BRAINWAVE FOR GOOGLE APPS FOR WORK

BRAINWAVE GOUVERNANCE ET SÉCURITÉ

LIVRE BLANC

POURQUOI ET COMMENT RENFORCER LA VISIBILITÉ, LA GOUVERNANCE ET LA SÉCURITÉ

POUR GOOGLE APPS FOR WORK

GOUVERNANCE ET SÉCURITÉ POUR GOOGLE APPS FOR WORK

LES ENTREPRISES ADOPTENT DE PLUS EN PLUS DES APPLICA-TIONS ET SERVICES CLOUD

Les raisons en sont simples, il s’agit d’améliorer leur productivité, de baisser les coûts IT, mais aussi d’accélérer leur transformation numérique.

Plus de quatre millions d’entreprises dans le monde utilisent Google Apps. Comme cette tendance continue de croître, Google a su proposer à ses clients des évolutions pour mieux garantir la protection de la vie privée, la sécurité et certains niveaux de conformité métier. L’apparition de Google Vault en est une des preuves avec la possibilité d’auditer les fichiers et messages.

Malgré tout, avec de plus en plus de données stockées dans le cloud et accessibles via n’importe quel terminal à l’intérieur comme à l’extérieur de l’entreprise, par les collaborateurs, les partenaires ou les sous-traitants, un nouveau cadre de sécurité, de gouvernance et d’audit s’impose aux entreprises.

Brainwave est un éditeur fran-çais, parmi les leaders mon-diaux en analyse de la sécurité.

Brainwave, avec Brainwave for Google Apps for Work, fournit une solution clé en main pour l’audit et le contrôle des droits d’accès des utilisateurs du sys-tème d’Information : comptes, accès, rôles, transactions, res-ponsabilités ...

Grâce à Brainwave les entre-prises réduisent significative-ment les risques de fraude et de fuite de données en s’assu-rant en continu que les droits d’accès aux informations sen-sibles sont parfaitement gérés.

Contrairement aux solu-tions traditionnelles de ges-tion des identités, la solution Brainwave se met en place en quelques jours et couvre 100% des applications et des don-nées du système d’informa-tion.

QUEL TYPE DE GOUVERNANCE POUR LE CLOUD ?

Les données partagées et hébergées dans le Cloud sont bien souvent des actifs sensibles, il peut s’agir de propriété intellectuelle, de données clients et même d’informations financières.

A partir de ce constat sans équivoque, il est évident que l’entreprise doit se doter de politiques de sécurité parfaitement adaptées. C’est le cas dans la majorité des entreprise mais naturellement l’acceptation et le respect des règles par les utilisateurs n’est pas toujours infaillible.

Si il est important que les utilisateurs connaissent et adhèrent aux politiques de sécurité et de conformité de l’entreprise, il est nécessaire de contrôler afin d’éradiquer les risques, qu’il s’agisse de fraude, de fuite de données ou de cyber-attaques.

L’utilisation des données doit être gérée, surveillée, protégée et auditée pour éviter que des utilisateurs maladroits, malveillants, ou compromis par une attaque puissent exfiltrer le capital le plus précieux de l’entreprise.

Google Apps est un environnement issu du monde du B2C qui évolue vers celui de l’entreprise. Ceci explique que comparativement à une application traditionnelle Google Apps for Work n’offre pas toutes les fonctionnalités de gouvernance nécessaires à garantir la sécurité du SI.

Beaucoup d’entreprises ayant recours aux applications en mode SaaS ne comprennent pas bien la répartition des responsabilités en termes de sécurité.

Les responsables de la sécurité expriment des difficultés de compréhension avec les détails contratuels de leurs fournisseurs de services cloud.

La plupart du temps ils placent, par erreur, la responsabilité vis à vis du risque de fraude et de fuite de données sur leurs fournisseurs SaaS.

UN ENVIRONNEMENT DE GOUVERNANCE ADAPTÉ

Les solutions de sécurité en place ne sont pas conçues pour protéger les applications de type SaaS. Des solutions de sécurité de réseau traditionnelles comme les firewalls, SIEM et IPS n’ont pas de visibilité dans les transactions qui sont uniques à chaque application et n’ont aucune possibilité de savoir comment les données sont utilisées et stockées. De plus, Google Apps for Work est conçu pour être à l’extérieur du réseau VPN de l’entreprise, ce qui signifie que cet environnement se retrouve en dehors de portée des contrôles informatiques existants.

La sécurité délivrée par des fournisseurs de Cloud nécessite d’être complétée par de nouveaux contrôles de sécurité, Les contrats des fournisseurs Cloud stipulent que la responsabilité de la donnée incombe au client.

SÉCURITÉ ET SOLUTIONS SAAS : QUELLE MATURITÉ ?

Dans son ‘‘Critical Capabilities for Enterprise File Synchronization and Sharing 2014’’ Gartner évalue les capacités de sécurité des principales solutions de partage de fichiers, dont Google Drive.

Gartner met en évidence la nécessité de renforcer la vigilance. Des mesures restent à prendre pour garantir la sécurité et intégrer Google Apps for Work dans le système de gouvernance globale de l’entreprise.

QUI PORTE LA RESPONSABILITÉ DES RISQUES DE SÉCURITÉ ?

1. L’adoption massive du Cloud ne peut pas être ignorée. Les applications en mode SaaS font partie intégrante du patrimoine applicatif de l’entreprise. En outre, l’équation se complexifie par l’ajout d’applications ‘’fantômes’’ (ShadowIT) introduites par des collaborateurs ou départements. Une nouvelle donne qui représente autant d’opportunités business que de nouveaux risques de sécurité.

2. La sécurité n’est plus la chasse gardée de la DSI, mais une responsabilité partagée entre toutes les parties prenantes : la sécurité informatique, les responsables métiers et les fournisseurs SaaS.

3. La sécurité des applications dans le Cloud repose sur une responsabilité partagée. La meilleure façon de l’aborder passe par une intégration fine des outils du fournisseur avec ceux du client en privilégiant les fonctionnalités avancées comme l’analytique comportementale des utilisateurs (UBA)

BRAINWAVE FOR GOOGLE APPS FOR WORK

Avec Brainwave for Google Apps for Work, on dispose de la puissance d’une solution de Business Intelligence au service de la sécurité et de la confidentialité des données. Brainwave for Google Apps for Work crée un environnement collaboratif pour que la DSI, les équipes ‘’risk management’’ et audit interne collaborent efficacement, pour répondre à leurs impératifs de sécurité et de conformité.

CONTRÔLE AUTOMATIQUE EN CONTINU

Pour vous aider à vérifier la mise en application scrupuleuse de vos politiques de sécurité, Brainwave for Google Apps for Work automatise le contrôle continu des droits, des accès et des partages sur Google Apps for Work. Vous avez ainsi l’assurance que vos actifs sont protégés.

Grâce à ses algorithmes de détection des relations entre les utilisateurs, les données et les applications, Brainwave for Google Apps for Work met en évidence les défauts ou anomalies. Vous pouvez ainsi remédier simplement de façon pro-active à toute exception.

• Donne la visibilité sur qui accède à quoi et qui partage quoi• Limite les risques de fraude et de fuite de données en

analysant l’utilisation, des comportements suspects ou anormaux

• S’assure que les comptes sont désactivés suite au départ des employés et des prestataires.

• Circonscrit les risques liés aux partages publics• Contrôle la légitimité des accès à Google Apps for Work y

compris le contrôle des utilisateurs à priviléges• Détecte et cartographie les partages de fichiers Google

Drive pour en assurer la légitimité et la cohérence.• Réduit le coût total de possession grâce à l’audit permanent

des comptes inactifs ou orphelins.

Brainwave for Google Apps for WorkTM permet d’identifier les situations anormales ou à risque.

La solution recense et audit, en continu, les droits des utilisateurs du SI et met en corrélation ces informations avec leur activité et intéractions avec les applications ainsi que les données

Elle consolide les données, les analyse afin d’établir des rapports et des alertes à l’attention de la DSI et des métiers.

Il est impératif de développer des politiques de sécurité intégrant le paramètre Cloud.

Tandis que ces services contribuent à la productivité des employés, les entreprises doivent savoir qui accède à quoi et qui partage quoi avec qui !

La définition et la communication d’une charte d’entreprise définissant précisément les règles de conduite sont les premiers gages du respect par tous les utilisateurs, ainsi les informations sensibles soient contrôlées et protégées.

FRAUDE, FUITE DE DONNÉES ET CYBER ATTAQUES : ENCORE PLUS DE PRESSION SUR LA DSI

Google Drive, le service de partage de fichiers, permet aux utilisateurs de collaborer autour de documents créés et partagés dans le cloud.

Pour aider les entreprises à en sécuriser l’utilisation en respectant les politiques de sécurité établies par l’entreprise, Brainwave intègre Google Apps for Work grâce aux API natives de Google. La solution est ainsi capable d’identifier et de cartographier tous les services de partage de fichiers et leur utilisation, que ce soit en interne ou en externe avec des partenaires ou des sous-traitants. Il est ainsi possible d’éradiquer les risques de fraudes et de fuites de données intentionnelles ou involontaires.

Brainwave for Google Apps for Work sécurise vos données sensibles, audit et contrôle l’utilisation et détecte les comportements à risque ainsi que les contextes de cyber attaques.IdentityGRC est une solution de sécurité et de gouvernance innovante qui permet :

• de limiter les risques en identifiant les cas d’utilisation à risque, les comportements anomaux et les problèmes de sécurité.

• de garantir la légitimité des accès et de l’utilisation des applications étendue aux comptes à priviléges

• de contrôler les partages de fichiers pour éviter les fuites de données accidentelles ou malveillantes.

• d’harmoniser la gouvernance sur l’ensemble du patrimoine applicatif de l’entreprise qu’il soit traditionnel ou en mode SaaS

INTÉGRATION, COLLABORATION ET NA-VIGATION

Brainwave for Google Apps for Work permet d’intégrer toutes les informations de votre SIRH et de vos ‘‘Active Directory’’. En autorisant un rapprochement entre les habilitations et accès à toutes vos applications. On établit ainsi une relation dynamique entre le statut d’un employé ou d’un prestataire et ses droits d’accès aux applications. Le workflow intégré à la solution permet d’automatiser la communication vers les départements de l’entreprise et de gérer le suivi des exceptions ainsi que leur remédiation. La navigation innovante et vraiment ergonomique de Brainwave for Google Apps for Worktm permet à une audience non-IT d’utiliser très facilement la solution Brainwave s’impose ainsi comme l’outil de référence pour des populations ‘‘métier’’ ou DSI

Brainwave for Google Apps for Work est un logiciel de classe  ‘‘Identity Analytics and Intelligence’’. Il permet d’identifier et de réduire les risques de fraude, de fuite de

données et de cyber attaques.

REVUE DES HABILITATIONS

La revue des habilitations représente, pour certains RSSI ou risk-managers, la tâche la plus pénible qu’ils aient à gérer. Véritable casse-tête, cette revue est pourtant un réel atout pour les entreprises dans un monde où les risques de sé-curité sont de plus en plus élevés.

La revue des habilitations permet de savoir si les droits d’accès d’une personne au système d’informations sont conformes à la politique de gestion des habilitations. Sans cette cartographie précise, l’entreprise s’expose à des failles de sécurité importantes, à des risques de fraudes, de pertes et de vols de données…

La revue des habilitations peut même s’avérer être un horrible cauchemar. Par manque de temps, d’outillage et d’implication de la part des responsables métier, certains pourraient prendre des raccourcis et fournir des revues

DASHBOARDS DYNAMIQUES

Brainwave for Google Apps for Worktm présente les informations de façon hierarchique, très intuitve et ergonomique. L’utilisateur a ainsi la possibilité de naviguer d’une vue synthétique à des vues de plus en plus détaillées en mode ‘‘drill down’’.L’ergonomie de la navigation est un atout de taille pour les populations non-IT. A la vue d’un simple rapport ils comprennent instantanément la situation et sont capables d’y remédier.

MAINFRAME

RACFMAINFRAME

RACF

SHARED FOLDERS

& FILERS

ANALYTICS

SIRH

REPORTS DASHBOARDS

Top Secret® for z/OS

GLOBAL INFORMATION DASHBOARD

175 +7 PEOPLE

320+13 ACCOUNTS

DMAR

DADM

DCOM

DFIN

DTEC

DMAR

DADM

DCOM

DFIN

DTEC

SECURITY PROBLEMS

13 +3 ORPHAN ACCOUNTS

Those accounts are not attached to an individual in your organization

5 +0 UNUSED ACCOUNTS Those accounts have not been used in the last 90 days.

3 +1 ACCOUNTS TO DISABLE

Those accounts belong to people who left the company

138 +12 PUBLIC SHARES

Those accounts are freely accessible on the internet

GOOGLE APPS SECURITY DASHBOARD This dashboard highlights the key metrics and the most common problems that you can face when using Google Apps for Business in you company. Use this dashboard to follow the capacity trends of your Google Apps for Business instance and to qualify and mitigate your risk issues.

partielles. Un tel choix aurait malheureusement de graves conséquences sur l’entreprise. Il est donc préférable de procéder à la mise en place d’un plan d’actions pour mener à bien ce projet, mais également de réfléchir aux outils à fournir aux différentes personnes impliquées dans ce processus collaboratif de validation.

Réaliser une revue des habilitations, c’est impliquer des responsables de départements pour qui la gestion des droits d’accès, et dans une plus large mesure la sécurité informatique, sont plus des obstacles ou des corvées plutôt que des accélérateurs business.

Et à juste titre car la validation des accès pour un manager d’une équipe de 30 personnes est chronophage, surtout si ce dernier n’est pas motivé et qu’il ne dispose d’aucun outil facilitateur. C’est pourquoi, il est indispen-sable de les sensibiliser sur les enjeux pour l’entreprise et pour leur département, repositionner l’exercice dans un contexte global et surtout leur simplifier la tâche en précisant les zones à risques : droits critiques, comptes d’accès non utilisés, droit d’accès en violation des politiques de sécurité…

Autre élément fondamental : fournir aux responsables de départements des outils simples. Demander à un ma-nager de viser correctement des centaines de lignes dans des tableaux Excel est un vrai défi pour les respon-sables en charge des revues des habilitations.

En proposant un environnement convivial, constitué de tableaux de bord ergonomiques, les chances que ces outils soient correctement complétés et validés augmentent et participe à l’implication des managers.

Ce processus, quand il est bien outillé, permet de cartographier précisément la totalité des accès aux res-sources et actifs de l’entreprise. Sans cette cartographie, l’entreprise s’expose à des failles de sécurité et donc à des risques de fraudes et de pertes ou vols de données.

Brainwave permet de catalyser le management, les administrateurs IT et les collaborateurs autour du RSSI pour mener ces opérations de revue.

Le processus de revue des habilitations devient instrumenté et collaboratif. En orchestrant le processus, le RSSI donne les moyens aux managers opérationnels et correspondants sécurité de répondre aux questions en se basant sur les rapports produits par la solution.

Brainwave instrumente, facilite et automatise le processus de revue et en supprime les obstacles à la fois tech-niques et organisationnels et les contraintes que toutes les entreprises rencontrent à l’heure actuelle.

BRAINWAVE UBA : LA SÉCURITÉ PAR L’ANALYSE COMPORTEMENTALE

L’analyse comportementale (User Behavior Analystics) adaptée à la gouvernance des répertoires partagés aide des entreprises à détecter des attaques ciblées et des tentatives de fraude menées par des personnes internes ou des sous-traitants.

Cette technologie innovante transforme la sécurité et la gestion du risque de fraude en permettant de détec-ter des anomalies à partir de signaux faibles.

Cela permet de déclencher des alertes si des utilisateurs mal intentionnés ou non ‘’utilisent abusivement’’ les ressources misent à leur disposition. UBA se révèle extrêmement pertinent dans le cadre d’une attaque ex-terne ou des comptes seraient usurpés par un malware qui tenterait d’exfiltrer des données.

Brainwave : Une gamme complète de solutions adaptées aux défis de la cyber sécurité.

Brainwave for Google Apps for Work est une solution de sécurité et de gouvernance innovante et particulièrement efficace, couvrant la totalité du périmètre Google Apps for Work :

• L’analyse en continu des informations• L’identification des problèmes de qualité et de sécurité.• La terminaison des droits accès superflus ou toxiques.• L’exécution de campagnes de revue des droits des utilisateurs.• La gestion des demandes d’accès en self-service en utilisant le workflow intégré et en ayant aussi la possi bilité

de se connecter à l’ITSM ou ticketing en place.• La mise à disposition des rapports et données pour les audits de confor mité réglementaire (Sarbanes-Oxley,

HIPPA, ISAE 3402, CRBF 9702 ou tout autre type d’obligation réglementaire actuelle ou à venir).• Le reporting d’informations vers les autorités internes de l’entreprise RSSI, DSI, Audit, Risque Interne, etc.

Cette solution fait partie intégrante de la famille de produits Brainwave, au sein de laquelle on retrouve :

Brainwave IdentityGRCtm est une plateforme de gouvernance globale de classe ‘‘Identity Analytics and Intelli-gence’’. La plateforme contribue à identifier et à réduire les risques de fraude et de fuite de données.Elle corrèle les informations RH, les droits d’accès dans toutes les applications du SI, les droits d’accès aux données non structurées (répertoires partagés, Sharepoint, SaaS, FSS, …), les logs d’accès et détecte automatiquement les situations à risques.

Des solutions dédiées, dérivées technologiquement de Brainwave IdentityGRCtm , sont disponibles pour couvrir des besoins bien identifiés comme :

• Les données non-structurées. • Les ERP tels que SAP, Oracle, ... • Les applications SaaS comme Google Apps for Work.

Ces solutions dédiées ont la particularité d’être mise en place de façon rapide et offrent la possibilité de compléter leur périmètre fonctionnel à terme grâce à une migration vers Brainwave IdentityGRCtm.

D

ROITS COMPO

RT

EM

EN

TS

UTILISATEURS

BR

AIN

WAVE ANALYTIC

S

DONNÉES

BRAINWAVE for ERP

DROITS COMPO

RT

EM

EN

TS

UTILISATEURS

BR

AIN

WAVE ANALY

TICS

ERP

D

ROITS COMPO

RT

EM

EN

TS

UTILISATEURS

BR

AIN

WAVE ANALYTIC

S

GOOGLEAPPS

BRAINWAVE Data Security Governor

BRAINWAVE for GOOGLE APPS for WORK

BRAINWAVE IdentityGRC Governance Platform

D

ROITS COMPO

RT

EM

EN

TS

UTILISATEURS

BR

AIN

WAVE ANALY

TICS

ASSETSIT

BRAINWAVE GOUVERNANCE ET SÉCURITÉ

EUROPE (HQ)

38-42 rue Galliéni92600 ASNIERES-SUR-SEINEFRANCE+33 1 84 19 04 10www.brainwave.fr

AMÉRIQUE DU NORD

84, Notre Dame Ouest | Suite 100Montréal, QC

H2Y 1S6CANADA

+1 514 699 6834www.brainwave.fr