Qu’est-ce que la conformité cloud ?
La conformité au cloud est l’ensemble des procédures, des contrôles et des mesures organisationnelles que vous devez mettre en place pour vous assurer que vos actifs basés sur le cloud répondent aux exigences des réglementations en matière de protection des données. Normeset les cadres qui sont pertinents pour votre organisation.
Les exigences réglementaires elles-mêmes sont généralement les mêmes, que vous hébergez vos données sur site ou dans le cloud. Cependant, ces deux environnements sont complètement différents l’un de l’autre et, par conséquent, les mesures que vous devez prendre pour répondre à ces exigences sont également complètement différentes. Cela est dû à la nature dynamique et plus complexe du cloud, qui nécessite une approche nouvelle et différente de la gouvernance des données.
En plus de cela, il'Il est important de garder à l’esprit que la conformité au cloud est une discipline distincte de la cybersécurité. La conformité est un exercice de cochage de cases, tandis que la cybersécurité est la mise en œuvre de mesures organisationnelles et Contrôles techniques qui sont spécifiques à votre propre organisation, aux données qu’elle stocke et traite, et aux technologies qu’elle utilise.
De plus, la conformité a souvent une portée beaucoup plus large. Par exemple, la cybersécurité n’est qu’une composante de la Règlement général sur la protection des données (RGPD), qui comprend une série d’autres dispositions, telles que les droits des personnes concernées et les limitations sur ce que vous faites de leurs données et sur la durée pendant laquelle vous pouvez les conserver.
Compte tenu du large éventail de lois et de normes différentes en matière de protection des données qui s’appliquent aujourd’hui'Les organisations axées sur les données et les nouveaux défis en matière de protection des données que présente le passage au cloud, l’importance de la conformité au cloud est devenue plus importante que jamais.
Qui est responsable de la conformité du cloud ?
Lorsque vous hébergez vos workloads dans votre centre de données local, vous êtes responsable de pratiquement tous les aspects de la sécurité et de la conformité. Mais dans le cloud, c’est'C’est une toute autre histoire, car vous déléguez une partie de cette responsabilité au fournisseur de cloud.
En d’autres termes, la conformité du cloud est une responsabilité partagée. Mais qui est exactement responsable de quoi ?
Pour aider les clients à comprendre la démarcation entre les responsabilités, chacun des principaux fournisseurs de services cloud (CSP) fournit un ensemble de directives, connues sous le nom de Modèle de responsabilité partagée. Ceux-ci sont dans l’ensemble très similaires, où le :
CSP'Les responsabilités de l' la sécurité de ses centres de données, de son infrastructure informatique, de ses hyperviseurs et de ses systèmes d’exploitation hôtes, ainsi que la tâche d’assurer la disponibilité et la fiabilité des services qu’elle fournit à ses clients.
Client'Les responsabilités de l'la configuration des services cloud qu’il utilise, ainsi que la sécurité et la conformité des systèmes d’exploitation invités et des applications qu’il héberge sur le fournisseur'plate-forme de l’entreprise.
Gouvernance du cloud
Gouvernance du cloud et la conformité au cloud font partie intégrante de la gestion efficace des ressources cloud. La gouvernance du cloud englobe l’établissement de politiques, de procédures et de contrôles pour aligner l’utilisation des services cloud sur une organisation', d’assurer la conformité réglementaire et de respecter les meilleures pratiques. Il implique l’élaboration et la mise en œuvre de directives pour l’utilisation des ressources cloud, en mettant l’accent sur la surveillance et l’audit pour garantir le respect continu des normes établies.
D’autre part, la conformité du cloud se concentre spécifiquement sur le respect des exigences légales, réglementaires et sectorielles spécifiques à l’environnement cloud. Il s’agit d’aborder des domaines tels que la sécurité des données, la confidentialité, les obligations réglementaires et la conformité aux accords de niveau de service (SLA) avec les fournisseurs de services cloud.
La relation entre la gouvernance du cloud et la conformité réside dans leur alignement, car les cadres de gouvernance incluent souvent des politiques qui répondent directement aux besoins de conformité, et les mécanismes de gouvernance appliquent ces politiques pour garantir le respect des normes et réglementations externes. Les efforts de gouvernance et de conformité contribuent à une gestion efficace des risques dans l’environnement cloud, en mettant l’accent sur l’identification et l’atténuation des problèmes potentiels.
Règlement
Ci-dessous, nous couvrons les réglementations et cadres de conformité cloud les plus importants, notamment :
Règlement général sur la protection des données (RGPD)
Une loi sur la confidentialité des données conçue pour protéger les données personnelles des citoyens de l’Espace économique européen (EEE). Le RGPD couvre toute personne résidant dans les limites territoriales de l’UE, ainsi que de la Norvège, de l’Islande et du Liechtenstein, au moment de la collecte des données.
Bien que le RGPD soit une législation européenne, il n’en reste pas moins d’une portée territoriale mondiale. C’est parce qu’il s’applique à quelconque organisation qui sert les résidents de l’EEE ou traite leurs données dans le cadre de ses activités commerciales.
Les exigences en matière de cybersécurité du RGPD sont définies de manière très vague, se contentant d’indiquer que vous devez accorder aux données personnelles des niveaux de protection appropriés en fonction du risque pour ces données et du coût de mise en œuvre. Cela souligne l’importance de la responsabilité et de la reddition de comptes pour la sécurité de vos déploiements basés sur le cloud, grâce à des politiques, des mesures et des procédures claires de gouvernance des données qui aident à démontrer la conformité.
Et enfilez'N’oublions pas que le RGPD couvre bien plus que la cybersécurité. Par exemple, vous'Il faut tenir compte des éléments suivants :
Minimisation des données : Vous ne devez collecter que des données à caractère personnel qui's réellement nécessaires à la réalisation de votre objectif.
Limitation de stockage : Vous ne devez pas le stocker plus longtemps que nécessaire.
Résidence des données : Vous ne devez les traiter et les stocker qu’au sein de l’EEE, sauf si la personne concernée y a consenti ou si le transfert de données vers un pays tiers répond à des exigences très spécifiques du RGPD.
Droit d’accès : Vous devez vous conformer aux demandes des personnes concernées pour obtenir une copie des données personnelles que vous détenez à leur sujet.
Droit à l’effacement : Dans certaines circonstances, vous devez également supprimer les données personnelles de toute personne qui vous en fait la demande.
Depuis qu’il a quitté l’UE, le Royaume-Uni a adopté sa propre mise en œuvre du RGPD, qui est pratiquement la même que son homologue de l’UE.
Loi sur la résilience opérationnelle numérique (DORA)
Le Digital Operational Resilience Act (DORA) vise à protéger l’Europe'contre les cyberperturbations et les cyberattaques en créant un cadre uniforme de gestion des risques liés aux TIC. On estime que l’acte touchent plus de 22 000 entités financières et les fournisseurs de TIC, y compris les banques, les assureurs et les services cloud.
Les principaux objectifs de DORA sont les suivants :
créer un cadre complet de gestion des risques liés aux TIC
effectuer régulièrement des évaluations des risques ;
veiller à ce que tous les incidents informatiques majeurs soient rapidement signalés aux autorités ;
DORA: Everything You Need to Know
In this whitepaper, discover the ins and outs of this new set of regulations that applies to over 22,000 organizations in the European Union (EU).
Download Whitepaper
Loi fédérale sur la gestion de la sécurité de l’information (FISMA)
FISMA est aux États-Unis Cadre législatif que les organismes fédéraux, ainsi que les entreprises privées au service du secteur public, doivent adopter pour protéger les renseignements gouvernementaux dont ils ont la garde. Il est construit sur la base de FIPS 199, FIPS 200et NIST SP 800-53, où vous utiliseriez :
FIPS 199 pour catégoriser vos informations et vos systèmes d’information en fonction de l’impact potentiel (faible, modéré ou élevé) en cas de perte de confidentialité, d’intégrité ou de disponibilité.
FIPS 200 pour déterminer les objectifs de sécurité de votre organisation en fonction de votre évaluation FIPS 199.
Les résultats de vos évaluations FIPS 199 et FIPS 200 pour sélectionner les contrôles de sécurité de base NIST SP 800-53 appropriés qui s’appliquent à votre organisation.
Bien qu’elle ne s’applique qu’aux agences fédérales et à leurs sous-traitants, la conformité FISMA est bénéfique pour toute autre organisation, car elle peut ouvrir de nouvelles portes aux affaires avec les organismes gouvernementaux.
Loi sur la portabilité et la responsabilité en matière d’assurance maladie (HIPAA)
Connu sous le nom de Règle de sécurité HIPAA, cet ensemble de normes nationales de conformité vise à protéger les informations sensibles sur les soins de santé des patients aux États-Unis. Cette règle s’inscrit dans le cadre des objectifs plus larges de la loi HIPAA, tels que la rationalisation de l’administration des soins de santé et la garantie d’une couverture d’assurance maladie ininterrompue pour les employés qui perdent ou changent d’emploi.
La loi HIPAA couvre toute organisation qui traite directement des informations personnelles sur la santé, telles que les prestataires de soins de santé, les compagnies d’assurance maladie et les services de facturation associés.
Loi Sarbanes-Oxley (SOX)
La loi SOX est une loi fédérale visant à protéger les actionnaires, les employés et les membres du public contre les pratiques comptables et financières négligentes ou frauduleuses.
La loi se concentre principalement sur la réglementation de l’information financière, les procédures de vérification interne et d’autres pratiques commerciales dans les sociétés ouvertes. Cependant, il comprend également des exigences de conformité en matière de technologie de l’information. Par exemple, vous devez surveiller les journaux et conserver une piste d’audit complète de l’activité des utilisateurs impliquant des données sensibles. En outre, il comprend une gamme limitée de contrôles de sécurité, de disponibilité et d’accès des données.
Normes et cadres
Norme de sécurité des données de l’industrie des cartes de paiement (PCI DSS)
Une norme contractuelle, qui s’applique à toute organisation qui accepte ou traite des paiements par carte. La norme PCI DSS est conçue pour garantir la sécurité des données sensibles des titulaires de cartes. Il est administré par le Conseil des normes PCI, un organisme regroupant les principaux acteurs de l’industrie des paiements.
Le cadre comprend une série d’exigences techniques et opérationnelles, y compris des dispositions relatives à la Pare-feu, chiffrementet contrôle d’accès.
Pour aider les commerçants et les fournisseurs de services à comprendre ces exigences dans le contexte du cloud, le Conseil des normes PCI a publié un rapport en ligne sur les normes guide sur l’impact de l’informatique en nuage sur la conformité à la norme PCI DSS. Il s’agit notamment d’un exemple de matrice de responsabilité partagée, qui sert de point de départ pour comprendre la manière dont les obligations de conformité peuvent être partagées entre le client et le fournisseur de services cloud.
Institut national des normes et de la technologie (NIST SP 800-53)
Cette bibliothèque de contrôles techniques et opérationnels vise à protéger l’intégrité, la confidentialité et la sécurité des systèmes d’information. Il est obligatoire pour les États-Unis les organismes gouvernementaux et les entrepreneurs ayant accès aux systèmes fédéraux, ce qui constitue une composante essentielle de la FISMA. De plus, il sous-tend l’ensemble de la cascade de différents cadres qui prennent en charge la conformité FISMA.
En termes simples, la norme NIST SP 800-53 est divisée en différentes catégories de contrôles de base, que vous sélectionnez en fonction du risque pour les données.
Programme fédéral de gestion des risques et des autorisations (FedRAMP)
Cette version simplifiée de la FISMA est spécifiquement adaptée à l’utilisation gouvernementale des fournisseurs de services cloud (FSC).
Il est guidé par le modèle de responsabilité partagée du cloud, dans lequel il sépare les exigences en deux ensembles de contrôles, l’un pour le CSP et l’autre pour l’agence fédérale ou le sous-traitant qui utilise ses services. Cela simplifie la conformité FISMA et permet d’éviter la duplication inutile des objectifs de sécurité.
Pour garantir une conformité totale, l’agence fédérale ou l’entrepreneur doit à la fois utiliser un CSP avec l’autorisation FedRAMP et respecter ses propres obligations FedRAMP.
Contrôles du système et de l’organisation 2 (SOC 2)
Cadre de conformité volontaire, SOC 2 aide les organisations de services à garantir aux clients qu’elles ont mis en place des mesures appropriées pour protéger les données sensibles sous leur contrôle. L’attestation SOC 2 est une nécessité pour de nombreux services externalisés aux États-Unis, où les clients l’exigent souvent dans le cadre d’accords contractuels.
Vous devez passer un audit annuel indépendant de votre posture de sécurité pour maintenir la conformité SOC 2. L’évaluation s’articule autour de cinq grandes catégories de contrôles :sécurité, disponibilité, Intégrité du traitement, confidentialitéet vie privée.
Centre pour les contrôles de sécurité critiques de la sécurité Internet (CIS Controls)
Il s’agit d’un ensemble volontaire de contrôles de sécurité essentiels que les organisations devraient mettre en œuvre en priorité. Contrôles CIS sont conçus comme point de départ pour les systèmes de durcissement. En effet, ils se concentrent sur les mesures qui ont l’impact le plus efficace et le plus immédiat. Ils sont particulièrement utiles aux services informatiques disposant de ressources et d’une expertise limitées en matière de sécurité.
Récapitulatif des principales réglementations et normes en matière de protection des données
| Regulation or Framework | Applies to | Scope | Territorial Scope | Compliance Responsibility |
|---|---|---|---|---|
| GDPR | Any organization that processes data about EEA citizens | Data security and availability, handling of personal data, and rights of data subjects | Anywhere in the world | Mandatory |
| FISMA | Federal agencies and their contractors, along with any CSPs they use | Security and privacy of data on federal systems | United States | Mandatory |
| HIPAA Privacy Rule | Healthcare providers, health insurance companies, and associated billing services | Security and privacy of healthcare information | United States | Mandatory except where state law takes precedence |
| SOX | Publicly traded companies | Largely financial and business practices, but also covers IT controls | United States | Mandatory for public companies although some requirements also apply to private companies and non-profit organizations |
| PCI DSS | Any organization that accepts or processes card payments | Data security | Anywhere in the world | Contractual |
| NIST SP 800-53 | Federal agencies and their contractors, along with any CSPs they use | Security and privacy of federal data | United States | Mandatory |
| FedRAMP | Federal agencies and their contractors, along with any CSPs they use | Security and privacy of federal data processed or stored in the cloud | United States | Mandatory |
| SOC 2 | Mainly SaaS vendors, companies that provide analytics and business intelligence services, financial institutions, and other organizations that store sensitive customer information | Data security, availability, processing integrity, confidentiality, and privacy | Globally recognized but mainly adopted in United States | Voluntary |
| CIS Controls | Organizations of any size and in any industry sector | Data security | Globally recognized | Voluntary |
Conformité du cloud par CSP
Programmes de conformité
Au début de votre initiative de conformité dans le cloud, vous devez :'Vous devez vous assurer que votre fournisseur de services de communication est en mesure de respecter sa part du marché de la responsabilité partagée. Compte tenu du grand nombre de réglementations et de normes qui peuvent affecter votre organisation, ce processus de vérification peut sembler être une entreprise formidable.
Cependant, chacun des trois grands fournisseurs – AWS (en anglais seulement, Microsoft Azureet Plate-forme Google Cloud – Fournit un portail de conformité en ligne pour aider les clients à vérifier que leurs plateformes disposent de la certification, de l’attestation ou de l’alignement appropriés dont ils ont besoin.
De plus, ils vous permettent d’examiner facilement leurs offres de conformité en les regroupant en différentes catégories, telles que les secteurs d’activité et les régions territoriales.
Outils de conformité
Chaque fournisseur propose également un certain nombre d’autres services internes pour soutenir et aider à démontrer la conformité. Il s’agit notamment de :
Artefact AWS : Un portail en libre-service qui donne un accès à la demande au fournisseur'documents et ententes de conformité. Il s’agit d’un moyen rapide et efficace pour les clients d’évaluer la conformité des services AWS qu’ils utilisent et d’obtenir des preuves des contrôles appropriés des fournisseurs qu’ils peuvent avoir besoin de fournir aux auditeurs ou aux régulateurs.
AWS Audit Manager : Une solution qui audite en permanence les contrôles que vous'Vous pouvez le mettre en œuvre dans vos environnements AWS invités pour vous conformer à une grande variété de réglementations et de normes différentes.
Azure Blueprints: Un service de modèle de ressource pour la création et la gestion d’environnements conformes à des normes et des exigences prédéfinies. Les blueprints sont essentiellement des ensembles d’artefacts empaquetés pour le déploiement d’environnements entièrement gouvernés sur la plateforme Azure.
Azure Policy : Service centralisé de gestion des stratégies par le biais duquel vous pouvez créer et gérer des ensembles de règles qui garantissent que les services sont configurés avec les propriétés de ressources par défaut d’autorisation et de refus. Il peut également vous alerter chaque fois que des ressources s’écartent des règles de stratégie et corriger automatiquement les violations de conformité.
workloads assurées par Google : Un outil qui prend en charge la conformité en appliquant automatiquement des contrôles aux workloads afin qu’elles répondent aux exigences des cadres réglementaires spécifiés. Par exemple, il ne vous permettra d’héberger des données que dans des régions cloud situées à l’intérieur des limites territoriales autorisées par le programme de conformité que vous avez mis en place.'De plus, il n’y a pas d Il configure également les services de cryptage appropriés comme l’exige la loi et applique les contrôles d’accès conformément aux exigences de souveraineté des données.
Régions cloud
En plus du RGPD, de nombreuses autres réglementations en matière de protection des données à travers le monde incluent des exigences de résidence des données régissant l’endroit où vous pouvez stocker et traiter les informations personnelles des personnes concernées.
Donc, vous'Vous devez vous assurer que votre fournisseur de services de communication offre une présence dans un centre de données dans les pays autorisés par la loi. Si vous choisissez d’héberger vos workloads sur l’une des trois grandes plates-formes de fournisseurs de cloud, cela devrait être relativement simple, car ils ont maintenant un total combiné de plus de 130 régions de centres de données dans le monde.
Bonnes pratiques essentielles en matière de conformité cloud
Laisser'Passez en revue certaines bonnes pratiques essentielles pour garantir la sécurité, la conformité et la gestion efficace de votre environnement cloud. Les pratiques sont classées en trois domaines principaux :
1. Sécurité des données
Garantir la confidentialité, l’intégrité et la disponibilité des données stockées dans le cloud.
Classification et gouvernance des données :
Mettez en œuvre des systèmes de classification des données pour catégoriser les données en fonction de leur sensibilité et des exigences réglementaires.
Développez et appliquez des politiques de gouvernance des données qui dictent la façon dont les données sont traitées, stockées et accessibles.
Chiffrement et gestion des clés:
Chiffrez les données au repos et en transit à l’aide de normes de chiffrement strictes (par exemple, AES-256) pour protéger les informations sensibles.
Gérez les clés de chiffrement en toute sécurité, en veillant à ce que seul le personnel autorisé y ait accès, et utilisez des pratiques de gestion des clés robustes.
Contrôle d’accès et gestion des identités :
Appliquez des politiques d’accès de moindre privilège, en veillant à ce que les utilisateurs ne disposent que de l’accès minimum nécessaire pour remplir leurs rôles.
Utilisez l’authentification multifacteur (MFA) pour ajouter une couche de sécurité supplémentaire pour l’accès aux services cloud.
2. Gestion de la configuration
Processus de maintenance des systèmes, des serveurs et des logiciels dans un état cohérent et souhaité.
Utilisation sécurisée de l’API :
Assurez-vous que les API interfacées avec les services cloud sont conçues en toute sécurité, avec une authentification et un chiffrement forts pour les données en transit.
Examinez et mettez à jour régulièrement les politiques d’accès aux API pour refléter les modifications apportées aux rôles ou aux services des utilisateurs.
Gestion des correctifs:
Mettez en œuvre un processus efficace de gestion des correctifs pour vous assurer que tous les composants logiciels et d’infrastructure sont à jour avec les derniers correctifs de sécurité.
Configuration et segmentation du réseau :
Configurez les paramètres du réseau cloud pour appliquer des politiques de sécurité, y compris les pare-feu, les systèmes de détection d’intrusion et d’autres défenses de périmètre.
Utilisez la segmentation du réseau pour isoler les données et les systèmes sensibles, réduisant ainsi l’impact potentiel d’une violation.
3. Stratégie & Surveillance
Pratiques et procédures globales de gestion et de supervision de la sécurité et de la conformité du cloud.
Conformité et sensibilisation réglementaire :
Restez informé des réglementations pertinentes et des exigences de conformité spécifiques à votre secteur d’activité et à vos régions d’activité, telles que GDPR, HIPAA ou PCI-DSS.
Comprendre le modèle de responsabilité partagée dans le cloud computing, en délimitant clairement les responsabilités de sécurité entre votre organisation et le fournisseur de services cloud (CSP).
Évaluations et audits de sécurité :
Effectuez régulièrement des évaluations de sécurité, y compris des analyses de vulnérabilité et des tests d’intrusion, afin d’identifier et d’atténuer les failles de sécurité potentielles.
Effectuer des audits de conformité pour assurer le respect continu des politiques internes et des réglementations externes. Tenir à jour des pistes d’audit et des journaux pour la responsabilisation et l’analyse judiciaire.
Formation et sensibilisation des employés :
Fournir une formation régulière sur les meilleures pratiques de sécurité, les exigences de conformité et les menaces émergentes à tous les employés.
Favoriser une culture de sensibilisation à la sécurité, en mettant l’accent sur l’importance du rôle de chaque individu dans le maintien de la conformité et de la protection des données.
Réponse aux incidents :
Élaborez et tenez à jour un plan d’intervention en cas d’incident documenté qui décrit les procédures de détection, de confinement, d’éradication et de rétablissement des incidents de sécurité.
Tester régulièrement le plan de réponse aux incidents pour s’assurer de son efficacité.
Spécificités du fournisseur de cloud :
Bien que de nombreuses bonnes pratiques soient communes à tous les fournisseurs de cloud (AWS, Azure, GCP), certaines peuvent présenter de légères variations dans la mise en œuvre ou utiliser des fonctionnalités de sécurité uniques.
Familiarisez-vous avec votre fournisseur de cloud spécifique'et les pratiques exemplaires en matière de sécurité.
Ce qu’il faut rechercher dans une solution de conformité cloud
La conformité au cloud n’est pas un défi facile compte tenu de la complexité des environnements basés sur le cloud et du grand nombre de réglementations et de normes différentes qui peuvent potentiellement déterminer votre propre ensemble de contrôles.
La bonne nouvelle, c’est que bon nombre des exigences sont fondamentalement les mêmes, avec un fort chevauchement entre les différents cadres. Néanmoins, le suivi des responsabilités qui se chevauchent et de celles qui sont propres à des cadres spécifiques est une entreprise manuelle formidable et chronophage.
Alors, comment surmonter ce défi ? Comment éviter de dupliquer vos efforts de conformité ? Comment faire correspondre la composition technique de votre cloud à votre posture de conformité ? Et comment rationaliser vos efforts de conformité dans le cadre d’une mise en œuvre multicloud complexe ?
Cela'où des outils de conformité tiers peuvent vous aider.
Ils'Repensé pour surveiller et comparer en permanence vos déploiements cloud à un large éventail de cadres de conformité. Par exemple, ils doivent être en mesure de vérifier si vous avez mis en place des contrôles de sécurité réseau appropriés pour protéger les données des titulaires de cartes de paiement, conformément à l’exigence 1 de la norme PCI DSS. Ils doivent également évaluer la posture de sécurité des déploiements complexes basés sur le cloud, tels que les workloads conteneurisées, si nécessaire pour aider à répondre aux dernières exigences des cadres techniques tels que les contrôles CIS. Cependant, il ne s’agit là que de deux des centaines de contrôles intégrés qui font partie d’une plate-forme de conformité continue hautement développée.
Cependant, l’analyse comparative n’est pas'Il s’agit de la seule fonctionnalité que vous devez rechercher dans une solution de conformité cloud.
En outre, il doit offrir un moyen de créer des cadres personnalisés afin que vous puissiez vous conformer à vos propres exigences internes ou à celles d’autres organisations de la chaîne d’approvisionnement logicielle.
Il doit également s’intégrer aux plateformes de messagerie et de billetterie pour acheminer automatiquement les problèmes vers les bonnes équipes. Et il doit fournir des capacités de correction automatisées afin que vous puissiez corriger rapidement et efficacement les erreurs de configuration courantes et persistantes.
Enfin, il devrait fournir une gamme complète de rapports d’évaluation, allant d’informations granulaires détaillées à des aperçus de haut niveau de la direction. De cette façon, tous les membres de votre organisation disposeront des informations dont ils ont besoin pour suivre votre posture de conformité.
100+ Built-In Compliance Frameworks
See how Wiz eliminates the manual effort and complexity of achieving compliance in dynamic and multi-cloud environments.
