Date de parution
La défense en profondeur
La sécurité de l’information en entreprise c’est une suite de processus et de solutions complémentaires orchestrés afin d’assurer la disponibilité, l’intégrité et la confidentialité des données. Pour se faire, il existe différentes approches et stratégies, autant défensives qu’offensives.
Qu’est-ce que la défense en profondeur ?
La défense en profondeur est une stratégie qui trouve ses origines dans une technique militaire visant à ralentir l’ennemi dans sa progression. Son objectif est de réduire le risque que les dommages s’étendent à l’ensemble du périmètre à protéger. En d’autres mots, chaque élément qui compose une défense en profondeur vise à empêcher la progression d’une attaque ou d’une tentative de compromission.
En sécurité de l’information, on illustre souvent le concept de la défense en profondeur en prenant l’analogie de l’oignon dont chaque couche vise à protéger celle qui est en dessous.
Voici les différentes strates de protection qui composent une défense en profondeur basée sur les meilleures pratiques.
↓ Gestion de la sécurité physique
La sécurité physique fait référence aux mesures que votre organisation met en place pour protéger ses actifs en prévenant, entre autres, l’accès non autorisé à vos installations et vos équipements responsables du stockage et du traitement de vos données. Elle peut inclure :
- Protection des locaux : Clôture, portail d’entrée, gardien, caméras de surveillance…
- Contrôle des accès : Cartes d’identité, code d’accès, biométrie…
- Gestion des équipements : Verrouillage physique, marquage, limitations d’accès additionnelles…
- Destruction sécurisée : Déchiqueteuse de documents, broyeurs de disques durs, services de destruction professionnels…
Ici, vous gérez essentiellement qui peut accéder à vos édifices et vous vous assurez que ce qui pourrait y être dérobé (documents, supports numériques) soit inutilisable. Toutefois, ces dispositifs ne peuvent rien faire pour vous protéger quand les gens sont à l’intérieur.
↓ Gestion des accès et des identités
Vos données d’entreprise doivent demeurer disponibles partout et en tout temps et n’être accessibles et modifiables que par les personnes autorisées. Pour ce faire, la gestion des identités et des accès sera votre outil de prédilection grâce, entre autres, à l’authentification unique, l’authentification multifacteur et l’accès conditionnel.
Ces trois composantes fonctionnent de façon coordonnée afin que vos usagers ne s’authentifient qu’une seule fois grâce à une information qu’ils connaissent, soit la combinaison de leur nom d’usager et mot de passe (authentification unique) qu’ils confirmeront ensuite via quelque chose qu’ils possèdent comme leur téléphone (authentification multifacteur). L’accès conditionnel, lui, analysera le contexte de cette demande d’accès pour confirmer si elle répond aux critères déterminés.
Pour en apprendre davantage sur ces solutions et leurs caractéristiques, vous pouvez consultez notre page sur la gestion des accès et des identités.
↓ Gestion du périmètre et du réseau
Ici, il est question de votre périmètre numérique et non physique; autant votre environnement interne, en vos mûrs, que ceux gérer à l’externe comme votre cloud par exemple. La gestion du périmètre vise à restreindre ce qui entre et ce qui sort de celui-ci. Tout comme pour votre périmètre physique, vous contrôlez ici ceux qui peuvent passer mais pas ce qu’ils vont faire.
En complément à la gestion du périmètre qui ne s’occupe que des « portes d’accès numériques », la gestion du réseau pour sa part, paramètre et suit les mouvements à l’intérieur de celui-ci. C’est ici qu’entre en jeu la configuration des routeurs, commutateurs et pare-feux, les systèmes de détection des intrusions, la surveillance réseau et la gestion des vulnérabilités.
Vous pouvez maximiser la portée de votre gestion du périmètre et du réseau avec la mise en place de la confiance nulle (zero trust) qui vérifie continuellement ce que font vos usagers, s’assure qu’ils ont les privilèges requis et que leurs activités respectent les règles établies. Voyez cela comme un agent de sécurité qui suit à la trace, surveille et valide tous les faits et gestes.
↓ Gestion des applications
La gestion des applications se concentre sur la protection de celles-ci contre les menaces et les vulnérabilités qui pourraient être exploitées. Elle vise à identifier, prévenir, détecter et corriger les failles de sécurité dans les applications pour garantir leur intégrité, leur confidentialité et leur disponibilité.
Voici quelques aspects clés de la gestion des applications et de leur sécurisation :
- Identifier les vulnérabilités potentielles en effectuant des évaluations de sécurité, des tests d’intrusion, et des revues de code.
- Mettre en place des pratiques de développement sécurisé, telles que l’utilisation de bibliothèques et de cadres référentiels éprouvés.
- S’assurer que les utilisateurs et les systèmes n’accèdent qu’aux ressources et aux fonctionnalités appropriées, en utilisant des contrôles d’authentification et d’autorisation solides.
- Chiffrer les données sensibles en dormance et en transit pour prévenir les fuites d’informations.
- Surveiller les applications en permanence pour détecter les activités suspectes.
- Effectuer régulièrement des mises à jour avec les derniers correctifs de sécurité pour combler les failles découvertes.
En intégrant ces pratiques de sécurité dès la phase de développement jusqu’à la maintenance continue, la gestion des applications vient renforcer la sécurité globale de vos systèmes et minimiser les risques de compromissions.
Ce que vous devez retenir
Afin de bien évaluer votre posture en matière de sécurité de l’information et votre niveau de maturité concernant la défense en profondeur, n’hésitez pas à consulter des professionnels qui pourront jeter un regard neutre et critique sur vos façons de faire actuelles et qui seront en mesure de vous orienter vers l’approche la plus appropriée pour votre organisation.
Lors d’un récent webinaire avec l’équipe d’ITI, Jean Philippe Poulin,
architecte de solutions, est venu expliquer la défense en profondeur dans Azure.
Pour réentendre ses explications, voici l’enregistrement.
