Processus de gestion des incidents liés aux données

Télécharger la version PDF

Présentation

La priorité absolue de Google Cloud est d'offrir un environnement sûr et sécurisé pour les données client. Afin de protéger ces données, Google met en œuvre des mécanismes de sécurité de pointe qui combinent des processus stricts, une équipe d'envergure mondiale, ainsi qu'une infrastructure multicouche de sécurité et de confidentialité des informations. Ce document traite de l'approche de Google concernant la gestion des incidents liés aux données dans Google Cloud. Cette approche est basée sur plusieurs principes.

La gestion des incidents est un aspect essentiel du programme global de sécurité et de confidentialité de Google. Nous appliquons un processus rigoureux de gestion des incidents liés aux données. Ce processus spécifie les actions à entreprendre ainsi que les procédures de transmission, d'atténuation des risques, de résolution et de notification applicables en cas d'incidents affectant la confidentialité, l'intégrité ou la disponibilité des données client.

Google définit un incident lié aux données comme une violation de la sécurité qui entraîne, de manière accidentelle ou illégale, la destruction, la perte ou l'altération des données client sur des systèmes gérés ou contrôlés par Google, ou bien encore l'accès non autorisé à ces données ou leur divulgation illicite. Bien que Google ait pris des mesures visant à réduire les menaces prévisibles à l'encontre des données et des systèmes, les incidents liés aux données n'incluent pas les tentatives infructueuses ni les activités ne compromettant pas la sécurité des données client, telles que les échecs de connexion, les pings, les balayages de ports, les attaques par déni de service, ou les autres attaques réseau touchant les pare-feu ou les systèmes en réseau.

Comment Google aide à sécuriser les données client

La sécurité des données client, qui revêt une importance capitale, est le résultat de la collaboration entre Google et le client. Tandis que Google sécurise l'infrastructure et les services cloud sous-jacents, le client protège ses applications, ses appareils et ses systèmes en les faisant reposer sur l'infrastructure cloud de Google. Google fournit des conseils aux clients et leur propose de nombreuses fonctionnalités permettant d'appliquer ses pratiques de sécurité :

  • Gestion de l'authentification et des accès

  • Chiffrement au repos et en transit par défaut (c'est-à-dire sans aucune démarche supplémentaire de la part des clients)

  • Authentification multifacteur, y compris la clé matérielle antihameçonnage de deuxième facteur

  • Série d'options de sécurité réseau, telles que des clouds privés virtuels (VPC), des VPC partagés ou une protection contre les attaques DDoS, qui sont intégrées aux applications SaaS (Software as a Service) et aux solutions PaaS (Platform as a Service), et peuvent être étendues aux solutions IaaS (Infrastructure as a Service)

  • Journaux d'audit détaillés

Pour découvrir la façon dont Google sécurise le cloud, consultez la page Présentation de la sécurité sur l'infrastructure de Google ainsi que la présentation NEXT 2018 concernant la sécurité. Vous pouvez également accéder au site sur la sécurité de Google Cloud.

Google offre aux clients une visibilité sur les services qu'ils utilisent sur Google Cloud. Ils peuvent en effet accéder au centre de sécurité pour G Suite afin de prévenir, détecter et résoudre les problèmes liés à Gmail, à Drive, aux appareils, à OAuth et aux comptes utilisateur. Dans le cas de GCP, les clients peuvent se rendre sur la plateforme Cloud Security Command Center pour obtenir une visibilité sur les ressources, les failles, les risques et les règles au sein de leur organisation.

De leur côté, les clients doivent correctement configurer les fonctionnalités de sécurité afin de satisfaire leurs propres besoins, installer des mises à jour logicielles, paramétrer des zones de sécurité réseau et des pare-feu, et s'assurer que les utilisateurs finaux sécurisent leurs identifiants de compte et n'exposent pas de données sensibles à des tiers non autorisés.

La figure 1 illustre le partage de la responsabilité entre le client et Google en fonction de l'étendue des services gérés exploités par le client. Lorsque le client passe de solutions sur site à des offres de cloud computing IaaS, PaaS et SaaS, Google gère une plus grande partie du service cloud global, déchargeant d'autant le client en matière de responsabilités de sécurité.

Pour en savoir plus sur les configurations de la sécurité dans le cloud, les clients peuvent se reporter à la documentation produit applicable.

Graphique décrivant la responsabilité du client et de Google

Gestion des incidents liés aux données

Le programme de gestion des incidents de Google est géré par des équipes d'experts qui assument de nombreuses fonctions spécialisées afin de garantir que chaque réponse est adaptée aux défis présentés par chaque incident. En fonction de la nature de l'incident, l'équipe professionnelle de gestion des incidents peut intervenir dans les domaines suivants :

  • Gestion des incidents dans le cloud
  • Ingénierie produit
  • Ingénierie en fiabilité des sites
  • Sécurité et confidentialité dans le cloud
  • Investigation numérique
  • Investigation globale
  • Détection de signaux
  • Conseils sur la sécurité, la confidentialité et les produits
  • Fiabilité et sécurité
  • Technologie contre les abus
  • Service client

Les experts de ces équipes œuvrent de différentes manières. Par exemple, les chargés d'incidents coordonnent la gestion des incidents et, si nécessaire, l'équipe d'investigation numérique détecte les attaques en cours et procède à des enquêtes. Les ingénieurs produit cherchent à limiter l'impact sur les clients et proposent des solutions visant à corriger le ou les produits concernés. L'équipe juridique collabore avec les membres de l'équipe responsable des questions de sécurité et de confidentialité afin de mettre en œuvre la stratégie adoptée par Google pour la collecte de preuves. Elle communique également avec les organismes chargés de l'application des lois et les autorités de réglementation gouvernementales, et fournit des conseils sur les questions et les obligations légales. Le personnel d'assistance répond aux questions des clients ainsi qu'à leurs demandes d'informations et d'aide.

Organisation de l'équipe

Lorsque nous déclarons un incident, nous désignons un chargé d'incidents qui coordonne sa gestion et sa résolution. Le chargé d'incidents sélectionne des spécialistes issus de différentes équipes et forme une équipe de gestion des incidents. La figure 2 ci-dessous illustre l'organisation classique de cette équipe. Le chargé d'incidents délègue le traitement de divers aspects de l'incident à ces professionnels, et gère celui-ci depuis sa déclaration jusqu'à sa résolution. La figure 2 décrit l'organisation des différents rôles et leurs responsabilités lors de la gestion d'un incident.

Organisation de l'équipe de gestion des incidents liés aux données

Processus de gestion des incidents liés aux données

Chaque incident lié aux données est unique. Notre processus de gestion des incidents liés aux données vise à protéger les données des clients, à restaurer un fonctionnement normal le plus rapidement possible, ainsi qu'à respecter les exigences de conformité réglementaires et contractuelles. Le programme de gestion des incidents de Google suit le processus suivant :

Workflow de gestion des incidents

Identification

Pour pouvoir résoudre efficacement les incidents, il est essentiel de les identifier rapidement et précisément. L'objectif de cette phase est de surveiller les événements liés à la sécurité afin de détecter et de signaler les éventuels incidents affectant les données.

L'équipe de détection des incidents de Google emploie des outils de détection avancés, ainsi que des signaux et des mécanismes d'alerte qui permettent d'identifier rapidement les incidents potentiels.

Google exploite les sources suivantes pour détecter les incidents :

  • Analyse automatique des journaux système et réseau : l'analyse automatique du trafic réseau et de l'accès au système permet d'identifier les activités suspectes, abusives ou non autorisées. Elle est transmise au personnel de sécurité de Google.

  • Tests : l'équipe de sécurité de Google recherche activement les menaces de sécurité à l'aide de tests d'intrusion, de mesures de contrôle qualité, d'un processus de détection des intrusions et d'examens de la sécurité logicielle.

  • Examens de code internes : les examens du code source permettent d'identifier les failles cachées ou les défauts de conception, et de vérifier si les principaux contrôles de sécurité sont mis en œuvre.

  • Outils et processus propres au produit : des outils automatisés propres aux équipes sont employés autant que possible afin d'améliorer la capacité de Google à détecter les incidents au niveau du produit.

  • Détection des anomalies d'utilisation : Google exploite de nombreuses couches de systèmes de machine learning pour différencier les activités saines des activités anormales au niveau des navigateurs, des appareils ou des connexions aux applications, ainsi que lors d'autres événements d'utilisation.

  • Alertes de sécurité au niveau des centres de données et/ou des lieux de travail : des alertes de sécurité déclenchées dans les centres de données permettent d'analyser les incidents susceptibles d'affecter l'infrastructure de l'entreprise.

  • Employés Google : un employé Google détecte une anomalie et la signale.

  • Initiative Vulnerability Reward Program de Google : les éventuelles failles techniques qui affectent la confidentialité ou l'intégrité des données utilisateur dans les extensions de navigateur ou les applications mobiles et Web détenues par Google sont parfois signalées par des chercheurs en sécurité externes.

Coordination

Lorsqu'un incident est signalé, l'employé d'astreinte examine et évalue la nature du rapport d'incident pour déterminer s'il s'agit d'un éventuel incident lié aux données et lance le processus de gestion des incidents de Google.

Une fois confirmé, l'incident est transmis à un chargé d'incidents qui en évalue la nature et met en œuvre une approche coordonnée de l'intervention requise. À ce stade, l'intervention se traduit par l'évaluation de la nature de l'incident, l'ajustement de son niveau de gravité si nécessaire et le déploiement d'une équipe d'intervention adaptée, dont les responsables opérationnels/techniques appropriés examinent les faits et identifient les principaux domaines nécessitant une enquête. Nous désignons un chef de produit et un responsable juridique qui sont chargés de prendre les décisions clés concernant la démarche à suivre. Le chargé d'incidents attribue les rôles pour l'enquête et les faits sont rassemblés.

De nombreux aspects de l'intervention de Google dépendent de l'évaluation de la gravité, qui est basée sur les principaux faits recueillis et analysés par l'équipe de gestion des incidents. Les points pris en compte incluent :

  • Le risque de préjudice pour les clients, les tiers et Google

  • La nature de l'incident (par exemple, si des données ont été potentiellement détruites, si elles ont été consultées ou si elles sont devenues indisponibles)

  • Les types de données pouvant être affectés

  • L'impact de l'incident sur l'utilisation du service par les clients

  • L'état de l'incident (par exemple, s'il est isolé, continu ou maîtrisé)

Le chargé d'incidents et les autres responsables réévaluent régulièrement ces facteurs tout au long du processus à mesure que de nouvelles informations sont disponibles, afin de veiller à ce que le degré d'urgence soit correctement déterminé et que les ressources appropriées soient engagées. Les événements présentant l'impact le plus critique se voient attribuer le niveau de gravité le plus élevé. Un responsable des communications est nommé pour établir un plan de communication avec les autres responsables.

Résolution

À ce stade, l'accent est mis sur la recherche de la cause première, la limitation de l'impact de l'incident, la résolution des risques de sécurité immédiats (le cas échéant), la mise en œuvre des correctifs nécessaires dans le cadre de la résolution ainsi que la restauration des systèmes, données et services affectés.

Les données concernées sont restaurées à leur état d'origine dès que possible. En fonction des mesures nécessaires pour remédier à un incident spécifique, Google peut mettre en œuvre d'autres procédures afin de le résoudre. Par exemple, une investigation technique ou numérique peut être nécessaire pour détecter la cause première d'un problème ou identifier l'impact sur les données client. Google peut tenter de récupérer des copies des données à partir de ses copies de sauvegarde si les données ont été altérées ou détruites de façon inappropriée.

Un aspect important de la résolution consiste à informer les clients des incidents qui affectent leurs données. Les principaux faits sont évalués tout au long de l'incident afin de déterminer si des données client ont été touchées ou non. S'il est nécessaire d'informer le client d'un incident, le chargé d'incidents lance le processus de notification. Le responsable des communications élabore un plan de communication à l'aide des rapports établis par le chef de produit et le responsable juridique, informe les personnes concernées et traite les demandes du client après la notification avec l'aide de notre équipe d'assistance.

Google s'efforce de fournir des notifications rapides, claires et précises, et d'y inclure les informations connues concernant l'incident lié aux données, les mesures prises pour atténuer les risques éventuels, ainsi que les actions que Google recommande au client pour la gestion de l'incident. Nous faisons de notre mieux pour offrir une vision claire de l'incident, et pour permettre aux clients d'évaluer et de remplir leurs obligations de notification.

Clôture

Une fois qu'un incident lié aux données est résolu, l'équipe de gestion des incidents évalue les enseignements qu'elle a tirés de celui-ci. Lorsque l'incident soulève des problèmes critiques, le chargé d'incidents peut lancer une analyse post-mortem. Lors de ce processus, l'équipe de gestion des incidents examine les causes de l'incident ainsi que la réponse de Google, puis identifie les principaux points à améliorer. Dans certains cas, il est nécessaire d'instaurer un dialogue entre différentes équipes produit, opérationnelles et d'ingénierie, et d'œuvrer à l'amélioration du produit. Si un travail de suivi est requis, l'équipe de gestion des incidents élabore un plan d'action à cet effet et nomme des chefs de projet afin de mener à bien cette tâche sur le long terme. L'incident est clos une fois le travail de résolution terminé.

Amélioration continue

Nous mettons tout en œuvre pour tirer des leçons de chaque incident et établir des mesures préventives afin d'éviter que d'autres ne se produisent à l'avenir.

Les insights exploitables obtenus lors de l'analyse des incidents nous permettent d'améliorer nos outils, nos formations, nos processus, le programme global de sécurité et de protection des données confidentielles de Google, les règles de sécurité et/ou les efforts d'intervention. Ces enseignements facilitent également la hiérarchisation des démarches d'ingénierie à mener et la conception de meilleurs produits.

Les professionnels de la sécurité et de la confidentialité de Google améliorent le programme de sécurité en examinant les plans de l'entreprise concernant la sécurité pour tous les réseaux, systèmes et services, et fournissent aux équipes produit et d'ingénierie des services de conseil propres aux projets. Ils déploient des outils de machine learning et d'analyse de données, ainsi que d'autres techniques innovantes qui permettent de surveiller les activités suspectes sur les réseaux de Google, de gérer les menaces liées à la sécurité des informations, de procéder fréquemment à des évaluations et audits de sécurité, et de faire appel à des experts externes qui évaluent régulièrement la sécurité. En outre, notre équipe connue sous le nom de Project Zero s'attache à plein temps à prévenir les attaques ciblées en signalant les bugs aux fournisseurs de logiciels et en les archivant dans une base de données externe.

Google organise régulièrement des formations et des campagnes de sensibilisation pour stimuler l'innovation dans le domaine de la sécurité et de la confidentialité des données. Le personnel dédié à la gestion des incidents est formé à l'investigation numérique et au traitement des preuves, y compris à l'utilisation d'outils tiers et propriétaires. Les tests des processus et procédures de gestion des incidents sont menés sur des zones clés, telles que les systèmes stockant des informations client sensibles. Ces tests tiennent compte de divers scénarios (tels que la présence de menaces internes et de failles logicielles) et nous aident à mieux nous préparer aux incidents de sécurité et de confidentialité.

Les processus de Google sont régulièrement testés dans le cadre de nos programmes ISO-27017, ISO-27018, ISO-27001, PCI-DSS, SOC 2 et FedRAMP. Cela garantit à nos clients et aux autorités de réglementation que nos dispositifs de contrôle de la sécurité, de la confidentialité et de la conformité sont vérifiés de façon indépendante. Une liste plus complète des certifications tierces de Google Cloud est disponible sur cette page.

Résumé

Comme décrit ci-dessus, Google applique un programme de gestion des incidents d'envergure mondiale qui inclut les fonctions clés suivantes :

  • Un processus de résolution des incidents reposant sur des techniques de pointe et adapté pour fonctionner efficacement à l'échelle de Google

  • Des systèmes innovants de surveillance, d'analyse des données et de machine learning permettant de détecter et de contenir les incidents de manière proactive

  • Des experts dédiés pouvant être déployés pour remédier à tous les types d'incidents liés aux données, quelle que soit leur taille

  • Un processus éprouvé permettant d'informer rapidement les clients concernés, conformément aux engagements de Google stipulés dans ses conditions d'utilisation et ses contrats client

La protection des données se trouve au cœur de la démarche de Google. Nous investissons en permanence dans notre programme de sécurité global afin d'acquérir davantage de ressources et d'étendre notre expertise. Nos clients peuvent ainsi compter sur nous pour réagir efficacement en cas d'incident, protéger leurs données et offrir un service dont le degré de fiabilité est conforme à la qualité Google.