Outils pour atteindre et maintenir la conformité SOC 2

Le respect du système et des contrôles organisationnels (SOC) 2 ne se résume pas à un simple processus mis en œuvre une seule fois pour passer un audit. Les modifications permanentes des procédures sont fastidieuses et prennent du temps, mais elles sont nécessaires pour que l'organisation puisse passer un audit SOC 2. Il ne s'agit pas simplement de fournir une trace écrite à l'expert-comptable. Vous devez disposer des contrôles et des outils adéquats pour maintenir la conformité en permanence, sous peine de violer les normes de conformité. Pour la plupart des organisations, perdre la conformité SOC 2 n'est pas une option, mais les bons outils vous permettront de rester en conformité et de faciliter le maintien de la conformité lors des futurs audits.

Contenu

1. Un bref aperçu de SOC 2
2. Respect des normes SLA
3. Suivi des mesures pour déterminer la conformité
4. Les ICP affectant d'autres indicateurs
5. Outils pour rester conforme
6. Conclusion

Un bref aperçu de SOC 2

Pour les organisations qui s'intéressent actuellement à la conformité SOC, la quantité d'informations à prendre en compte peut être écrasante. On peut avoir l'impression que tout est à revoir. La plupart des organisations s'efforcent de se conformer aux normes SOC 2 ou SOC 3. La principale différence entre la conformité SOC 2 et SOC 3 est que les rapports d'audit SOC 3 sont rendus publics. Les exigences sont les mêmes pour les deux types de conformité, mais les rapports SOC 3 sont généralement rendus publics sur le site du fournisseur. Par exemple, la plateforme cloud de Google est conforme à la norme SOC 3 et les rapports peuvent être consultés sur son site.

Les audits SOC 2 se concentrent sur la capacité de votre organisation à sécuriser les données et sur les contrôles utilisés pour garantir la disponibilité continue et l'intégrité des données de vos clients. Les cinq grands principes d'un audit sont les suivants

• Confidentialité: Votre organisation assure-t-elle la confidentialité des données à l'aide de contrôles d'accès, d'une authentification multifactorielle (MFA), du chiffrement et adhère-t-elle à des normes telles que la conformité FIPS 140-3 pour la sécurité cryptographique ?
• Sécurité: Bloquez-vous l'accès des attaquants aux données à l'aide de pare-feu, de détection d'intrusion et de MFA ?
• La disponibilité: Votre infrastructure comprend-elle des fonctions de contrôle des performances, de reprise après sinistre et de gestion des incidents ?
• Intégrité du traitement: Le cycle de développement des logiciels (SDLC) et le contrôle des modifications incluent-ils l'assurance qualité et la surveillance des processus ?
• Confidentialité: Le stockage des données comprend-il un système de cryptage, des contrôles d'accès et des pare-feux pour protéger les utilisateurs non autorisés ?

Notez que la conformité SOC 2 n'est pas une certification comme d'autres normes de conformité. Il s'agit d'un audit de vos procédures et de votre infrastructure actuelles afin de garantir que vous respectez un niveau élevé de sécurité et de disponibilité des données.

Respect des normes SLA

Dans la hâte de revoir et de renforcer l'infrastructure de cybersécurité, les normes des accords de niveau de service (SLA) sont souvent négligées. Les accords de niveau de service sont les promesses que vous faites à vos clients, et ces promesses sont contractuelles et doivent être respectées. Par exemple, si vous donnez à vos clients un délai de résolution de 5 jours pour un problème de niveau moyen, celui-ci doit être résolu dans ce délai, sinon vous manquez votre objectif de SLA.

Chez KernelCare, nous sommes à la fois un client et un fournisseur. Nous fournissons des services aux clients, mais notre personnel informatique interne doit soutenir les employés internes et respecter les accords de niveau de service définis par nos propres normes et les promesses faites aux employés internes. En étant à la fois un client et un fournisseur, nous comprenons l'importance du respect des accords de niveau de service et l'importance de fixer des attentes raisonnables.

Les accords de niveau de service peuvent être négociés, mais une fois le contrat signé, il est impératif que les organisations s'efforcent de respecter les exigences des accords de niveau de service. Les exigences et les mesures des accords de niveau de service sont généralement suivies dans des applications internes telles que les systèmes de billetterie. L'une de ces exigences est le temps de disponibilité et couvre le principe d'audit SOC 2 pour la disponibilité.

Suivi des mesures pour déterminer la conformité

Pour les organisations qui s'efforcent d'être en conformité, l'une des premières étapes consiste à établir des rapports et à collecter des données sous la forme d'indicateurs clés de performance (ICP). Les ICP sont utilisés pour mesurer plusieurs paramètres distincts dans tous les systèmes informatiques. Les ICP peuvent vous indiquer où vous excellez et où il y a matière à amélioration. Ils peuvent également vous indiquer où vous devez vous concentrer sur de meilleures stratégies et éliminer les goulets d'étranglement.

Les mesures du temps de disponibilité constituent un indicateur clé de performance couramment utilisé dans le cadre de la conformité à la norme SOC 2. Le temps de disponibilité (ou temps de fonctionnement du système) est le temps pendant lequel un système est disponible tout au long de l'année. Il peut s'agir d'un serveur, d'un équipement de réseau ou d'un système de stockage. Tout temps d'arrêt est pris en compte dans cette mesure, y compris la maintenance programmée qui met le service hors ligne et nécessite un redémarrage.

Pour obtenir d'excellents résultats en matière de disponibilité, les fournisseurs s'efforcent d'atteindre un nombre de neuf. Plus le pourcentage de temps de fonctionnement est élevé, plus la qualité du temps de fonctionnement et de la disponibilité qu'un fournisseur peut offrir à ses clients est élevée. Par exemple, une organisation qui ne peut promettre que 52,60 minutes de temps d'arrêt par an a une disponibilité ou un pourcentage de temps de fonctionnement de 99,99 %, soit quatre neuf. Plus le temps d'indisponibilité est faible, plus le pourcentage de disponibilité est élevé. Toutes les organisations s'efforcent d'atteindre 100 %, mais la réalité est que des problèmes peuvent survenir et interrompre inopinément un service, ne serait-ce que pour quelques millisecondes, et que la surveillance, les alertes et la réponse du personnel sont essentielles pour les accords de niveau de service (SLA) de remédiation.

Le temps de disponibilité n'est pas le seul indicateur utilisé dans les contrôles de conformité. En général, les organisations disposent de plusieurs indicateurs de performance clés pour déterminer l'efficacité des procédures en vigueur. Voici quelques autres indicateurs :

• Le nombre d'applications jugées vulnérables aux CVE (Common Vulnerability Exposures), classées par niveau de gravité (par exemple, élevé, moyen, faible).
• Temps moyen nécessaire pour corriger les logiciels vulnérables, y compris le système d'exploitation
• Disponibilité par service
• Charge et latence de l'hôte ou du réseau

Les ICP affectant d'autres indicateurs

Dans certains cas, vous pouvez constater que vous avez des ICP contradictoires qui brouillent les pistes et rendent difficile la détermination de ce qui se passe. Un ICR courant est le fameux "écart de vulnérabilité", c'est-à-dire le temps qu'il faut pour corriger un système lorsqu'une analyse révèle que le logiciel est vulnérable ou obsolète. Ce délai augmente à chaque heure qui passe sans que le système ne soit corrigé.

Les organisations qui retardent l'application des correctifs peuvent trouver que cette mesure est trop élevée pour assurer la conformité. En général, les correctifs sont programmés pour un jour précis chaque mois (ou éventuellement chaque semaine). Le problème est que les vulnérabilités sont désormais connues du public et que certaines sont annoncées avec un code d'exploitation. En retardant les mises à jour des logiciels, le serveur reste vulnérable et ouvert aux exploits. En 2019, 60 % des violations de données ont été causées par des vulnérabilités pour lesquelles un correctif était disponible.

Une mesure de l'ICP peut en affecter une autre et compromettre plusieurs objectifs. Par exemple, l'écart de vulnérabilité et les correctifs apportés peuvent affecter le temps de fonctionnement si le serveur doit être redémarré. De nouveaux CVE sont annoncés et des correctifs sont déployés chaque jour, de sorte qu'il peut devenir difficile pour les organisations de suivre et d'éviter un redémarrage, ce qui crée alors un temps d'arrêt affectant les accords de niveau de service (SLA). Par exemple, si vous devez patcher un système dans les 30 jours et que chaque session de patches programmée nécessite un redémarrage, votre pourcentage de disponibilité diminue.

Outils pour rester conforme

L'automatisation est une bonne stratégie pour respecter la conformité et rester dans les limites des accords de niveau de service. L'automatisation permet de détecter de nombreux problèmes avant qu'ils ne deviennent des brèches critiques ou des violations de la conformité. Elle peut également être utilisée pour remédier à certains problèmes, tels que l'application de correctifs. Les outils d'automatisation de la gestion des correctifs s'intègrent bien à de nombreux outils d'analyse des vulnérabilités disponibles sur le marché, de sorte qu'ils peuvent être utilisés conjointement pour améliorer l'écart de vulnérabilité.

Lorsque les vulnérabilités sont corrigées manuellement, les administrateurs peuvent se sentir dépassés. Ils doivent lire les rapports, déterminer la bonne version du logiciel, tester les correctifs, puis les déployer en production. Pour une organisation comptant des centaines de serveurs, cela nécessiterait une équipe entière qui gérerait les correctifs à temps plein. Ce système serait un gaspillage de ressources pour l'organisation alors que des outils d'automatisation sont disponibles. Au lieu de patcher manuellement, les outils d'automatisation de la conformité permettent de gagner du temps et d'économiser des ressources tout en aidant à maintenir l'alignement sur les exigences d'audit en constante évolution.

Voici quelques outils de conformité informatique utilisés par KernelCare pour répondre à la conformité SOC 2 et améliorer la sécurité de chaque serveur :

• Tenable Nessus: Nessus est l'un des scanners de vulnérabilité les plus populaires sur le marché. Il analyse votre réseau et trouve les vulnérabilités, y compris les logiciels non corrigés.
• Ivanti: Ivanti découvrira les actifs et gérera l'automatisation des correctifs.
• KernelCare: Nous utilisons notre propre produit pour maintenir les logiciels corrigés, y compris les bibliothèques tierces et le noyau Linux. En plus de patcher automatiquement les logiciels, KernelCare est une solution sans redémarrage, ce qui signifie que les serveurs n'ont pas besoin d'être redémarrés après avoir été patchés. Ce service nous permet de maintenir un temps de disponibilité aussi élevé que possible sans perdre de points de pourcentage en raison des temps d'arrêt dus aux redémarrages.

Conclusion

La mise à jour des serveurs avec les derniers correctifs de vulnérabilité est nécessaire pour rester conforme, mais il en va de même pour le respect des accords de niveau de service (SLA). En raison de ce conflit, il peut être difficile pour les entreprises de trouver les bons outils et de développer des procédures qui répondent à toutes les exigences. Grâce à l'automatisation, y compris l'application de correctifs sans redémarrage, les entreprises peuvent maintenir un pourcentage élevé de temps de fonctionnement tout en appliquant des correctifs aux systèmes vulnérables dans un délai de 30 jours. Le résultat est que ces outils vous rapprochent encore plus de la conformité SOC 2 après un audit.