Aujourd'hui plus que jamais, les équipes chargées de la technologie et de la conformité doivent travailler ensemble pour protéger l'intégrité de leurs organisations. Les informations sensibles sont stockées et transférées sous forme numérique et les réglementations associées deviennent de plus en plus strictes et complexes. Alors que la conformité est responsable de l'identification des réglementations relatives à la sécurité de l'information, les équipes technologiques doivent identifier et mettre en œuvre les solutions les plus solides pour se conformer à ces réglementations.
Active Directory est une application essentielle au maintien de la conformité, car elle offre un aperçu des activités et des politiques informatiques d’une organisation ; elle doit donc être protégée afin de préserver l’intégrité de l’entreprise et sa conformité. Toute entreprise traitant des données clients sensibles, telles que des dossiers financiers ou médicaux, doit garantir la sécurité de son environnement Active Directory et réaliser des audits réguliers afin de détecter les risques liés à la sécurité de l'information. En l'absence de surveillance active, les comptes utilisateurs inactifs et les contrôles insuffisants concernant les accès administratifs constituent autant de menaces pour la sécurité d'Active Directory et exposent les organisations à un risque de non-conformité.
Conformité en matière de sécurité de l'information
Les réglementations, telles que SOX et HIPAA, ont été créées pour protéger les consommateurs et les actionnaires, obligeant les organisations à vérifier Active Directory pour détecter tout comportement suspect, à protéger les enregistrements numériques contre les abus et à sécuriser les informations privées des clients. Bien que la réglementation spécifique puisse varier d'un secteur à l'autre, la règle générale est la même : établir des procédures et des contrôles qui sécurisent les informations sensibles de votre entreprise. Avec autant de lois à respecter, il est difficile de savoir quelles réglementations s'appliquent à votre entreprise. Nous avons donc décrypté les acronymes des réglementations afin de rendre la conformité un peu plus facile à suivre.
SOX : « S » comme « actionnaire » - La loi Sarbanes-Oxley (SOX) impose à toute société cotée en bourse de mettre en place des procédures visant à protéger ses documents financiers contre la destruction, la perte et l'utilisation abusive, afin de protéger ses actionnaires et de réduire les risques de fraude d'entreprise. La loi SOX impose également à la société de faire auditer ces contrôles et d'en rendre compte.
PCI : P comme « Paiements » - La norme PCI DSS (Payment Card Industry Data Security Standard) stipule que toute entreprise acceptant les paiements par carte, qu'il s'agisse de stocker, de traiter ou de transmettre les données des titulaires de carte, doit héberger ces données en toute sécurité auprès d'un hébergeur conforme à la norme PCI. Pour être conforme à la norme PCI, vous devez surveiller tous les accès aux ressources réseau, tester régulièrement les systèmes de sécurité et mettre en place une politique de sécurité de l'information.
GLBA : « GL » signifie « Gives Loans » (accorde des prêts) – La loi Gramm-Leach-Bliley (GLBA), également connue sous le nom de « Loi sur la modernisation financière de 1999 », régit la manière dont les établissements financiers traitent les informations personnelles de leurs clients. La « règle relative aux mesures de protection » (Safeguards Rule ) de la GLBA impose à tous les établissements financiers de mettre en place, d'appliquer et de maintenir des mesures de protection visant à préserver les informations des clients. En vertu de cette règle, les établissements financiers doivent identifier les risques opérationnels pesant sur les données des clients, mettre en œuvre un programme de sécurité de l'information et procéder régulièrement à des audits du programme de mesures de protection.
HIPAA : H comme « Health » (santé) – La loi HIPAA ( Health Insurance Portability and Accountability Act), initialement créée pour protéger la couverture santé des personnes perdant leur emploi ou changeant de poste, est aujourd’hui devenue un ensemble de normes visant à sécuriser les données des patients. La loi HIPAA impose à toute entreprise traitant des informations de santé protégées (PHI) de mettre en œuvre et de respecter des mesures de sécurité physiques, réseau et procédurales. Les informations de santé protégées transmises par voie électronique, ou e-PHI, sont protégées par la règle de sécurité de la loi HIPAA, et les organisations doivent sécuriser ces informations en identifiant les menaces et en s'en prémunissant.
FISMA : le « F » signifie « gouvernement fédéral » - La loi fédérale sur la gestion de la sécurité de l'information (FISMA) a été adoptée par le ministère de la Sécurité intérieure afin de protéger les informations, les opérations et les actifs du gouvernement contre toutes les menaces, qu'elles soient d'origine naturelle ou humaine. Elle stipule également que les agences gouvernementales doivent mettre en place des outils permettant d'auditer leurs programmes de sécurité de l'information, de tester leurs procédures de sécurité et de réaliser des évaluations périodiques des risques.
Audit et conformité de l'Active Directory
Quel que soit le secteur d'activité, ces réglementations obligent les entreprises à surveiller leur environnement informatique afin de détecter les menaces potentielles et d'y remédier. L'Active Directory State Manager (ADSM) de Semperis aide les entreprises à maintenir leur conformité grâce à des audits et des rapports en temps réel sur les lacunes potentielles, notamment :
- Audit des modifications apportées à Active Directory - Les audits gouvernementaux exigent des organisations qu'elles sachent quelles modifications sont apportées et qui les effectue.
- Identification des comptes activés inactifs - Les comptes périmés et inutilisés représentent un risque pour la sécurité d'Active Directory, car ils peuvent être exploités et utilisés comme vecteurs d'intrusion.
- Suivi des comptes d'utilisateurs sensibles et privilégiés - Le suivi des modifications apportées aux comptes d'utilisateurs sensibles et privilégiés vous permet de vous assurer que votre entreprise respecte les politiques de sécurité de l'information mises en œuvre dans le cadre des réglementations en matière de sécurité de l'information.
La plupart de ces réglementations en matière de sécurité de l'information ont été créées à la suite de la crise financière et des scandales d'entreprises qui ont eu lieu au début du siècle. Avec l'augmentation de la fréquence et de l'ampleur des cyberattaques, et à la lumière des violations majeures survenues l'année dernière, les organisations sont devenues plus sensibles aux questions de cybersécurité. De nouvelles réglementations sont mises en place pour s'assurer que les entreprises mettent en place des mesures de cybersécurité afin de protéger les données sensibles contre les violations de données. Pour prendre de l'avance, il est essentiel de commencer à auditer activement Active Directory, de se protéger contre les menaces et d'y remédier.
