Normes de conformité cloud : cadres et contrôles

La conformité cloud est sans doute le sujet le moins passionnant dans le domaine de la sécurité cloud. De nombreuses normes et réglementations s’appliquent selon les secteurs et les régions. Leurs exigences peuvent être détaillées et, franchement, assez soporifiques.

Mais pas d’inquiétude ! Nous avons fait une partie du travail fastidieux pour vous. Dans cet article, nous passons en revue les principales normes, certifications et mesures de contrôle de conformité cloud afin de vous aider à choisir celles qui conviennent le mieux à votre entreprise et à les respecter. Nous ne pouvons peut-être pas rendre la conformité passionnante, mais les bons outils et les bonnes approches peuvent la rendre moins pénible.

Quelles normes de conformité cloud devez-vous suivre ?

Votre fournisseur cloud est une bonne source de conseils pour déterminer quelles normes de conformité s’appliquent à votre entreprise. AWS, par exemple, est conforme à PCI-DSS, HIPAA et au RGPD, entre autres. Si ces réglementations concernent votre secteur, veillez donc à ce que votre organisation les respecte également.

Prenez le temps d’étudier les normes et certifications de conformité les plus courantes et de déterminer lesquelles s’appliquent à votre secteur et à votre région. N’oubliez pas que la région où vos données sont stockées entre aussi en ligne de compte. Veillez donc à obtenir cette information auprès de votre fournisseur cloud. Le respect des normes de conformité adaptées à votre entreprise contribuera grandement à relever les défis liés à la sécurité cloud.

Vous aimeriez avoir un aide-mémoire sur le sujet ? Poursuivez votre lecture.

Liste des normes et certifications de conformité cloud

Voici un aperçu rapide des normes les plus courantes et les plus souvent exigées en matière de conformité cloud.

SOC 2

Secteur : entreprises de services
Zone géographique : internationale

SOC 2 est une norme de conformité élaborée par l’American Institute of Certified Public Accountants (AICPA). Elle a été créée spécifiquement pour aider les entreprises de services à gérer les données de leurs clients de manière sûre et appropriée. SOC 2 repose sur cinq « principes de services de confiance » que les organisations doivent respecter :

• Sécurité

• Disponibilité

• Intégrité du traitement

• Confidentialité

• Protection de la vie privée

Un audit SOC 2 ne peut être réalisé que par un expert-comptable indépendant agréé (CPA) ou par un organisme proposant des services de CPA.

ISO 27001

Secteur : tous les secteurs
Zone géographique : internationale

ISO 27001 vise à permettre aux organisations de gérer leurs actifs informationnels en toute sécurité. Bien qu’elle ne soit pas légalement obligatoire, de nombreuses entreprises choisissent de se conformer à ISO 27001 pour montrer à leurs partenaires, clients et parties prenantes qu’elles accordent la priorité à la sécurité des données. Pour obtenir la certification, vous pouvez demander un audit externe auprès d’un organisme de certification accrédité.

HIPAA

Secteur : santé
Zone géographique : États-Unis

HIPAA est l’acronyme de Health Insurance Portability and Accountability Act. Cette loi a été adoptée en 1996 afin de :

• Protéger les dossiers médicaux sensibles des patients pris en charge dans des établissements de santé

• Limiter l’utilisation et la divulgation des informations sur les patients

• Préserver le droit des patients de contrôler l’utilisation de leurs propres informations

En bref, HIPAA autorise les parties concernées (médecins, prestataires de soins) à utiliser les informations des patients dans leur intérêt, tout en protégeant ces données contre toute divulgation à des tiers.

NIST 800-53

Secteur : administration publique
Zone géographique : internationale

La publication spéciale 800-53 du NIST, publiée par le National Institute of Standards and Technology, s’applique aux systèmes d’information du gouvernement fédéral américain, de ses agences et de ses prestataires. Ce cadre de cybersécurité vise à améliorer la posture de sécurité des organisations en appliquant des mesures de protection qui préservent la confidentialité, l’intégrité et la disponibilité des systèmes. Il est conçu pour être suffisamment flexible afin de répondre aux priorités de toute organisation gouvernementale.

RGPD

Secteur : tous
Zone géographique : protège les données des citoyens européens, mais s’applique à l’échelle mondiale

Le Règlement général sur la protection des données est une norme européenne qui s’applique dans le monde entier à toute organisation qui génère ou stocke des données concernant des personnes résidant en Europe. Il s’agit de l’ensemble de règles de protection des données le plus strict au monde. Les sept principes de la législation précisent que les données doivent être :

1. Traitées de manière licite, loyale et transparente

2. Collectées pour des finalités déterminées, explicites et légitimes

3. Adéquates, pertinentes et limitées à ce qui est nécessaire au regard de leur finalité

4. Exactes et tenues à jour

5. Conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire

6. Traitées de manière à garantir leur intégrité et leur confidentialité

7. Gérées dans le respect des exigences de conformité et de responsabilité

PCI DSS

Secteur : commerce de détail, commerce électronique
Zone géographique : internationale

La norme de sécurité des données de l’industrie des cartes de paiement, ou norme PCI, s’applique aux organisations qui traitent des paiements par carte de crédit et de débit. Ces politiques et procédures ont été élaborées par le PCI Security Standards Council afin de garantir la sécurité du traitement, du stockage et de la transmission des données de cartes de paiement. Pour rester conforme à PCI DSS, il faut satisfaire à 12 exigences, notamment en matière de maintenance des pare-feu, de chiffrement des données et de restriction des accès.

Le processus de certification PCI est particulièrement complet. Pour en savoir plus, consultez ces recommandations sur la sécurisation du cloud en vue d’un audit PCI.

Benchmarks CIS

Secteur : tous
Zone géographique : internationale

Le Center for Internet Security est une communauté mondiale d’experts en cybersécurité qui établissent des benchmarks pour aider les organisations à mieux gérer leur cybersécurité. Leurs recommandations sont reconnues dans le monde entier. À ce jour, ils proposent plus de 100 guides de configuration couvrant plus de 25 familles de produits de fournisseurs, notamment des fournisseurs cloud, des logiciels de serveur, des périphériques réseau et bien d’autres.

L’objectif principal des entreprises qui appliquent ces benchmarks est de limiter les vulnérabilités de sécurité liées à la configuration. La liste complète des benchmarks est disponible en téléchargement sur leur site Web : consultez-la et téléchargez-la.

Matrice de contrôles cloud de la CSA

La matrice de contrôles cloud de la CSA (CCM) est un cadre qui fournit des recommandations pour évaluer systématiquement une implémentation cloud. Elle couvre 17 domaines des technologies cloud et compte 197 objectifs de contrôle. Elle est alignée sur le document CSA Security Guidance for Cloud Computing. La CCM est le principal cadre de référence en matière de sécurité et de conformité cloud. Elle comprend :

• Contrôles CCM v4

• Correspondances

• CAIQ v4

• Recommandations de mise en œuvre

• Recommandations d’audit

• Indicateurs CCM

Mesures de contrôle de conformité cloud

Les mesures de contrôle de sécurité cloud aident les entreprises à limiter autant que possible les vulnérabilités présentes dans leur infrastructure, afin de mieux protéger leurs données contre les acteurs malveillants. Vous et votre fournisseur cloud devez collaborer pour vérifier que ces mesures sont bien en place.

Voici un aperçu rapide des principales mesures de contrôle cloud :

• Mesures dissuasives : elles visent à dissuader les acteurs malveillants de mettre leurs plans à exécution. Il peut s’agir de communications ou d’actions internes ou externes qui avertissent des conséquences d’une violation.

• Mesures préventives : elles comprennent l’authentification des utilisateurs, la fermeture des ports ouverts et d’autres actions qui réduisent les possibilités pour les attaquants de s’introduire dans votre système.

• Mesures de détection : les outils de détection et de surveillance en sont des exemples. Ils recherchent les signes d’une attaque en cours et déclenchent des protocoles prédéfinis pour atténuer la menace.

• Mesures correctives : elles visent à limiter les dégâts en cas de violation. Elles peuvent consister à redémarrer des systèmes ou à retirer l’accès à certains utilisateurs.

Comment Snyk contribue à la conformité cloud

Snyk IaC s’appuie sur un moteur unifié de politiques sous forme de code pour aider les équipes à développer, déployer et exploiter leurs applications dans le cloud en toute sécurité. Snyk IaC offre :

• Des garde-fous de sécurité et de conformité pour les principaux fournisseurs cloud, afin d’aider les équipes à respecter les politiques en permanence.

• Une évaluation continue de votre environnement cloud et de votre infrastructure sous forme de code, afin de vérifier leur conformité aux réglementations et aux politiques de sécurité internes. Des rapports en temps réel et historiques sont proposés aux ingénieurs en sécurité et aux équipes GRC.

• Une conformité cloud complète, parmi les meilleures du marché, dès l’installation.

• Une couverture des principales normes de conformité : SOC 2, HIPAA, RGPD, PCI (ou PCI DSS), NIST 800-53, ISO 27001, benchmarks CIS (pour AWS, Azure, Google, Kubernetes et Docker) et matrice de contrôles cloud de la CSA.

Vous souhaitez approfondir les solutions de conformité ? Découvrez L’importance des politiques sous forme de code dans votre stratégie de conformité.