de 70 % des brèches de réseau proviennent de l'intérieur. Au lieu d'essayer de protéger chaque pan du réseau d'une entreprise, les solutions de coffre-fort de Cyber-Ark créent des zones sécurisées distinctes pour le stockage, la protection et le partage des informations d'entreprise les plus critiques. Les produits de Cyber-Ark fournissent tous les éléments requis pour protéger et partager les informations au sein de l'entreprise.

La solution

L'approche de Cyber-Ark ressemble à celle du coffre-fort physique d'une banque. Nous créons un coffre-fort électronique – une sorte de sanctuaire – sur le réseau. Quels que soient le réseau global ou la sécurité environnants, ce sanctuaire est extrêmement sécurisé. En même temps, l'approche unique de Cyber-Ark rend ces informations plus accessibles en supprimant le compromis traditionnel entre accessibilité et sécurité.

Le coffre-fort numérique breveté de Cyber-Ark protège les données en utilisant plusieurs couches de sécurité incluant le pare-feu, le contrôle d'accès aux données et le chiffrement de bout en bout.

En outre, le coffre-fort fournit plusieurs couches de sécurité conventionnelles et bien connues telles que le VPN, le contrôle d'accès aux fichiers, le chiffrement, l'authentification et le pare-feu. Cyber-Ark assure également une sécurité visuelle, manuelle (double commande) et géographique pour compléter ces couches. Chaque couche est totalement intégrée aux autres couches. Elle connaît parfaitement leur fonctionnement, ce qui rend chaque implémentation unique. Par nature, les couches n'interagissent pas d'elles-mêmes avec d'autres systèmes, ce qui augmente la sécurité générale d'un coffre-fort. En outre, certaines couches sont conçues de manière unique pour améliorer les performances et la sécurité. Cette implémentation brevetée ne nécessite aucune gestion distincte, et ainsi sa nature exclusive ne pose aucun problème d'intégration au sein de l'entreprise. Des fonctions supplémentaires sont répertoriées ci-dessous…

• Pare-feu et isolation code-données : Le coffre-fort numérique se trouve sur un ordinateur dédié, où il est le seul logiciel installé. Le pare-feu du coffre-fort numérique n'accepte que le protocole du coffre-fort qui entre et sort de cet ordinateur. Il s'agit du seul moyen pour le coffre-fort numérique d'assurer un contrôle total des informations stockées en son sein. Les données présentes dans le coffre-fort numérique n'étant jamais manipulées ni exécutées, il n'y a plus de problème de sécurité lié aux données elles-mêmes. Cette méthode d'isolation code-données crée un environnement stérile par-dessus lequel il est possible de créer d'autres couches de sécurité.
• Authentification : Chaque connexion au coffre-fort numérique doit être authentifiée. Il utilise un protocole d'authentification bidirectionnel ultra-fiable par stimulation et réponse (SRP). Les utilisateurs peuvent être authentifiés à l'aide de mots de passe, de jetons RSA SecurID ou USB (par exemple Aladdin), de transactions RADIUS ou de certificats numériques PKI.
• Contrôle d'accès : Dès que l'authentification réussit, les utilisateurs sont soumis au mécanisme de contrôle d'accès du coffre-fort numérique. Celui-ci est segmenté en compartiments, et chaque utilisateur n'a connaissance que des compartiments auxquels il est autorisé à accéder. Les utilisateurs peuvent posséder des droits différents pour chaque compartiment (par exemple audit, lecture, écriture, contrôle, etc.).
• VPN et chiffrement des données : Dans le cadre du processus d'authentification, le coffre-fort numérique crée une session chiffrée dans laquelle chaque transaction utilisateur et chaque réponse du serveur sont également chiffrées. Les fichiers sont chiffrés à l'aide d'un chiffrement symétrique avec gestion interne des clés lors de leur stockage dans le coffre-fort numérique ainsi que lors de leur transmission. Lorsqu'un fichier est stocké sur le serveur, une clé de chiffrement unique est générée. Ce schéma de gestion automatique des clés rend le chiffrement complètement transparent pour l'utilisateur final et ne nécessite aucune intervention de l'administrateur.
• Inspection du contenu : Les fichiers placés dans le coffre-fort numérique peuvent éventuellement se voir retirer du code, par exemple une macro Microsoft Office, un script de messagerie VB ou un authentique exécutable. Cette approche en « noir et blanc » garantit que les fichiers stockés et partagés ne comportent jamais de virus.
• Sauvegarde et contrôle de version sécurisés : Puisque les données sont chiffrées avant d'être stockées dans le coffre-fort numérique, les sauvegardes le sont également. En outre, lorsque les fichiers sont placés dans le coffre-fort numérique, une nouvelle version est créée à chaque fois et les informations existantes ne sont jamais remplacées. Cela assure une protection contre toute corruption de données – intentionnelle ou non – ainsi qu'un mécanisme de contrôle de version qui permet aux utilisateurs de revenir aux versions antérieures et/ou de les consulter.
• Sécurité visuelle : La sécurité visuelle permet aux utilisateurs finaux de recevoir des indications visuelles signalant un accès ou une mise à jour des informations qu'ils ont placées dans le coffre-fort numérique. Les objets se trouvant à l'intérieur du coffre-fort sont marqués en bleu, rouge et vert, respectivement pour indiquer si quelqu'un a accédé, mis à jour ou ajouté un fichier dans le compartiment.
• Sécurité manuelle : La technologie de sécurité manuelle impose des limites qui offrent un contrôle final sur l'accès aux données, notamment :
  1. Double commande – Une double confirmation peut être requise pour ouvrir certains compartiments à l'intérieur d'un coffre-fort, tout comme deux clés sont obligatoires pour ouvrir un coffre dans une banque. Si quelqu'un essaie d'ouvrir un compartiment de ce type, une demande d'autorisation est envoyée au(x) superviseur(s) du compartiment. Celui-ci n'est ouvert qu'après la confirmation d'accès.
  2. Temporisation - Un mécanisme unique permet de retarder l'ouverture d'un compartiment pendant un délai prédéfini, ce qui laisse aux superviseurs le temps d'empêcher les accès indésirables.
  3. Limites de temps – Il est possible de définir un compartiment pour que l'accès soit autorisé uniquement à certaines périodes, par exemple pendant les heures de fonctionnement.
• Sécurité géographique : Le coffre-fort numérique peut limiter l'accès aux compartiments à certains emplacements du réseau. De la même manière, les utilisateurs peuvent être autorisés à n'ouvrir une session que depuis des endroits spécifiques. Ainsi, les rapports d'évaluation de la sécurité, par exemple, peuvent n'être accessibles que depuis certaines salles et pas depuis le reste du bâtiment.