SEC 201 Comment

Microsoft gère la sécurité de

ses offres de Cloud public

Jean-Yves Grasset,

Arnaud Jumelet,Direction Technique

Microsoft France

Cloud

Donnez votre avis !

Depuis votre smartphone, sur :

http://notes.mstechdays.fr

De nombreux lots à gagner toutes les heures !!!

Claviers, souris et jeux Microsoft…

Merci de nous aider à améliorer les TechDays

http://notes.mstechdays.fr

Global Foundation Services

Platform as a Service(PaaS)

Infrastructure as a Service (IaaS)

SecurityGlobal NetworkOperationsData Centers

Les services Cloud Microsoft

Software as a Service (SaaS)

Le Cloud Microsoft en quelques chiffres

Le Cloud Microsoft en quelques dates

ISO 27001

1er Data Center

1989 1994-95 1997 2002 2004 2006

SAS-70

FISMA

Infrastructure

Services de type Cloud

SSAE 16

Trustworthy Computing

Security Development Lifecycle

2008 2011 2012 2013

Global Foundation Services

NIST, ENISA et CSA sur la sécurité du

Cloud

TRUST CENTER OFFICE 365

Chapitre 1

TrustCenter Office 365

http://www.microsoft.com/fr-fr/office365/trust-center.aspxhttp://trust.office365.com/ (version EN)

TRUSTCENTER OFFICE 365

Conformité Office 365

Conformité/ Certifications

Office 365 • ISO/IEC 27001:2005• Clauses Contractuelles Types (EU

Model Clauses)• Accord de traitement des données

(DPA)• HIPAA• SSAE16-SOC1 Type II

DataCenter (Centre de

données)

• ISO/IEC 27001:2005, • SSAE16

SOC1 Type II/SAS 70 Type IISOC2 Type II SOC3

• FISMA

Microsoft Safe Harbor

• ISO 27001– Norme internationale de système de gestion de la sécurité de

l'information (2005)

– Décrit les exigences pour la mise en place d'un Système de

Management de la Sécurité de l'Information (SMSI)

– Annexe A : 133 mesures de sécurité de la norme ISO/CEI 27002

Conformité Office 365 : ISO 27001

• Certification par le British Standards Institution– Certification sur 3 ans, audit annuel

• Importance du périmètre

• EU Model Clauses– Traite de l’autorisation du transfert des données personnelles en-

dehors de l’Union Européenne

– Atteste du respect de la conformité avec la directive européenne

95/46/EU sur la protection des données

– les organismes de réglementation ont la possibilité de bloquer

l'utilisation d'un service qui ne répond pas à potentiellement la

directive européenne sur la protection des données

Conformité Office 365 : EU Model Clauses

Conformité Office 365

MICROSOFT COMPLIANCE

FRAMEWORK FOR ONLINE

SERVICES

Chapitre 2

Organisation de la conformité

CERTIFICATION AND ATTESTATIONS

CONTROLS FRAMEWORK

• Identify and integrate• Regulatory requirements

• Customer requirements

• Assess and remediate • Eliminate or mitigate gaps in control design

PREDICTABLE AUDIT SCHEDULE

• Test effectiveness and assess risk

• Attain certifications and attestations

• Improve and optimize• Examine root cause of non-compliance

• Track until fully remediated

INDUSTRY STANDARDS AND REGULATIONS

• Sarbanes-Oxley

• PCI-DSS

• HIPAA, etc

• ISO/IEC 27001:2005

• EU Model Clauses

• FISMA/NIST 800-53

• ISO / IEC 27001:2005 certification

• SSAE 16/ISAE 3402 SOC 1, 2 and 3

• PCI DSS certification

• FISMA certification and accreditation

• And more …

Diversité des défenses

APPLICATIONSECURITE DE

L’HÔTE

IDENTITE ET

GESTION DES

ACCES

24x7x365 Réponse à incident

Transparence

DATACENTER MICROSOFT: LA

PLOMBERIE

Chapitre 3

Evolutions des datacenters Microsoft

Generation 1 Generation 2

Densité et Déploiement1.4 –1.6 PUE

Minimisation de l’impact en ressource

Capacité~2 PUE

Technologie utilisée depuis 20 ans

2011+20081989-2005 2007

Generation 3 Generation 4

Densité Confinement

Containers, PODSScalabilitéet Durabilité

1.2-1.5 PUEEconomie Air & Eau

SLA différenciés

Colocation

ITPACs & ColosRéduction des émissions carbone Dimensionnement au plus juste

1.05 –1.20 PUE Adaptation rapide au marchéRefroidissement air extérieur

Modularité

VIDEO

Visite guidée des datacenters

http://www.globalfoundationservices.com/

CLOUD SECURITY ALLIANCE / STAR

Chapitre 4

Cloud Security Alliance

(CloudSecurityAlliance.org)

CSA-STAR

• Réponses aux exigences de la

matrice CCM (Cloud Control

Matrix) de la Cloud Security

Alliance

• En version anglaise et

française

• Couverture des exigences ISO

27001

• Exigences matrice CCM

RFI Office 365

http://www.microsoft.com/fr-fr/download/details.aspx?id=26647

SYNTHÈSE

Chapitre 5

Ce que nous vous avons parcouru

ensemble

Critères de choix d’un fournisseur de Cloud

Exiger la transparence dans les politiques de sécurité et les

opérations.

Comprendre la répartition des rôles et des responsabilités avec le fournisseur de service

Cloud.

S'assurer que les données et les services peuvent être

rapatriés facilement.

Connaître la valeur des données, des processus métiers

ainsi que les obligations de conformité que vous devez

respecter.

Considérer l’agilité du fournisseur Cloud à s'adapter

aux nouvelles réglementations.

Exiger que le fournisseur ait obtenu des certifications et des rapports audits, par exemple,

ISO/IEC 27001:2005.

• Merci de votre attention!Merci de votre attention !

• Global Foundation Services Web Site & Team Blogs– www.globalfoundationservices.com

• Windows Azure– http://www.windowsazure.com

• Office 365– http://www.office365.com

Pour aller plus loin