{"id":2007,"date":"2019-07-02T14:32:00","date_gmt":"2019-07-02T14:32:00","guid":{"rendered":"https:\/\/altoo.io\/?p=2007"},"modified":"2024-08-01T14:01:53","modified_gmt":"2024-08-01T12:01:53","slug":"securite-pour-les-patrimoines-complexes-partie-1","status":"publish","type":"post","link":"https:\/\/altoo.io\/fr\/security-for-complex-wealth-part1\/","title":{"rendered":"S\u00e9curit\u00e9 pour les patrimoines complexes"},"content":{"rendered":"
La s\u00e9curit\u00e9 de l'information est un \u00e9l\u00e9ment cl\u00e9 de la plateforme patrimoniale d'Altoo dans lequel nous investissons continuellement pour maintenir et augmenter le plus haut niveau de protection. Dans cet article de blog, nous souhaitons partager avec vous un aper\u00e7u de notre approche de la s\u00e9curit\u00e9 et des mesures que nous prenons pour garantir que les donn\u00e9es de nos clients sont prot\u00e9g\u00e9es \u00e0 tout moment.<\/span><\/p>\n

Comprendre la gestion de la s\u00e9curit\u00e9<\/h2>\n

Une analogie possible pour comprendre la gestion de la s\u00e9curit\u00e9 est de la consid\u00e9rer comme une approche \u00e0 plusieurs niveaux, de la peau ext\u00e9rieure expos\u00e9e au noyau int\u00e9rieur le plus prot\u00e9g\u00e9. La gestion de la s\u00e9curit\u00e9 consiste \u00e0 identifier les diff\u00e9rentes menaces potentielles et \u00e0 d\u00e9finir et mettre en \u0153uvre des mesures globales de protection et de d\u00e9tection appropri\u00e9es.<\/span><\/p>\n

\"\"<\/p>\n

Dans la premi\u00e8re partie de notre s\u00e9rie sur la s\u00e9curit\u00e9 informatique chez Altoo, nous allons aborder certains des aspects physiques et organisationnels de notre concept de s\u00e9curit\u00e9. Dans la deuxi\u00e8me partie, nous nous concentrerons davantage sur le cyberespace.<\/span><\/p>\n

Aspects physiques du concept de s\u00e9curit\u00e9 d'Altoo<\/h2>\n

La couche physique est l'aspect le plus visible de la s\u00e9curit\u00e9. Elle comprend une couche ext\u00e9rieure et une couche int\u00e9rieure. <\/span><\/p>\n

La couche ext\u00e9rieure<\/h3>\n

Lors du lancement d'Altoo, nous avons d'abord d\u00fb d\u00e9cider dans quel pays les donn\u00e9es devaient \u00eatre stock\u00e9es. Etant nous-m\u00eames suisses, la Suisse semblait \u00eatre un choix naturel pour Altoo, mais il y avait bien plus que notre \"suissitude\".\u00a0<\/span><\/p>\n

La neutralit\u00e9, la stabilit\u00e9 de l'environnement politique, la faible corruption et l'infrastructure informatique bien d\u00e9velopp\u00e9e de la Suisse en font un pays de choix pour la construction et la maintenance d'installations de stockage de donn\u00e9es \u00e0 contenu sensible.<\/span><\/p>\n

L'\u00e9tape suivante consistait \u00e0 d\u00e9cider dans quel centre de donn\u00e9es nous souhaitions stocker nos donn\u00e9es. Travaillant avec des donn\u00e9es tr\u00e8s sensibles, nous avons choisi un niveau de s\u00e9curit\u00e9 comparable \u00e0 celui des banques suisses. Le terme technique est \"niveau de s\u00e9curit\u00e9 4\" sur 4. Pour ceux d'entre vous qui sont int\u00e9ress\u00e9s par les classifications des niveaux de s\u00e9curit\u00e9 des centres de donn\u00e9es, veuillez consulter le site suivant <\/span>cliquez ici<\/span><\/a> pour obtenir de plus amples informations.<\/span><\/p>\n

Le \"niveau 4\" comprend un ensemble de mesures de protection et de disponibilit\u00e9 telles que le verrouillage de l'acc\u00e8s par une seule personne avec une authentification forte comprenant des donn\u00e9es biom\u00e9triques, la climatisation, des syst\u00e8mes d'extinction d'incendie dans des zones d'incendie s\u00e9par\u00e9es, une alimentation \u00e9lectrique redondante sans coupure. Avec toutes ces mesures, le niveau 4 d\u00e9finit une tol\u00e9rance aux pannes de 99,995%. Des contr\u00f4les d'acc\u00e8s et des protocoles sont \u00e9galement appliqu\u00e9s pour les diff\u00e9rentes salles du centre de donn\u00e9es.\u00a0<\/span><\/p>\n

En cas de catastrophe (par exemple un incendie), la meilleure approche contre la perte de donn\u00e9es est la redondance physiquement s\u00e9par\u00e9e. Notre mat\u00e9riel et les donn\u00e9es qui y sont stock\u00e9es sont r\u00e9partis dans des zones d'incendie s\u00e9par\u00e9es au sein du centre de donn\u00e9es.<\/span><\/p>\n

Au-del\u00e0 des consid\u00e9rations de s\u00e9curit\u00e9, l'efficacit\u00e9 \u00e9nerg\u00e9tique (<\/span>PUE<\/span><\/a>) du centre de donn\u00e9es \u00e9tait \u00e9galement cruciale pour nous.<\/span><\/p>\n

La couche interne<\/h3>\n

Apr\u00e8s avoir examin\u00e9 les aspects ext\u00e9rieurs et physiques de la s\u00e9curit\u00e9 d'Altoo, nous passons aux zones int\u00e9rieures, qui deviennent importantes lorsqu'un attaquant surmonte les mesures de s\u00e9curit\u00e9 ext\u00e9rieures par la force brute ou la ruse et obtient l'acc\u00e8s \u00e0 notre mat\u00e9riel.<\/span><\/p>\n

Tout d'abord, les donn\u00e9es stock\u00e9es sont crypt\u00e9es. Par cons\u00e9quent, un simple vol de disque n'exposera pas les donn\u00e9es sensibles \u00e0 un attaquant.<\/span><\/p>\n

Toutefois, la s\u00e9curit\u00e9 des donn\u00e9es crypt\u00e9es d\u00e9pend de celle de leurs cl\u00e9s. Nous stockons des \u00e9v\u00e9nements de donn\u00e9es, tout changement est stock\u00e9 en tant qu'\u00e9v\u00e9nement (le concept technique appliqu\u00e9 est appel\u00e9 \"Event Sourcing\") avec son contenu de donn\u00e9es commerciales crypt\u00e9 individuellement.<\/span><\/p>\n

Toutes ces cl\u00e9s sont stock\u00e9es de mani\u00e8re redondante dans des unit\u00e9s de stockage de cl\u00e9s physiques inviolables, appel\u00e9es modules de s\u00e9curit\u00e9 mat\u00e9riels (HSM). L'expression \"inviolable\" signifie que toute manipulation physique supprimera les cl\u00e9s contenues. Ces cl\u00e9s ne quittent jamais l'appareil. La cl\u00e9 est ainsi prot\u00e9g\u00e9e contre le vol des donn\u00e9es crypt\u00e9es.<\/span><\/p>\n

Pour r\u00e9sumer les aspects physiques : Altoo dispose de coffres-forts physiquement s\u00e9par\u00e9s et redondants pour les cl\u00e9s de s\u00e9curit\u00e9 cruciales - les HSM - chacun dans un rack ferm\u00e9, r\u00e9partis dans diff\u00e9rentes pi\u00e8ces ferm\u00e9es avec un contr\u00f4le d'acc\u00e8s individuel au sein d'un b\u00e2timent hautement prot\u00e9g\u00e9 (un centre de donn\u00e9es avec un niveau de s\u00e9curit\u00e9 4) dans un pays stable avec un faible taux de corruption et de criminalit\u00e9 afin de s\u00e9curiser physiquement toutes les donn\u00e9es des clients.
\n<\/span><\/p>\n

Notre bureau de Zoug est \u00e9galement prot\u00e9g\u00e9. Outre un syst\u00e8me d'alarme, un contr\u00f4le d'acc\u00e8s et des patrouilles al\u00e9atoires d'agents de s\u00e9curit\u00e9 assurent une protection ad\u00e9quate de nos bureaux.<\/span><\/p>\n

La protection physique de nos donn\u00e9es est la base fondamentale de notre concept de s\u00e9curit\u00e9, mais elle n'a que peu de valeur si elle n'est pas accompagn\u00e9e de mesures organisationnelles pour contr\u00f4ler, v\u00e9rifier et mettre \u00e0 jour fr\u00e9quemment les mesures physiques prises.<\/span><\/p>\n

Aspects organisationnels du concept de s\u00e9curit\u00e9 d'Altoo<\/h2>\n

Les ressources les plus critiques de notre concept de s\u00e9curit\u00e9 sont les personnes impliqu\u00e9es dans la mise en place et la maintenance de tous les \u00e9l\u00e9ments de notre infrastructure de s\u00e9curit\u00e9.<\/span><\/p>\n

Toutes les op\u00e9rations critiques, y compris toutes les t\u00e2ches li\u00e9es \u00e0 la s\u00e9curit\u00e9 de notre infrastructure et de notre plateforme, sont ex\u00e9cut\u00e9es en interne par nos propres employ\u00e9s de confiance bas\u00e9s en Suisse. Par cons\u00e9quent, notre processus d'embauche est con\u00e7u pour v\u00e9rifier non seulement les comp\u00e9tences techniques, mais aussi le caract\u00e8re et les ant\u00e9c\u00e9dents de chaque candidat.<\/span><\/p>\n

Nous veillons \u00e0 ce que chaque coll\u00e8gue ait notre confiance et adh\u00e8re \u00e0 notre culture de sensibilisation \u00e0 la s\u00e9curit\u00e9. Par exemple, il est essentiel pour nous de collaborer dans notre bureau sans recourir \u00e0 la collaboration \u00e0 distance, car cela nous permet de mieux nous conna\u00eetre et favorise la confiance.<\/span><\/p>\n

En outre, un \u00e9l\u00e9ment central de notre s\u00e9curit\u00e9 organisationnelle est l'application stricte du principe du besoin de savoir. Les d\u00e9veloppeurs et m\u00eame les services informatiques n'ont pas d'acc\u00e8s g\u00e9n\u00e9ral et direct aux donn\u00e9es des clients. Les noms des clients sont g\u00e9n\u00e9ralement rendus anonymes par l'utilisation d'alias et ne sont visibles qu'en cas de n\u00e9cessit\u00e9 (par exemple, l'assistance frontale).<\/span><\/p>\n

Parler de ses clients sous des noms d'emprunt n'est jamais offensant, mais constitue une mesure de protection, car cette habitude r\u00e9duit consid\u00e9rablement le risque de glisser accidentellement des noms de clients, par exemple pendant la pause d\u00e9jeuner.<\/span><\/p>\n

La conception des processus chez Altoo est centr\u00e9e sur la s\u00e9curit\u00e9 et la qualit\u00e9. Voici quelques exemples de processus de d\u00e9veloppement et d'exploitation informatiques que nous avons mis en \u0153uvre pour am\u00e9liorer les normes de s\u00e9curit\u00e9 :<\/span><\/p>\n