21 Aout 2008

Sarbanes-Oxley et le Cobit

Finances, gestion, trésorerie

Le COBIT est le modèle de référence en matière d’audit et de maîtrise des systèmes d’information rédigé par l'ITGI (IT Governance Institute) et édité par l'ISACA (Information System Audit & Control Association).
Il aide les dirigeants à évaluer et à gérer les risques liés à l’informatique.
Il fait le lien entre les processus de gestion, les questions techniques, les besoins de contrôle et les risques.
La version française est publiée par l'AFAI (Association Française de l'Audit et du conseil Informatique).

Voici les solutions proposées par Netegrity en réponse aux spécifications du COBIT Version 3 (juillet 2000) - Objectifs de contrôle ; DS5 - Ensure System Security.

Identification, autorisation et accès

COBIT

Solution Netegrity

L'accès logique aux ressources informatiques ainsi que leur utilisation doivent être limités grâce à la mise en place de mécanismes d'identification, d'authentification et d'autorisation appropriés afin de mettre les ressources à la disposition des utilisateurs, en fonction de règles d'accès déterminées.

IdentityMinder offre des services de création et de gestion des identités via une administration déléguée à l'utilisateur, à un libre-service utilisateur, à un workflow intégré et à un modèle d'administration structuré qui assure un contrôle d'accès basé sur profil/rôle et fournit ainsi un mécanisme efficace pour gérer l'accès des utilisateurs aux ressources protégées.
SiteMinder assure le contrôle du type de méthode d'authentification utilisé afin de protéger une ressource et la manière dont la méthode d'authentification est déployée et gérée. SiteMinder offre une couche de sécurité supplémentaire en autorisant la gestion des mots de passe utilisateur dans des annuaires et des bases

Sécurité de l'accès en ligne aux données

COBIT	Solution Netegrity
Dans un environnement IT en ligne, la DSI doit déployer des procédures conformes à la politique de sécurité, qui fournit un contrôle de l'accès, basé sur la légitimité au niveau de chaque individu de visualiser, ajouter, modifier ou supprimer des données.	La solution de gestion des identités et des accès (IAM) de Netegrity gère la sécurité et l'accès à partir de politiques définies au niveau de l'utilisateur, de son rôle dans l'entreprise, et de ses besoins correspondants pour interagir sur des ressources protégées.

Gestion des comptes utilisateurs

COBIT	Solution Netegrity
Accès L'entreprise doit définir des procédures visant à assurer une action opportune concernant la demande, l'établissement, l'émission, la suspension et la clôture de comptes utilisateur. Une procédure d'approbation formelle décrivant le propriétaire des données ou du système qui accorde les privilèges d'accès doit être prévue.	La solution IdentityMinder est spécifiquement conçue pour relever les défis de la gestion des utilisateurs (requête, établissement, émission, suspension et clôture de comptes utilisateur). Une fois qu'un utilisateur possède une identité numérique, qu'il s'agisse d'un dirigeant de l'entreprise, d'un partenaire, d'un employé ou d'un client, l'accès aux ressources de l'entreprise par ce dernier peut être géré tout en protégeant les ressources.
Requête La sécurité des accès par des tiers doit être définie de manière contractuelle et prendre en compte les conditions d'administration et de non divulgation des adresses.	IdentityMinder offre une fonctionnalité de workflow intégrée pour gérer les requêtes d'accès utilisateur au moyen d'un processus d'approbation formel et efficace.
Centralisation Les contrats d'infogérance doivent tenir compte des risques, des contrôles de sécurité ainsi que des procédures pour les systèmes d'information et les réseaux.	SiteMinder permet en outre de définir et de déployer des politiques de sécurité de manière centralisée, pour s'assurer que l'accès aux applications par des tiers est suffisamment contrôlé.

Analyse des comptes utilisateurs

COBIT

Solution Netegrity

L'entreprise doit mettre en place un processus de contrôle pour analyser et confirmer périodiquement les droits d'accès.
Une comparaison régulière des ressources et une responsabilisation doit permettre de réduire les risques d'erreurs, de fraude, d'abus ou de modification non autorisée.

Les fonctionnalités puissantes d'audit et de reporting de la solution IAM de Netegrity permettent d'analyser les privilèges d'accès d'un utilisateur et la manière dont ce dernier a utilisé ces privilèges jusqu'à maintenant. SiteMinder peut réaliser un audit de l'ensemble de l'activité au niveau de l'utilisateur et du site, notamment de toutes les authentifications et autorisations, ainsi que de l'activité d'administration.

Contrôle par l'utilisateur des comptes utilisateur

COBIT

Solution Netegrity

Les utilisateurs doivent systématiquement contrôler l'activité de leur(s) propre(s) compte(s).
De plus, des mécanismes d'information doivent être déployés pour leur permettre de surveiller l'activité normale de leur compte, et d'être alertés dans les meilleurs délais en cas d'activité inhabituelle.

Grâce à la fonctionnalité de libre-service utilisateur et au reporting détaillé de la solution IAM de Netegrity, les utilisateurs savent à quels systèmes et données ils accèdent et si leur identité et leur authentification n'ont pas été compromises.
En outre, les administrateurs peuvent également être avertis de tout comportement inhabituel concernant l'utilisation des ressources protégées.

Surveillance de la sécurité

COBIT

Solution Netegrity

La gestion de la sécurité informatique doit garantir la consignation de l'activité de sécurité. Toute indication de violation imminente de la sécurité doit être remontée vers toutes les parties concernées, tant en interne qu'en externe, avec une réactivité appropriée.

La solution IAM de Netegrity offre des fonctionnalités détaillées d'audit et de reporting, pour fournir une analyse et une collecte granulaires de l'information à partir des accès et des autorisations de chaque utilisateur.
SiteMinder peut ainsi superviser les sessions utilisateur afin que les administrateurs puissent superviser les ressources en cours de consultation, ainsi que le nombre de fois que des utilisateurs tentent d'accéder à des ressources spécifiques, et le nombre d'utilisateurs accédant à certaines applications.

Gestion centralisée de l'identification et des droits d'accès

COBIT	Solution Netegrity
Des contrôles permettent de garantir la gestion unique et centralisée de l'identification et des droits d'accès des utilisateurs, de l'identité du système et de la propriété des données, afin de veiller à l'homogénéité et à l'efficacité du contrôle d'accès global.	Des contrôles et processus centralisés peuvent être définis pour gérer la création et l'administration des identités, ainsi que la création et l'administration des accès au niveau granulaire, à l'aide de puissants concepts tels que le contrôle d'accès à base de profil (RBAC).

Rapports sur les violations et les activités de sécurité

COBIT	Solution Netegrity
La gestion de la sécurité informatique doit s'assurer que les violations et l'activité de sécurité sont enregistrées, rapportées, analysées et remontées de manière appropriée et régulière, afin d'identifier et de résoudre les incidents liés à une activité non autorisée.	La solution IAM de Netegrity fournit des méthodes de contrôle basées sur la prévention et la détection. Grâce à des fonctionnalités de déploiement de politique d'authentification et d'autorisation au niveau granulaire, la solution Netegrity offre des contrôles à caractère préventif.

Confiance des contreparties

COBIT	Solution Netegrity
La politique organisationnelle doit veiller au déploiement de pratiques de contrôle, afin de vérifier l'authenticité de la contrepartie fournissant des instructions et des transactions électroniques.	SiteMinder assure la gestion de nombreuses technologies d'authentification, notamment des mots de passe, des certificats X.509, des formulaires personnalisés et de la biométrie, ainsi que la combinaison de différentes méthodes d'authentification.

Autorisation transactionnelle

COBIT	Solution Netegrity
La politique organisationnelle doit veiller au déploiement, le cas échéant, de contrôles pour garantir l'authenticité des transactions et définir la validité de l'identité déclarée par un utilisateur au système.	Les fonctionnalités de gestion de l'authentification de Netegrity offrent un large éventail de mécanismes associés. Ainsi, les entreprises peuvent utiliser toute technologie nécessaire à l'établissement de l'identité de l'utilisateur

Non répudiation

COBIT

Solution Netegrity

La politique organisationnelle doit s'assurer que l'une ou l'autre des parties n'est pas en mesure de s'opposer au déploiement de transactions et de contrôles pour garantir la non répudiation de l'origine ou de la réception, de la preuve de soumission et de réception des transactions.Ce processus peut être mis en œuvre au moyen de signatures numériques, d'un horodatage et de parties tierces de confiance, le tout grâce à des politiques appropriées tenant compte des exigences réglementaires appropriées.

SiteMinder prend en charge un large éventail de stratégies d'authentification pour intégrer la répudiation. Les politiques d'authentification offrent aux administrateurs des fonctionnalités uniques de gestion de la sécurité, pour associer différentes méthodes d'authentification et personnaliser le formulaire d'authentification.
TransactionMinder et SiteMinder assurent la non répudiation de la transaction en consignant chaque transaction dans un journal d'audit complet, qui intègre en outre les informations d'authentification fournies dans l'hypothèse où la répudiation poserait un problème.

Gestion des clés cryptographiques

COBIT

Solution Netegrity

La Direction de l'entreprise doit définir et déployer des procédures et des protocoles pour générer, modifier, révoquer, détruire, distribuer, certifier, stocker, saisir, utiliser et archiver les clés cryptographiques afin de s'assurer de la protection de ces mêmes clés contre toute modification et divulgation non autorisée.En cas de compromission d'une clé, la Direction doit diffuser cette information à toutes les parties intéressées au moyen de listes de révocation certifiées ou de mécanismes apparentés.

SiteMinder supporte l'intégration à des modules de stockage matériel (HSM) pour garantir une plus grande sécurité au niveau du stockage et de l'utilisation des clés de chiffrement.
SiteMinder prend en charge le traitement de la liste CRL (Certificate Revocation List) pour les certificats numériques. En règle générale, ceci impose de rechercher la liste CRL dans un annuaire pour s'assurer que le certificat en cours n'a pas été révoqué.

Pour en savoir plus :
www.netegrity.com

Pour nous écrire :
info.france@netegrity.com