Introduction à la gestion de la conformité

GravityZone Compliance Manager simplifie et améliore vos efforts de conformité, transformant une tâche complexe en un processus rationalisé et automatisé. Il offre une évaluation continue, allant au-delà des contrôles périodiques pour fournir des informations en temps réel sur la position de conformité de vos endpoints, vous aidant ainsi à gérer les risques et à réduire votre surface d’attaque.

Vous n’avez plus à jongler manuellement entre les normes de conformité et les contrôles techniques, grâce aux correspondances intégrées qui relient directement les exigences générales de normes telles que ISO 27001, GDPR ou NIS2* à des contrôles techniques spécifiques sur vos endpoints. Par exemple, l’exigence de chiffrement de NIS2 (article 21, paragraphe 2) se traduit par des contrôles techniques concrets, tels que la vérification de la présence d’un module TPM sur une machine Windows.

Les rapports prêts à être audités établissent clairement la correspondance entre les contrôles techniques et les normes de conformité pertinentes. Ces rapports sont inestimables pour démontrer l’efficacité de vos initiatives de réduction des risques, que ce soit pour les auditeurs externes ou pour votre direction interne.

GravityZone Compliance Manager offre une gestion simplifiée de la conformité grâce à une visibilité en temps réel de votre statut de conformité, permettant l’identification proactive des lacunes et garantissant que vous restez en avance sur les exigences réglementaires. Il automatise l’évaluation des règles de conformité, vous donnant un contrôle total sur la sécurité de vos points d’accès.

Normes et cadres de conformité

Avec la version globale, pour tous vos points endpoints dans le cloud et sur site, vous aurez accès depuis la console GravityZone aux normes et cadres de conformité suivants :

• Bitdefender Cyber Hygiene Baseline for Windows : Un ensemble simplifié d’alignements de sécurité les plus élémentaires pour les systèmes Windows, offrant aux entreprises une visibilité essentielle sur l’hygiène cybernétique de leurs terminaux sans nécessiter d’expertise approfondie en matière de conformité.
• Contrôles de sécurité critiques CIS (CISv8) : Un cadre communautaire fournissant une liste de garanties de cybersécurité classées par ordre de priorité afin d’améliorer la sécurité fondamentale des systèmes et des données informatiques.
• CMMC 2.0 : Cadre du ministère américain de la défense (DoD) conçu pour améliorer la position de la base industrielle de défense (DIB) en matière de cybersécurité. Il établit un modèle à plusieurs niveaux pour évaluer et certifier la mise en œuvre de pratiques de cybersécurité visant à protéger les informations contractuelles fédérales (FCI) et les informations non classifiées contrôlées (CUI).
• DORA : Cadre de l’UE visant à renforcer la résilience du secteur financier (banques, prestataires de services de paiement, assureurs, prestataires de services de crypto-actifs et fournisseurs tiers de TIC – surveillance directe).
• Règlement général sur la protection des données (RGPD) : Règlement de l’UE qui exige que les organisations protègent les données personnelles et la vie privée des citoyens de l’UE. Il comprend des exigences en matière de traitement des données, de consentement, de droits des personnes concernées et de notification des violations.
• HIPAA : Loi américaine qui fixe des normes nationales pour la protection des informations sensibles sur la santé des patients. Elle régit la confidentialité et la sécurité des données médicales, en définissant des exigences pour les prestataires de soins de santé, les plans de santé et les centres d’échange de soins de santé en ce qui concerne le traitement, le stockage et la transmission des informations de santé protégées (PHI).
• ISO 27001 : Cadre pour la mise en œuvre d’un système de management de la sécurité de l’information (SMSI). Il aide les organisations à gérer et à protéger les informations sensibles, telles que les données des clients, les informations financières et la propriété intellectuelle.
• Directive NIS 2 : Directive européenne sur la cybersécurité visant à améliorer la sécurité des réseaux et des systèmes d’information dans différents secteurs. Elle établit des mesures pour la gestion des risques, le signalement des incidents et la coopération entre les États membres de l’UE afin d’améliorer la résilience globale des infrastructures critiques.
• PCI DSS v4.0.1 : Norme mondiale pour les organisations qui traitent des informations relatives aux cartes de crédit. Elle impose des exigences techniques et opérationnelles pour protéger les données des titulaires de cartes, en mettant l’accent sur les contrôles de sécurité pour le stockage, le traitement et la transmission des données des cartes de paiement.
• SOC 2 : cadre de reporting pour les organisations traitant des données sensibles des clients, évaluant leurs contrôles sur les principes de sécurité, de disponibilité, d’intégrité du traitement, de confidentialité et de respect de la vie privée.

Vous n’avez pas besoin d’installer ou de mettre à jour quoi que ce soit du côté des endpoints pour visualiser immédiatement les résultats (mauvaises configurations) et les risques liés au comportement des utilisateurs identifiés par le module de gestion des risques et mis en correspondance avec les normes et les cadres de conformité.

Disponibilité de Compliance Manager

GravityZone Compliance Manager est accessible à tous les clients ayant accès à la gestion des risques. Il comprend un standard de conformité de base offrant des directives, une vision en temps réel de la conformité de vos endpoints via le standard Bitdefender Cyber Hygiene Baseline for Windows, et un rapport exportable. Vous aurez également un accès en avant-première à tous les standards et cadres de conformité listés ci-dessus, bien que les détails complets et les rapports d’exportation pour ces standards ne soient pas disponibles à ce niveau.

Pour un accès complet aux normes avancées, une licence complémentaire Compliance Manager est requise. Cette licence permet d’accéder à un ensemble plus large de normes et de cadres, tels que le RGPD, PCI DSS, SOC 2 et DORA, et fournit des directives détaillées, des informations en temps réel sur la conformité des terminaux et des rapports exportables complets pour chacun d’eux.

Conclusion 

Bitdefender GravityZone Compliance Manager renforce la sécurité de votre organisation, simplifie les efforts de conformité et optimise la préparation aux audits. Il fournit des informations claires sur les normes sectorielles clés telles que le RGPD, la directive NIS, les contrôles CIS, SOC 2 et ISO 27001*, permettant ainsi une identification et une atténuation proactives des risques. Intégré à la plateforme unifiée GravityZone, il élimine le recours à plusieurs outils, rationalise les opérations et réduit la complexité.

L’article GravityZone Compliance Manager est apparu en premier sur IRONIE.

La fin de support (end of support) de la version 10 du Wallix Bastion est prévue pour le 31 mai 2025.

De ce fait, après cette date, il n’y aura plus de maintenance, de mises à jour et de patchs de sécurité pour ce produit.

Si vous êtes concernés par cette version, nous vous encourageons à nous solliciter pour une mise à jour de vos « Bastion » en version 12.

Dernières mises à jour

•    WALLIX Bastion 12.0.10
•    WALLIX Bastion 10.0.11
•    WALLIX Access Manager 5.1.3
•    WALLIX Access Manager 4.0.9
•    BestSafe Enterprise 5.4.0
•    WALLIX Application-to-Application 4.2.3

WSM disponible

La nouvelle fonctionnalité Web Session Manager (WSM) de Wallix, qui était attendue de longue date, est enfin disponible et commercialisée.

Concrètement, ce WSM permet de supporter les protocoles http/https pour l’accès aux cibles du Bastion. (en plus des protocoles rdp/ssh/vnc historiques)

Cela vous évite d’avoir à créer une VM windows RDS de rebond dédiée à cet usage navigation web.

Bon à savoir :

• Chaque session WEB d’un user passant par le bastion et le wsm est totalement isolée (dans un conteneur) ;
• Possibilité de filtrer les URLs consultables ;
• Traçabilité des sessions (enregistrements vidéos , logs , metadata) ;
• Accès conditionnel (approbation , plages horaires) ;
• Pas d’impact sur l’expérience utilisateur, la session WEB a lieu dans le navigateur du client ;
• Intégration transparente dans l’environnement Wallix Bastion et Access Manager ;
• Copier/coller bidirectionnel supporté ;
• Upload et Download de fichiers possible ;
• Impression possible ;
• Nécessite la mise en place d’un nouvelle VM dédiée au WSM ;
• Cette fonctionnalité est soumise à licence (perpétuelle ou souscription).

L’article Wallix Bastion 12 est apparu en premier sur IRONIE.

Le modèle d’administration en niveaux se concentre sur la gestion de l’escalade non autorisée des privilèges dans un environnement Active Directory. Ce modèle, initialement proposé par Microsoft, définit trois niveaux d’administration qui sont les suivants :

𝐓𝐢𝐞𝐫 𝟐 : Les postes utilisateurs
↳ Il inclut les postes de travail et les périphériques.
Ce niveau reste une porte pour les cyberattaques.

𝐓𝐢𝐞𝐫 𝟏 : Les valeurs métier
↳ Il concerne les serveurs et applications stratégiques.
Ce niveau protège vos activités essentielles.

𝐓𝐢𝐞𝐫 𝟎 : Le cœur de confiance
↳ Il regroupe les identités et l’Active Directory.
Une faille ici impacte tout le SI.

L’ANSSI propose un guide détaillé sur cette méthodologie : https://cyber.gouv.fr/sites/default/files/document/20231218_Volet_technique_cyberattaquesetremediation_a5_v1h.pdf

L’article Active Directory TIERING est apparu en premier sur IRONIE.

Une démarche globale et structurée

Gouvernance : mise en place de politiques de sécurité claires, alignées avec les objectifs et les valeurs de l’entreprise.

Risques : identification des menaces et vulnérabilités, évaluation des impacts possibles selon les processus et actifs critiques.

Conformité : suivi des exigences réglementaires, définition de contrôles et de protocoles adéquats pour y répondre efficacement.

Les bénéfices concrets pour l’entreprise

• Amélioration de la résilience face aux incidents et aux attaques informatiques ;

• Assurance de conformité aux obligations légales et réglementaires (par exemple RGPD, normes industrielles) ;

• Optimisation de la performance globale de la sécurité ;

• Capacité à anticiper les menaces et à réagir de manière proactive.

Notre rôle dans l’accompagnement de vos enjeux GRC

Ironie propose une approche intégrée combinant expertise technique et alignement organisationnel :

• Audits techniques et organisationnels pour identifier les axes prioritaires de renforcement ;
• Élaboration de plans de sécurité adaptés, documents de référence et matrices de risques ;
• Accompagnement dans la mise en conformité réglementaire (par exemple, RGPD, exigences sectorielles) ;
• Formation des équipes internes pour instaurer une culture de sécurité durable.

En résumé, la GRC n’est plus une option : elle constitue le fondement d’une cybersécurité solide, durable et en phase avec les exigences actuelles. En adoptant cette approche, les organisations peuvent non seulement se protéger contre les cybermenaces, mais aussi en tirer une valeur stratégique à long terme.

L’article Gouvernance, Risques et Conformité (GRC) est apparu en premier sur IRONIE.

Ces plates-formes doivent faire l’objet d’une attention constante. Leur exploitation et l’évolution des technologies nécessitent de mises à jour régulières que cela soit pour des raisons opérationnelles ou sécuritaires.

La technologie CSPM (Cloud Security Posture Management) vous permet de répondre à cet enjeu et de maitriser votre surface d’attaque, elle assure automatiquement la détection, la vérification voire la correction des configurations de vos diverses infrastructures Cloud (#IaaS, #PaaS, #SaaS).

Parallèlement le CSPM surveille et analyse en permanence vos actifs informatiques présents dans le Cloud et assure une remontée d’alertes lors d’identification de failles, d’erreurs ou de menaces détectées.  

Vous bénéficiez ainsi de tableaux de bord mis à jour en temps réel vous permettant de suivre et de faire évoluer votre niveau de conformité.

Ainsi, le CSPM est devenu une composante essentielle de la stratégie de sécurité de votre SI dans le cloud. En adoptant cette technologie, vous améliorez votre niveau de sécurité, gagnez en efficacité et en conformité.

Bien sûr, nos experts sont à votre disposition pour étudier votre contexte et vous proposer une solution la plus adaptée à votre besoin. 

L’article #CSPM, kezako ? est apparu en premier sur IRONIE.