Apaiser les tensions entre la sécurité des données et l’automatisation

James HendergartDirecteur principal de la recherche technique | F5

L’automatisation est en contradiction avec la sécurité des données en entreprise. Pourquoi ?

Le cœur du problème

L’automatisation accroît la productivité en exploitant la puissance des machines. Pour le coût d’un seul travailleur de l’information, il est possible d’acheter ou de louer de nombreux serveurs dans le cloud. Cependant, l’accès aux données de l’entreprise, en particulier aux vitesses et dans les volumes propres aux machines, contrevient à une multitude de politiques conçues et appliquées pour réduire le risque de diffusion et d’exposition de ces données. J’ai récemment été confronté à ces forces contradictoires lors de la mise en place d’une automatisation.

L’automatisation extrait les indicateurs d’audience de certaines pages web internes et les insère dans un ensemble de feuilles de calcul. Ces feuilles sont ensuite déplacées vers un dossier réseau, où une seconde automatisation détecte les nouveaux fichiers et les charge à un emplacement défini. Mon collègue y relève alors toute activité ou tendance nécessitant une attention particulière. Nous en sommes ravis. Mais après plusieurs semaines de bon fonctionnement, le processus a échoué en raison de l’expiration d’un secret de sécurité. Notre politique de gouvernance des accès aux données impose l’expiration régulière de certains identifiants système. C’est une bonne chose pour la sécurité. Mais l’expiration des identifiants interrompt les automatisations. Et c’est mauvais pour la productivité.

Faire expirer régulièrement les secrets de sécurité est incontestablement une bonne pratique, mais cela doit-il nécessairement provoquer des dysfonctionnements ? L’automatisation fait gagner un temps considérable à mon équipe, mais elle se contente de lire des données à un emplacement et de les reformater afin de faciliter leur analyse à un autre. Doit-elle vraiment s’exécuter avec le même niveau de privilèges que moi, un être humain ? Il doit bien y avoir un compromis possible.

Compromis

Voici deux options qui pourraient constituer un compromis :

Option A

Émettre un avertissement cinq jours avant l’expiration, afin de laisser le temps de procéder au renouvellement avant que quoi que ce soit ne cesse de fonctionner.

Option B

Émettez des identifiants de service propres à la tâche d’automatisation, en leur accordant uniquement les privilèges strictement nécessaires.

Traitez l’automatisation comme un autre type d’utilisateur

Les deux options respectent les exigences de l’organisation en matière de sécurité des données. En améliorant légèrement la visibilité et la communication entre les équipes métier et les opérations de sécurité (SecOps), il est possible de parvenir à une solution à la fois prudente et efficace. Un compromis mûrement réfléchi peut atténuer les tensions entre les impératifs de sécurité des données et les automatisations qui améliorent la productivité. Dans la plupart des cas, aucune des deux parties n’y perd, et c’est donc l’entreprise qui en sort gagnante.

L’automatisation introduit un nouveau type d’utilisateur dans la gouvernance d’entreprise : le travailleur machine. Elle rapproche les responsables de la mise en œuvre des politiques de sécurité et ceux de l’automatisation. Les organisations qui reconnaissent ce nouvel utilisateur et examinent précisément ses besoins réels pourront sortir d’une logique à somme nulle, instaurer des pratiques d’utilisation des données plus sûres et tirer parti des gains commerciaux offerts par les technologies qui améliorent la productivité.

À propos de l’auteur

James HendergartDirecteur principal de la recherche technique | F5

Autres articles de James Hendergart