Azure pour la sécurité publique et la justice

Aperçu

Les organismes de sécurité publique et de justice sont soumis à une pression croissante pour assurer la sécurité des communautés, réduire la criminalité et améliorer leur réactivité. Le cloud computing transforme la manière dont les forces de l’ordre abordent leur travail. Il contribue aux systèmes de sensibilisation au maintien de l’ordre intelligent, aux systèmes de caméras-piétons déployés à l’échelle nationale ou régionale, ainsi qu’à la collaboration policière mobile au quotidien.

Lorsqu’ils sont correctement planifiés et sécurisés, les services cloud peuvent offrir de nouvelles capacités puissantes aux organismes de sécurité publique et de justice. Ces capacités incluent la gestion des preuves numériques, l’analyse des données et l’aide à la décision en temps réel. Les solutions peuvent être déployées sur les appareils mobiles les plus récents. Toutefois, tous les fournisseurs de cloud ne sont pas égaux. Lorsque les autorités policières adoptent le cloud, elles ont besoin d’un fournisseur de services cloud fiable. Le cœur de la mission de maintien de la loi nécessite des partenaires qui s’engagent à satisfaire un vaste éventail de besoins en matière de sécurité, de conformité et de fonctionnement.

Des appareils au cloud, Microsoft met en avant la confidentialité et la sécurité des informations, tout en augmentant la productivité des agents sur le terrain et dans l’ensemble du service. Les organismes de sécurité publique et de justice peuvent associer des appareils mobiles hautement sécurisés à un accès au cloud « à tout moment et en tout lieu ». Ce faisant, ils peuvent contribuer aux enquêtes en cours, analyser les données, gérer les preuves et aider à protéger les citoyens contre les menaces.

Microsoft considère la conformité aux Criminal Justice Information Services (CJIS) comme un engagement, et non comme une simple formalité. Chez Microsoft, nous nous engageons à fournir des solutions conformes aux contrôles de sécurité CJIS applicables, aujourd’hui comme à l’avenir. De plus, nous étendons notre engagement en faveur de la sécurité publique et de la justice par le biais de :

CJIS (Criminal Justice Information Services)

La division des CJIS (Criminal Justice Information Services) du FBI (Federal Bureau of Investigation) aux États-Unis accorde aux agences régionales, locales et fédérales des forces de l’ordre et de justice pénale l’accès aux informations sur la justice pénale (criminal justice information, CJI), par exemple, les dossiers d’empreintes digitales et les antécédents criminels. Les forces de l’ordre et les autres organismes gouvernementaux aux États-Unis doivent s’assurer que leur utilisation des services cloud pour la transmission, le stockage ou le traitement des CJI est conforme à la politique de sécurité CJIS, qui définit des exigences et des contrôles de sécurité minimaux afin de protéger les CJI.

Azure et la politique de sécurité CJIS

L’engagement de Microsoft à respecter les contrôles réglementaires CJIS applicables aide les organisations de justice pénale à se conformer à la politique de sécurité CJIS lors de la mise en œuvre de solutions basées sur le cloud. Pour en savoir plus sur le support Azure pour CJIS, consultez Offre de conformité Azure CJIS.

Le reste de cet article présente les technologies que vous pouvez utiliser pour protéger les CJI stockées ou traitées dans les services cloud Azure. Ces technologies peuvent vous aider à établir un contrôle exclusif sur les CJI dont vous avez la responsabilité.

Remarque

Il vous incombe d‘assurer votre conformité à toutes les lois et réglementations applicables. Les informations fournies dans cet article ne constituent pas de conseils juridiques et vous devez consulter votre conseiller juridique pour toute question relative à la conformité réglementaire.

Emplacement de données clients

Microsoft fournit des engagements clients solides concernant la résidence et les stratégies de transfert des données des services cloud. La plupart des services Azure sont déployés à l’échelle régionale et vous permettent de spécifier la région dans laquelle le service sera déployé, par exemple aux États-Unis. Cet engagement permet de s’assurer que les données client stockées dans une région américaine resteront aux États-Unis et ne seront pas déplacées vers une autre région en dehors des États-Unis.

Séparation des locataires

Azure est une plateforme de services cloud publics multitenants à très grande échelle qui vous donne accès à un environnement riche en fonctionnalités intégrant les dernières innovations du cloud, telles que l’intelligence artificielle, le machine learning, les services IoT, l’analytique Big Data, l’edge intelligent et bien d’autres encore, afin de vous aider à accroître votre efficacité et à dégager des insights sur vos opérations et vos performances.

Dans une plateforme cloud multilocataire, les applications et les données de plusieurs clients sont stockées sur le même matériel physique. Azure utilise une isolation logique pour séparer vos applications et vos données de celles des autres clients. Cette approche offre l’évolutivité et les avantages économiques des services cloud multitenants, tout en contribuant rigoureusement à empêcher les autres clients d’accéder à vos données ou à vos applications.

Azure répond au risque perçu lié au partage des ressources en fournissant une base de confiance pour garantir des services cloud multitenants, cryptographiquement fiables et logiquement isolés, reposant sur un ensemble commun de principes :

  • Des contrôles d’accès utilisateur avec authentification et séparation des identités
  • Isolation de calcul pour le traitement
  • Isolation réseau, incluant le chiffrement des données en transit
  • Isolation du stockage avec chiffrement des données au repos
  • Des processus d’assurance de la sécurité intégrés à la conception des services afin de développer correctement des services logiquement isolés

L’isolation logique du calcul est mise en œuvre au moyen de l’isolation par hyperviseur, de l’isolation Drawbridge et de l’isolation basée sur le contexte de l’utilisateur. Outre l’isolation logique du calcul, Azure vous propose également une isolation physique du calcul si vous avez besoin de serveurs physiques dédiés pour vos charges de travail. Par exemple, si vous souhaitez une isolation physique du calcul, vous pouvez utiliser Azure Dedicated Host ou des machines virtuelles isolées, qui sont déployées sur du matériel serveur dédié à un seul client. Pour en savoir plus, consultez Conseils Azure sur l’isolation sécurisée.

Chiffrement des données

Azure prend en charge de manière étendue la protection de vos données à l’aide du chiffrement des données, y compris différents modèles de chiffrement :

  • Chiffrement côté serveur qui utilise des clés gérées par le service, des clés gérées par le client (CMK) dans Azure ou CMK dans du matériel contrôlé par le client.
  • Chiffrement côté client qui vous permet de gérer et de stocker des clés locales ou dans un autre emplacement sécurisé.

Le chiffrement des données fournit des garanties d’isolation liées directement à l’accès à la clé de chiffrement. Étant donné qu’Azure utilise des chiffrements forts pour le chiffrement des données, seules les entités ayant accès aux clés de chiffrement peuvent avoir accès aux données. La révocation ou la suppression des clés de chiffrement restitue les données correspondantes inaccessibles. Si vous avez besoin d’un niveau de sécurité supplémentaire pour vos données client les plus sensibles stockées dans les services Azure, vous pouvez les chiffrer à l’aide de vos propres clés de chiffrement, que vous contrôlez dans Azure Key Vault.

Chiffrement validé FIPS 140

La norme FIPS (Federal Information Processing Standard) 140 est une norme du gouvernement américain qui définit les exigences de sécurité minimales pour les modules de chiffrement dans les produits de technologie de l’information. Microsoft maintient un engagement actif pour répondre aux exigences FIPS 140, ayant validé les modules de chiffrement depuis la création de la norme en 2001. Microsoft valide ses modules de chiffrement sous le Programme de validation du module de chiffrement (CMVP) (NIST) des États-Unis. Plusieurs produits Microsoft, y compris de nombreux services cloud, utilisent ces modules de chiffrement.

Bien que les instructions d’implémentation actuelles de FIPS 140 empêchent une validation FIPS 140 pour un service cloud, les fournisseurs de services cloud peuvent obtenir et utiliser des modules de chiffrement validés FIPS 140 pour les éléments informatiques qui composent leurs services cloud. Azure est construit avec une combinaison de matériel, de systèmes d’exploitation commerciaux (Linux et Windows) et d’une version spécifique Azure de Windows. Grâce au cycle de vie de développement de la sécurité (SDL) de Microsoft, tous les services Azure utilisent des algorithmes approuvés par FIPS 140 pour la sécurité des données car le système d’exploitation utilise des algorithmes approuvés par FIPS 140 tout en fonctionnant à hyperéchelle. Les modules de chiffrement correspondants sont validés FIPS 140 dans le cadre du programme de validation MICROSOFT Windows FIPS. De plus, vous pouvez stocker vos propres clés cryptographiques et autres secrets dans des modules matériels de sécurité (HSM) validés FIPS 140, sous votre contrôle, également appelés clés gérées par le client.

Gestion de la clé de chiffrement

La protection et la gestion appropriées des clés de chiffrement sont essentielles pour la sécurité des données. Azure Key Vault est un service cloud permettant de stocker et de gérer en toute sécurité les secrets. Key Vault vous permet de stocker vos clés de chiffrement dans des modules de sécurité matériels (HSM) validés PAR FIPS 140. Pour plus d’informations, consultez Gestion des clés de chiffrement des données.

Avec Key Vault, vous pouvez importer ou générer des clés de chiffrement dans des HSM, en garantissant que les clés ne quittent jamais le périmètre de protection du HSM afin de prendre en charge les scénarios bring your own key (BYOK). Les clés générées à l’intérieur des modules HSM Key Vault ne sont pas exportables : il ne peut y avoir de version en texte clair de la clé en dehors des modules HSM. Cette liaison est appliquée par le HSM sous-jacent. Azure Key Vault est conçu, déployé et exploité de telle sorte que Microsoft et ses agents ne voient ni extraient vos clés de chiffrement. Pour en savoir plus, consultez Comment Azure Key Vault protège-t-il vos clés ? Par conséquent, si vous utilisez des clés gérées par le client (CMK) stockées dans des HSM Azure Key Vault, vous conservez effectivement la propriété exclusive des clés de chiffrement.

Chiffrement des données en transit

Azure propose de nombreuses options pour chiffrer les données en transit. Le chiffrement des données en transit isole votre trafic réseau contre d’autres trafics et protège les données contre l’interception. Pour plus d’informations, consultez Chiffrement des données en transit.

Chiffrement des données au repos

Azure fournit des options étendues pour chiffrer les données au repos pour vous aider à protéger vos données et à répondre à vos besoins de conformité à l’aide de clés de chiffrement gérées par Microsoft et de clés de chiffrement gérées par le client. Ce processus s’appuie sur plusieurs clés et services de chiffrement tels qu’Azure Key Vault et Microsoft Entra ID pour garantir l’accès sécurisé aux clés et la gestion centralisée des clés. Pour plus d’informations sur le chiffrement stockage Azure et le chiffrement de disque Azure, consultez Chiffrement des données au repos.

Azure SQL Database fournit un chiffrement transparent des données (TDE) au repos par défaut. TDE effectue des opérations de chiffrement et de déchiffrement en temps réel sur les données et les fichiers journaux. La clé de chiffrement de base de données (DEK) est une clé symétrique stockée dans le secteur de démarrage de la base de données pour garantir sa disponibilité pendant la récupération. Il est sécurisé via un certificat stocké dans la base de données maîtresse du serveur ou une clé asymétrique appelée TDE Protector, stockée sous votre contrôle dans Azure Key Vault. Key Vault prend en charge l’apport de votre propre clé (BYOK), qui vous permet de stocker le protecteur TDE dans Key Vault et de contrôler les tâches de gestion des clés, notamment la rotation des clés, les autorisations, la suppression de clés, l’activation de l’audit/création de rapports sur tous les protecteurs TDE, et ainsi de suite. La clé peut être générée par le coffre de clés, importé ou transféré vers le coffre de clés à partir d’un appareil HSM local. Vous pouvez également utiliser la fonctionnalité Always Encrypted d’Azure SQL Database, conçue spécifiquement pour protéger les données sensibles en vous permettant de chiffrer des données à l’intérieur de vos applications et de ne jamais révéler les clés de chiffrement au moteur de base de données. De cette façon, Always Encrypted assure la séparation entre les utilisateurs qui possèdent les données (et peuvent l’afficher) et les utilisateurs qui gèrent les données (mais qui ne doivent pas avoir accès).

Chiffrement des données en cours d’utilisation

Microsoft vous permet de protéger vos données tout au long de son cycle de vie : au repos, en transit et en cours d’utilisation. L’informatique confidentielle Azure est un ensemble de fonctionnalités de sécurité des données qui offrent le chiffrement des données pendant leur utilisation. Grâce à cette approche, lorsque les données sont en clair, ce qui est nécessaire pour un traitement efficace des données en mémoire, les données sont protégées au sein d’un environnement d’exécution de confiance (TEE) basé sur le matériel, également connu sous le nom d’enclave).

Les technologies telles que les extensions Intel Software Guard Extensions (Intel SGX) ou la virtualisation AMD Secure Encrypted Virtualization (SEV-SNP) sont des améliorations récentes du processeur prenant en charge les implémentations informatiques confidentielles. Ces technologies sont conçues comme des extensions de virtualisation et fournissent des ensembles de fonctionnalités, notamment le chiffrement et l’intégrité de la mémoire, la confidentialité et l’intégrité de l’état du processeur et l’attestation. Pour en savoir plus, consultez la documentation Informatique confidentielle Azure .

Authentification multifacteur (MFA)

La stratégie de sécurité CJIS v5.9.2 a révisé les exigences d’authentification multifacteur (MFA) pour la protection CJI. L’authentification multifacteur (MFA) nécessite l’utilisation de deux facteurs ou plus, définis comme suit :

  • Quelque chose que vous connaissez, par exemple un nom d’utilisateur et un mot de passe ou un code d’identification personnel (PIN)
  • Quelque chose que vous possédez, par exemple un jeton matériel tel qu’une clé cryptographique stockée sur un dispositif dédié, ou un mot de passe à usage unique (OTP) transmis à un appareil matériel spécialisé.
  • Quelque chose que vous êtes, par exemple des informations biométriques

Conformément à la politique de sécurité CJIS, l’identification et l’authentification des utilisateurs de l’organisation exigent l’authentification multifacteur (MFA) pour les comptes à privilèges et sans privilèges, dans le cadre des exigences de contrôle d’accès aux CJI. L’authentification multifacteur (MFA) est requise au niveau d’assurance de l’authentificateur (AAL2), tel que décrit dans les Digital Identity GuidelinesSP 800-63 du National Institute of Standards and Technology (NIST). Les authentificateurs et les vérificateurs utilisés au niveau AAL2 doivent être validés conformément aux exigences du niveau FIPS 140 niveau 1.

L’application Microsoft Authenticator offre un niveau de sécurité supplémentaire à votre compte Microsoft Entra. Elle est disponible sur les téléphones mobiles fonctionnant sous Android et iOS. Avec l’application Microsoft Authenticator, vous pouvez fournir une vérification secondaire pour les scénarios d’authentification multifacteur (MFA) afin de répondre aux exigences MFA de la politique de sécurité CJIS. Comme mentionné précédemment, la politique de sécurité CJIS exige que les solutions de jetons matériels utilisent des modules cryptographiques validés au niveau FIPS 140 niveau 1. L’application Microsoft Authenticator répond aux exigences de validation FIPS 140 niveau 1 pour toutes les authentifications Microsoft Entra, comme expliqué dans Méthodes d’authentification dans Microsoft Entra ID – application Microsoft Authenticator. La conformité FIPS 140 de Microsoft Authenticator est actuellement assurée sur iOS et en cours de mise en œuvre sur Android.

De plus, Azure peut vous aider à satisfaire et à dépasser les exigences MFA de la politique de sécurité CJIS en prenant en charge le niveau d’assurance de l’authentificateur le plus élevé, Authenticator Assurance Level 3 (AAL3). Conformément à la section 4.3 de la norme NIST SP 800-63B, les authentificateurs multifacteurs utilisés au niveau AAL3 doivent s’appuyer sur des modules cryptographiques matériels validés globalement au niveau FIPS 140 niveau 2, avec au minimum un niveau FIPS 140 niveau 3 pour la sécurité physique, ce qui dépasse les exigences d’authentification multifacteur (MFA) de la politique de sécurité CJIS. Les vérificateurs utilisés au niveau AAL3 doivent être validés au niveau FIPS 140 niveau 1 ou supérieur.

Microsoft Entra ID prend en charge les exigences AAL3 de la norme NIST SP 800-63B, à la fois pour l’authentificateur et le vérificateur :

  • Exigences relatives à l’authentificateur : les clés de sécurité FIDO2, les cartes à puce et Windows Hello Entreprise peuvent vous aider à satisfaire aux exigences AAL3, y compris les exigences sous-jacentes de validation FIPS 140. La prise en charge par Microsoft Entra ID du niveau AAL3 de la norme NIST SP 800-63B dépasse les exigences d’authentification multifacteur (MFA) de la politique de sécurité CJIS.
  • Exigences du vérificateur : Microsoft Entra ID utilise le module cryptographique globalement validé Windows FIPS 140 niveau 1 pour l’ensemble de ses opérations cryptographiques liées à l’authentification. Il s’agit donc d’un vérificateur conforme à la norme FIPS-140.

Pour en savoir plus, consultez la Documentation Azure NIST SP 800-63.

Restrictions sur l’accès des initiés

Les menaces internes se caractérisent par le potentiel de fournir des connexions secrètes et des accès administrateur privilégiés aux fournisseurs de services cloud (CSP) pour vos systèmes et données. Pour plus d’informations sur la façon dont Microsoft limite l’accès insider à vos données, consultez Restrictions sur l’accès interne.

Supervision de vos ressources Azure

Azure fournit des services essentiels que vous pouvez utiliser pour obtenir des informations détaillées sur vos ressources Azure approvisionnées et recevoir des alertes sur les activités suspectes, y compris les attaques externes destinées à vos applications et données. Pour plus d’informations sur ces services, consultez surveillance par le client des ressources Azure.

Étapes suivantes

  • Dernière mise à jour :