10 Mar 2011 · par alex.broggi · Aucun commentaire
Après avoir traité des aspect généraux de la Sécurité puis de la Gouvernance de la Sécurité et la Sécurité Physique chez Service-now.com, je vous propose aujourd’hui de passer en revue les domaines de la Sécurité des Transmissions de Données ainsi que la Sécurité des Systèmes.
Sécurité des transmissions et du réseau
Il convient en premier lieu de vérifier que le trafic des données entre le navigateur Internet de vos utilisateurs et le centre de calcul hébergeant les serveurs de Service-now.com ne peut pas être intercepté ou modifié. Il s’agit en fait de la partie “facile” de la sécurité des transmissions puisque tout le trafic est encrypté “de bout en bout” (end to end) avec le protocole SSL sur 256 bits en utilisant l’algorithme AES comme le sont vos paiements bancaires (la fameuse syntaxe https://). Ce protocole est considéré comme extrêmement sûr car il n’a jamais été “cassé” au point de permettre un décryptage et une lecture claire des informations transitant sur un réseau.
Les choses deviennent plus techniques lorsque l’on parle de l’authentification des utilisateurs dans le système et de l’intégration avec les principaux référentiels de données de l’entreprise. En terme d’authentification, Service-now.com offre en standard une intégration avec les annuaires Active Directory ou LDAP sécurisée par le protocole “Secure LDAP” ou mieux par un VPN dédié (inclus dans le prix de Service-now.com). L’intégration avec les autres référentiels de l’entreprise ou avec des applications tierces pose un challenge intéressant. 2 approches sont possibles:
La première repose sur les Web Services qui est une méthode de communication sécurisée entre applications à travers Internet. Elle utilise d’ailleurs les mécanismes SSL déjà décrits plus haut et est donc intrinsèquement et nativement sûre! La seconde s’applique aux systèmes qui ne sont pas compatibles avec les Web Services. Comment en effet venir effectuer un query dans une base de données interne à partir d’Internet? C’est bien entendu impossible si votre LAN est correctement protégé! L’approche de Service-now.com consiste à vous demander d’installer un petit programme Java sur un de vos serveurs internes. Ce programme va agir comme une antenne de Service-now.com au sein de votre réseau. Il verra vos systèmes et applications, et pourra effectuer les extractions ou chargements de données et les transmettre à Service-now.com de manière sécurisée à travers des Web Services dédiés (donc sécurisés par le fameux SSL AES 256 bits). Ce programme Java ne fera que des appels sortants vers Service-now.com sur des ports connus et maîtrisés au sein de l’infrastructure du client. Il consultera la liste des tâches qu’il doit effectuer et enverra toutes les données résultant de ces recherches dans vos systèmes. Ce programme s’appelle le “MID server” si vous souhaitez creuser le Wiki!
Sécurité des systèmes
L’infrastructure installée par Service-now.com dans ses centres de calcul est une des clefs de la qualité et de la sécurité du service offert aux clients. C’est d’ailleurs là que se fait une des grandes différences entre une approche SaaS et une approche traditionnelle de système hébergé (anciennement appelée “ASP” et encore très communément utilisée par des concurrents prétendant offrir une solution en mode SaaS). Les différents systèmes installés (Firewall, système de détection d’intrusion [IPS], load balancers, web servers, application servers, database servers, SAN, …) sont tolérants aux pannes, par redondance interne de certains composants ou sous-ensembles, ou par duplication des équipements (clusters ou systèmes miroirs) et leurs ressources sont mutualisées, parfois partagées, en respectant la ségrégation des données et du trafic entre clients. Service-now.com offre également en standard et inclus dans le prix une reprise en cas de désastre dans un autre centre de calcul.
Ces systèmes sont sécurisés avant leur installation par une procédure dite de “hardening” afin de fermer tous les services non nécessaires au fonctionnement de Service-now.com et de palier à certaines vulnérabilités connues des systèmes. Une fois installés, ils sont scrupuleusement surveillés par des logiciels de scanning de vulnérabilités, tant depuis Internet que depuis l’intérieur du réseau. Les vulnérabilités identifiées sont analysées et immédiatement corrigées le cas échéant en suivant les procédures de “change management” de Service-now.com (évoquées dans le chapitre sur la gouvernance informatique). Les systèmes et logiciels sont également régulièrement mis à jour en suivant les recommandations des fabricants au sujet des patchs et des corrections liés à la sécurité…. toujours en suivant les procédures de change management (oui Service-now.com applique ITIL!).
Le prochain article sera le dernier de cette série sur les aspects sécuritaires du SaaS chez Service-now.com.
Articles liés:
- Sécurité du SaaS chez Service-now.com (1)
- Sécurité du SaaS chez Service-now.com (2)