Il existe plusieurs méthodes pour créer une infrastructure informatique d'entreprise. Le déploiement de toutes les ressources et services sur une plate-forme cloud n'est que l'un d'entre eux. Cependant, les préjugés concernant la sécurité des solutions cloud deviennent souvent un obstacle sur cette voie. Dans cet article, nous comprendrons comment fonctionne le système de sécurité dans le cloud de l'un des fournisseurs russes les plus célèbres - Yandex.

Un conte de fées est un mensonge, mais il contient un indice

Le début de cette histoire peut être raconté comme un conte de fées célèbre. Il y avait trois administrateurs dans l'entreprise : l'aîné était un gars intelligent, celui du milieu était ceci et cela, le plus jeune était juste... un stagiaire Enikey. J'ai ajouté des utilisateurs à Active Directory et déformé les systèmes Cisco. Le moment est venu pour l’entreprise de se développer et le roi, c’est-à-dire le patron, a fait appel à son armée administrative. Je souhaite, dit-il, de nouveaux services Web pour nos clients, notre propre stockage de fichiers, des bases de données gérées et des machines virtuelles pour tester les logiciels.

Le plus jeune a immédiatement proposé de créer sa propre infrastructure à partir de zéro : acheter des serveurs, installer et configurer des logiciels, étendre le canal Internet principal et y ajouter un canal de sauvegarde - pour plus de fiabilité. Et l'entreprise est plus calme : le matériel est toujours à portée de main, quelque chose peut être remplacé ou reconfiguré à tout moment, et lui-même aura une excellente opportunité d'améliorer ses compétences administratives. Ils l’ont calculé et ont versé des larmes : l’entreprise ne pouvait pas supporter de telles dépenses. Les grandes entreprises peuvent le faire, mais pour les moyennes et petites entreprises, cela coûte trop cher. Il ne suffit pas d'acheter du matériel, d'équiper une salle de serveurs, d'installer des climatiseurs et de mettre en place une alarme incendie, il faut aussi organiser des équipes pour surveiller l'ordre jour et nuit et repousser les attaques de réseau de personnes fringantes sur Internet. Et pour une raison quelconque, les administrateurs ne voulaient pas travailler la nuit et le week-end. Ne serait-ce que pour un double paiement.

L'administrateur principal a regardé pensivement la fenêtre du terminal et a suggéré de placer tous les services dans le cloud. Mais ensuite, ses collègues ont commencé à se faire peur avec des histoires d'horreur : ils disent que l'infrastructure cloud a des interfaces et des API non sécurisées, qu'elle équilibre mal la charge des différents clients, ce qui peut faire souffrir vos propres ressources, et qu'elle est également instable face au vol de données et attaques extérieures. Et en général, il est effrayant de transférer le contrôle de données et de logiciels critiques à des inconnus avec qui vous n'avez pas mangé un morceau de sel ni bu un seau de bière.

L’homme moyen a eu l’idée de placer l’ensemble du système informatique dans le centre de données du fournisseur, sur ses canaux. C'est ce qu'ils ont décidé. Cependant, plusieurs surprises attendaient notre trio, qui n'étaient pas toutes agréables.

Premièrement, toute infrastructure réseau nécessite la présence obligatoire d’outils de protection et de sécurité, qui ont bien entendu été déployés, configurés et lancés. Il s'avère que seul le coût des ressources matérielles qu'ils utilisent doit être payé par le client lui-même. Et un système moderne de sécurité de l’information consomme des ressources considérables.

Deuxièmement, l’activité a continué de croître et l’infrastructure initialement construite a rapidement atteint le plafond d’évolutivité. De plus, pour l'étendre, une simple modification du tarif ne suffisait pas : de nombreux services devraient dans ce cas être transférés vers d'autres serveurs, reconfigurés, et certains même complètement repensés à partir de zéro.

Finalement, un jour, à cause d'une vulnérabilité critique dans l'une des applications, l'ensemble du système s'est écrasé. Les administrateurs l'ont rapidement récupéré à partir des copies de sauvegarde, mais ils n'ont pas pu comprendre rapidement les raisons de ce qui s'est passé, car ils ont oublié de configurer la sauvegarde des services de journalisation. Un temps précieux a été perdu, et le temps, comme le dit le proverbe, c'est de l'argent.

Le calcul des dépenses et la synthèse des résultats ont conduit la direction de l'entreprise à des conclusions décevantes : l'administrateur qui a proposé dès le début d'utiliser le modèle cloud IaaS - « infrastructure as a service » - avait raison. Quant à la sécurité de ces plateformes, elle mérite d'être évoquée séparément. Et nous le ferons en utilisant l'exemple du plus populaire de ces services - Yandex.Cloud.

Sécurité dans Yandex.Cloud

Commençons, comme le chat du Cheshire l'a conseillé à la fille Alice, depuis le début. C'est-à-dire de la question de la délimitation des responsabilités. Dans Yandex.Cloud, comme dans toute autre plateforme similaire, le fournisseur est responsable de la sécurité des services fournis aux utilisateurs, tandis que la responsabilité du client lui-même inclut d'assurer le bon fonctionnement des applications qu'il développe, d'organiser et de délimiter l'accès à distance à ressources allouées, configuration des bases de données et des machines virtuelles, contrôle de la journalisation. Cependant, pour cela, il dispose de tous les outils nécessaires.

La sécurité de l'infrastructure cloud de Yandex comporte plusieurs niveaux, chacun mettant en œuvre ses propres principes de sécurité et utilisant un arsenal de technologies distinct.

Couche physique

Ce n'est un secret pour personne que Yandex possède ses propres centres de données qui servent ses propres services de sécurité. Nous parlons non seulement de services de vidéosurveillance et de contrôle d'accès conçus pour empêcher les étrangers d'entrer dans les salles de serveurs, mais également de systèmes de climatisation, d'extinction d'incendie et d'alimentation électrique sans interruption. Des agents de sécurité sévères ne seront pas d'une grande utilité si le rack contenant vos serveurs est un jour inondé d'eau provenant de extincteurs automatiques ou s'il surchauffe suite à une panne de climatisation. Cela ne leur arrivera certainement pas dans les centres de données Yandex.

De plus, le matériel Cloud est physiquement séparé du « grand Yandex » : ils sont situés dans des racks différents, mais subissent exactement de la même manière une maintenance de routine régulière et le remplacement des composants. Des pare-feu matériels sont utilisés à la frontière de ces deux infrastructures, et un pare-feu logiciel basé sur l'hôte est utilisé à l'intérieur du Cloud. De plus, les commutateurs Top-of-the-rack utilisent un système de contrôle d'accès ACL (Access Control List), ce qui améliore considérablement la sécurité de l'ensemble de l'infrastructure. Yandex analyse régulièrement le Cloud depuis l'extérieur à la recherche de ports ouverts et d'erreurs de configuration, afin que les vulnérabilités potentielles puissent être reconnues et éliminées à l'avance. Pour les employés travaillant avec des ressources Cloud, un système d'authentification centralisé utilisant des clés SSH avec un modèle d'accès basé sur les rôles a été mis en place et toutes les sessions d'administrateur sont journalisées. Cette approche fait partie du modèle Secure by default universellement utilisé par Yandex : la sécurité est intégrée à l'infrastructure informatique au stade de sa conception et de son développement, et n'est pas ajoutée plus tard lorsque tout est déjà mis en service.

Niveau d'infrastructure

Au niveau « logique matérielle-logicielle », Yandex.Cloud utilise trois services d'infrastructure : Compute Cloud, Virtual Private Cloud et Yandex Managed Services. Et maintenant sur chacun d'eux un peu plus en détail.

Nuage de calcul

Ce service fournit une puissance de calcul évolutive pour diverses tâches, telles que l'hébergement de projets Web et de services à forte charge, les tests et le prototypage, ou la migration temporaire de l'infrastructure informatique pour la période de réparation ou de remplacement de son propre équipement. Vous pouvez gérer le service via la console, la ligne de commande (CLI), le SDK ou l'API.

La sécurité de Compute Cloud repose sur le fait que toutes les machines virtuelles clientes utilisent au moins deux cœurs et que le surengagement n'est pas utilisé lors de l'allocation de mémoire. Puisque dans ce cas, seul le code client est exécuté sur le noyau, le système n'est pas sensible aux vulnérabilités telles que L1TF, Spectre et Meltdown ou aux attaques par canal secondaire.

De plus, Yandex utilise son propre assemblage Qemu/KVM, dans lequel tout ce qui est inutile est désactivé, ne laissant que l'ensemble minimum de code et de bibliothèques nécessaires au fonctionnement des hyperviseurs. Dans ce cas, les processus sont lancés sous le contrôle d'outils basés sur AppArmor, qui, à l'aide de politiques de sécurité, déterminent à quelles ressources système et avec quels privilèges une application particulière peut accéder. AppArmor exécuté sur chaque machine virtuelle réduit le risque qu'une application client puisse accéder à l'hyperviseur à partir de la VM. Pour recevoir et traiter les journaux, Yandex a construit un processus permettant de transmettre les données d'AppArmor et des bacs à sable à son propre Splunk.

Cloud privé virtuel

Le service Virtual Private Cloud vous permet de créer des réseaux cloud utilisés pour transférer des informations entre diverses ressources et leur connexion à Internet. Physiquement, ce service est supporté par trois centres de données indépendants. Dans cet environnement, l'isolation logique est mise en œuvre au niveau de l'interconnexion multiprotocole - MPLS. Dans le même temps, Yandex brouille constamment l'interface entre le SDN et l'hyperviseur, c'est-à-dire que du côté des machines virtuelles, un flux de paquets mal formés est continuellement envoyé à l'environnement externe afin de recevoir une réponse du SDN, de l'analyser et combler les éventuelles lacunes dans la configuration. La protection contre les attaques DDoS est automatiquement activée lors de la création de machines virtuelles.

Services gérés Yandex

Yandex Managed Services est un environnement logiciel permettant de gérer divers services : SGBD, clusters Kubernetes, serveurs virtuels dans l'infrastructure Yandex.Cloud. Ici, le service assume l'essentiel du travail de sécurité. Toutes les sauvegardes, le cryptage des sauvegardes, la gestion des vulnérabilités, etc. sont fournis automatiquement par le logiciel Yandex.Cloud.

Outils de réponse aux incidents

Pour répondre rapidement aux incidents de sécurité de l’information, il est nécessaire d’identifier rapidement la source du problème. Pourquoi est-il nécessaire d'utiliser des outils de surveillance fiables qui doivent fonctionner 24 heures sur 24 et sans panne ? De tels systèmes consommeront inévitablement des ressources, mais Yandex.Cloud ne répercute pas le coût de la puissance de calcul des outils de sécurité sur les utilisateurs de la plateforme.

Lors du choix des outils, Yandex a été guidé par une autre exigence importante : en cas d'exploitation réussie d'une vulnérabilité 0day dans l'une des applications, l'attaquant ne doit pas dépasser l'hôte de l'application, tandis que l'équipe de sécurité doit immédiatement prendre connaissance de l'incident et réagir. le cas échéant.

Enfin et surtout, nous voulions que tous les outils soient open source. Ces critères sont pleinement remplis par la combinaison AppArmor + Osquery, qu'il a été décidé d'utiliser dans Yandex.Cloud.

AppArmor

AppArmor, déjà mentionné ci-dessus, est un outil logiciel de sécurité proactif basé sur des profils de sécurité personnalisables. Les profils utilisent une technologie de contrôle d'accès basée sur les étiquettes de confidentialité Mandatory Access Control (MAC), implémentées à l'aide de LSM directement dans le noyau Linux lui-même à partir de la version 2.6. Les développeurs Yandex ont choisi AppArmor pour les raisons suivantes :

• légèreté et rapidité, puisque l'outil est basé sur une partie du noyau du système d'exploitation Linux ;
• c'est une solution open source ;
• AppArmor peut être déployé très rapidement sur Linux sans avoir à écrire de code ;
• Une configuration flexible est possible à l'aide de fichiers de configuration.

Osquery

Osquery est un outil de surveillance de la sécurité du système développé par Facebook et est désormais utilisé avec succès dans de nombreux secteurs informatiques. De plus, l’outil est multiplateforme et open source.

Grâce à Osquery, vous pouvez collecter des informations sur l'état de divers composants du système d'exploitation, les accumuler, les transformer au format JSON standardisé et les envoyer au destinataire sélectionné. Cet outil vous permet d'écrire et d'envoyer des requêtes SQL standard à l'application, qui sont stockées dans la base de données rocksdb. Vous pouvez configurer la fréquence et les conditions dans lesquelles ces demandes sont exécutées ou traitées.

Les tables standard implémentent déjà de nombreuses fonctionnalités, par exemple, vous pouvez obtenir une liste des processus en cours d'exécution sur le système, les packages installés, l'ensemble actuel de règles iptables, les entités crontab, etc. Prêt à l'emploi, la prise en charge de la réception et de l'analyse des événements du système d'audit du noyau est implémentée (utilisée dans Yandex.Cloud pour traiter les événements AppArmor).

Osquery lui-même est écrit en C++ et est distribué en open source ; vous pouvez les modifier et soit ajouter de nouvelles tables à la base de code principale, soit créer vos propres extensions en C, Go ou Python.

Une fonctionnalité utile d'Osquery est la présence d'un système de requêtes distribué, avec lequel vous pouvez exécuter des requêtes en temps réel sur toutes les machines virtuelles situées sur le réseau. Cela peut être utile, par exemple, si une vulnérabilité est découverte dans un package : avec une seule requête, vous pouvez obtenir une liste des machines sur lesquelles ce package est installé. Cette fonctionnalité est largement utilisée lors de l’administration de grands systèmes distribués dotés d’une infrastructure complexe.

conclusions

Si l’on revient à l’histoire racontée au tout début de cet article, nous verrons que les craintes qui ont contraint nos héros à abandonner le déploiement d’infrastructures sur une plateforme cloud se sont révélées infondées. Du moins en ce qui concerne Yandex.Cloud. La sécurité de l'infrastructure cloud créée par Yandex repose sur une architecture à plusieurs niveaux et offre donc un haut niveau de protection contre la plupart des menaces connues aujourd'hui.

Dans le même temps, grâce aux économies réalisées sur la maintenance de routine du matériel et au paiement des ressources consommées par les systèmes de surveillance et de prévention des incidents, entreprises par Yandex, l'utilisation de Yandex.Cloud permet aux petites et moyennes entreprises d'économiser de l'argent. Bien entendu, il ne sera pas possible d'abandonner complètement le service informatique ou le service responsable de la sécurité de l'information (surtout si ces deux rôles sont réunis au sein d'une seule équipe). Mais Yandex.Cloud réduira considérablement les coûts de main-d'œuvre et les frais généraux.

Puisque Yandex.Cloud fournit à ses clients une infrastructure sécurisée avec tous les outils de sécurité nécessaires, ils peuvent se concentrer sur les processus métier, laissant les tâches de maintenance et de surveillance du matériel au fournisseur. Cela n'élimine pas la nécessité d'une administration continue des machines virtuelles, des bases de données et des applications, mais une telle gamme de tâches devrait dans tous les cas être résolue. En général, on peut dire que Yandex.Cloud permet d'économiser non seulement de l'argent, mais aussi du temps. Et la seconde, contrairement à la première, est une ressource irremplaçable.

GRIGORIEV1 Vitaly Robertovich, candidat en sciences techniques, professeur agrégé KUZNETSOV2 Vladimir Sergeevich

PROBLÈMES D'IDENTIFICATION DES VULNÉRABILITÉS DANS LE MODÈLE DE CLOUD COMPUTING

L'article donne un aperçu des approches permettant de créer un modèle conceptuel de cloud computing, ainsi qu'une comparaison des points de vue existants sur l'identification des vulnérabilités inhérentes aux systèmes construits sur la base de ce modèle. Mots clés : cloud computing, vulnérabilité, noyau de menace, virtualisation.

Le but de cet article est de passer en revue les approches de construction d'un modèle conceptuel de cloud computing, données dans le document « NIST Cloud Computing Reference Architecture », et de comparer les points de vue des principales organisations dans ce domaine sur les vulnérabilités dans les conditions de ce modèle informatique, ainsi que les principaux acteurs du marché de la création de systèmes cloud.

Le cloud computing est un modèle qui fournit un accès réseau pratique et à la demande à des ressources informatiques partagées et configurables (réseaux, serveurs, stockage de données, applications et services), qui est rapidement fourni avec un effort de gestion et une interaction minimes avec le fournisseur de services. Cette définition du National Institute of Standards (NIST) est largement acceptée dans l’ensemble de l’industrie. La définition du cloud computing comprend cinq caractéristiques de base principales, trois modèles de service et quatre modèles de déploiement.

Cinq fonctionnalités clés

Libre-service à la demande

Les utilisateurs peuvent obtenir, contrôler et gérer des ressources informatiques sans l'aide des administrateurs système. Accès réseau étendu : les services informatiques sont fournis via des réseaux standards et des appareils hétérogènes.

Élasticité opérationnelle - 1T-

les ressources peuvent être rapidement mises à l’échelle dans n’importe quelle direction selon les besoins.

Pool de ressources : les ressources 1T sont partagées par diverses applications et utilisateurs de manière découplée.

Calcul des coûts de service - l'utilisation des ressources informatiques est suivie pour chaque application et utilisateur, en règle générale, afin de fournir la facturation du cloud public et les calculs internes pour l'utilisation des cloud privés.

Trois modèles de services

Logiciel en tant que service (SaaS) : les applications sont généralement fournies sous forme de service aux utilisateurs finaux via un navigateur Web. Il existe aujourd'hui des centaines d'offres SaaS, depuis les applications d'entreprise horizontales jusqu'aux offres spécifiques à un secteur, en passant par les applications grand public telles que la messagerie électronique.

Plateforme en tant que service (PaaS) : une plate-forme de développement et de déploiement d'applications est fournie en tant que service aux développeurs pour créer, déployer et gérer des applications SaaS. En règle générale, la plate-forme comprend des bases de données, des middlewares et des outils de développement, tous fournis sous forme de service sur Internet. Le PaaS se concentre souvent sur un langage de programmation ou une API, comme Java ou Python. L'architecture de cluster virtualisée de l'informatique distribuée sert souvent de base aux systèmes

1 - MSTU MIREA, professeur agrégé du Département de Sécurité de l'Information ;

2 - Université d'État de radioélectronique et d'automatisation de Moscou (MSTU MIREA), étudiant.

RaaYa, puisque la structure en grille d'une ressource réseau offre l'évolutivité élastique et la mutualisation des ressources nécessaires. Infrastructure en tant que service (IaaS) : les serveurs, le stockage et le matériel réseau sont fournis en tant que service. Ce matériel d'infrastructure est souvent virtualisé, de sorte que les logiciels de virtualisation, de gestion et de système d'exploitation sont également des éléments de l'informatique.

Quatre modèles de déploiement

Les cloud privés sont destinés à l'usage exclusif d'une seule organisation et sont généralement contrôlés, gérés et hébergés par des centres de données privés. L'hébergement et la gestion des cloud privés peuvent être externalisés vers un prestataire de services externe, mais souvent

Le nouveau cloud reste l’usage exclusif d’une seule organisation. Les cloud publics sont utilisés ensemble par de nombreuses organisations (utilisateurs), entretenus et gérés par des prestataires de services externes.

Les cloud de groupe sont utilisés par un groupe d'organisations liées qui souhaitent partager un environnement de cloud computing commun. Par exemple, un groupe peut être composé de différentes branches des forces armées, de toutes les universités d’une région donnée ou de tous les fournisseurs d’un grand fabricant.

Les cloud hybrides se produisent lorsqu'une organisation utilise à la fois un cloud privé et public pour la même application afin de profiter des avantages des deux. Par exemple, dans un scénario « orage », l’organisation utilisatrice dans le cas d’une charge standard sur l’application

utilise le cloud privé, et lorsque la charge atteint un pic, par exemple à la fin du trimestre ou pendant la période des fêtes, elle utilise le potentiel du cloud public, renvoyant ensuite ces ressources au pool général lorsqu'elles ne sont pas nécessaires.

En figue. 1 présente un modèle conceptuel de cloud computing selon le document « NIST Cloud Computing Reference Architecture ». D'après celui montré sur la Fig. Le modèle 1 de la norme identifie les principaux acteurs du système cloud : consommateur de cloud, fournisseur de cloud, auditeur cloud, courtier cloud, intermédiaire cloud. Chaque participant est une personne ou une organisation exerçant ses fonctions dans la mise en œuvre ou la fourniture du cloud computing. Un consommateur de cloud est une personne ou une organisation qui entretient des interactions commerciales avec d'autres entités.

Consommateur du cloud

Auditeur Cloud

C Audit L I Sécurité J

I Audit de confidentialité J

(Audit des prestations fournies J

Fournisseur de cloud

Niveaux complexes

Niveau de l'utilisateur

^ Service en tant que service ^ ^ Plateforme en tant que service ^ Infrastructure en tant que service)

Niveau d'abstraction

Couche physique

Service cloud

^ Assistance J ^ Configuration J

Portabilité

Courtier en nuage

Intermédiaire cloud

Riz. 1. Modèle conceptuel développé par des spécialistes du NIST

les réseaux et utilise les services des fournisseurs de cloud. Le fournisseur de cloud est la personne, l'organisation ou toute personne responsable de la disponibilité des services fournis aux consommateurs intéressés. Un auditeur cloud est un participant qui peut mener des évaluations indépendantes des services cloud, des services et de la sécurité des implémentations cloud. Un courtier cloud est un participant qui gère l'utilisation, les performances et la fourniture de services cloud aux consommateurs, et négocie les interactions entre les fournisseurs de cloud et les consommateurs de cloud. L'intermédiaire cloud est un intermédiaire qui assure la communication et la fourniture de services cloud entre les fournisseurs de cloud et les consommateurs de cloud.

Avantages et défis du cloud computing

Des enquêtes récentes auprès de spécialistes dans le domaine des technologies informatiques montrent que le cloud computing offre deux avantages principaux lors de l'organisation de services distribués : la rapidité et le coût. Grâce à un accès hors ligne à un pool de ressources informatiques, les utilisateurs peuvent rejoindre les processus qui les intéressent en quelques minutes, plutôt qu'en semaines ou mois plus tard, comme c'était le cas auparavant. L'évolution des capacités informatiques est également rapide grâce à l'architecture de grille élastiquement évolutive de l'environnement informatique. Étant donné que dans le cloud computing, les utilisateurs ne paient que pour ce qu'ils utilisent et que les capacités d'évolutivité et d'automatisation atteignent un niveau élevé, le rapport coût/efficacité des services fournis est également un facteur très attractif pour tous les participants aux processus d'échange.

Les mêmes enquêtes montrent qu’un certain nombre de considérations sérieuses empêchent certaines entreprises de migrer vers le cloud. La sécurité du cloud computing arrive largement en tête de ces considérations.

Pour évaluer correctement la sécurité des systèmes cloud, il est logique d'étudier les points de vue des principaux acteurs du marché sur les menaces dans ce domaine. Nous comparerons les approches existantes contre les menaces dans les systèmes cloud, présentées dans la feuille de route des normes NIST Cloud Computing, avec les approches proposées par IBM, Oracle et VmWare.

Norme de sécurité cloud du National Standards Institute des États-Unis

La feuille de route des normes NIST Cloud Computing, adoptée par le NIST, couvre les types potentiels d'attaques possibles contre les services de cloud computing :

♦ compromission de la confidentialité et de la disponibilité des données transmises par les fournisseurs de cloud ;

♦ les attaques qui proviennent de la structure et des capacités de l'environnement informatique en nuage pour améliorer et accroître les dégâts causés par les attaques ;

♦ accès non autorisé du consommateur (par le biais d'une authentification ou d'une autorisation incorrecte, ou de vulnérabilités introduites lors d'une maintenance périodique) aux logiciels, données et ressources utilisés par un consommateur de service cloud autorisé ;

♦ une augmentation du niveau d'attaques de réseau, telles que les DoS, exploitant des logiciels dont le développement n'a pas pris en compte le modèle de menace sur les ressources Internet distribuées, ainsi que les vulnérabilités des ressources accessibles depuis les réseaux privés ;

♦ capacités limitées de chiffrement des données dans un environnement comportant un grand nombre de participants ;

♦ portabilité résultant de l'utilisation d'API non standard qui rendent difficile pour un consommateur de cloud la migration vers un nouveau fournisseur de cloud lorsque les exigences de disponibilité ne sont pas satisfaites ;

♦ les attaques qui exploitent l'abstraction physique des ressources cloud et exploitent les failles des enregistrements et des procédures d'audit ;

♦ attaques sur des machines virtuelles qui n'ont pas été mises à jour en conséquence ;

♦ les attaques qui exploitent les incohérences des politiques de sécurité mondiales et privées.

La norme identifie également les principales tâches de sécurité pour le cloud computing :

♦ protéger les données des utilisateurs contre tout accès, divulgation, modification ou visualisation non autorisés ; implique la prise en charge du service d'identification de telle manière que le consommateur ait la possibilité d'appliquer des politiques d'identification et de contrôle d'accès aux utilisateurs autorisés ayant accès aux services cloud ; Cette approche implique la capacité du consommateur à donner accès à ses données de manière sélective à d'autres utilisateurs ;

♦ protection contre les menaces liées à la chaîne d'approvisionnement ; comprend la confirmation du degré de confiance et de fiabilité du prestataire de services dans la même mesure que le degré de confiance dans le logiciel et le matériel utilisé ;

♦ empêcher l'accès non autorisé aux ressources informatiques en nuage ; comprend la création de domaines sécurisés logiquement séparés des ressources (par exemple, la séparation logique des charges de travail exécutées sur le même serveur physique via un hyperviseur dans un environnement multi-tenant) et l'utilisation de configurations sécurisées par défaut ;

♦ développement d'applications Web déployées dans le cloud pour le modèle de menace des ressources Internet distribuées et intégration de fonctions de sécurité dans le processus de développement logiciel ;

♦ protéger les navigateurs Internet contre les attaques afin d'atténuer les vulnérabilités de sécurité des utilisateurs finaux ; comprend la prise de mesures pour protéger la connexion Internet des ordinateurs personnels grâce à l'utilisation de logiciels sécurisés, de pare-feu et à l'installation périodique de mises à jour ;

♦ déploiement de technologies de contrôle d'accès et de détection d'intrusion

relations avec le fournisseur de cloud et réalisation d’une évaluation indépendante pour vérifier leur disponibilité ; inclut, sans toutefois s'y limiter, des mesures de sécurité périmétrique traditionnelles combinées à un modèle de sécurité de domaine ; la sécurité périmétrique traditionnelle comprend la limitation de l'accès physique au réseau et aux appareils, la protection des composants individuels contre l'exploitation en déployant des mises à jour, la définition de la plupart des paramètres de sécurité par défaut, la désactivation de tous les ports et services inutilisés, l'utilisation d'un contrôle d'accès basé sur les rôles, la surveillance des enregistrements d'audit, la minimisation des privilèges utilisés. , en utilisant des packages antivirus et en cryptant les connexions ;

♦ définir des limites de confiance entre les prestataires de services et les consommateurs afin de garantir que les responsabilités autorisées en matière de sécurité sont claires ;

♦ prise en charge de la portabilité, réalisée de manière à ce que le consommateur ait la possibilité de changer de fournisseur de cloud dans les cas où il doit répondre aux exigences d'intégrité, de disponibilité et de confidentialité ; cela inclut la possibilité de fermer un compte à ce moment-là et de copier les données d'un fournisseur de services à un autre.

Ainsi, la feuille de route des normes NIST Cloud Computing, adoptée par le NIST, définit une liste de base d'attaques sur les systèmes cloud et une liste de tâches principales qui devraient

être résolu par le biais d'une demande

Mesures appropriées.

Formulons les menaces pour la sécurité des informations d'un système cloud :

♦ U1 - menace (compromission, disponibilité, etc...) pour les données ;

♦ U2 - menaces générées par les caractéristiques structurelles et les capacités de l'architecture pour la mise en œuvre de l'informatique distribuée ;

♦ U4 - menaces associées à un modèle de menace incorrect ;

♦ U5 - menaces associées à une utilisation incorrecte du cryptage (l'utilisation du cryptage est nécessaire dans un environnement où il existe plusieurs flux de données) ;

♦ U6 - menaces associées à l'utilisation d'API non standard pendant le développement ;

♦ U7 – menaces de virtualisation ;

♦ U8 – menaces qui exploitent les incohérences des politiques de sécurité mondiales.

Le point de vue d'IBM sur les problèmes de sécurité du cloud

Le Cloud Security Guidance IBM Recommendations for the Implementation of Cloud Security nous permet de tirer des conclusions sur les points de vue sur la sécurité développés par les spécialistes IBM. Sur la base de ce document, nous pouvons élargir la liste de menaces proposée précédemment, à savoir :

♦ U9 – menaces associées à l'accès de tiers aux ressources/systèmes physiques ;

♦ U10 - menaces associées à une élimination incorrecte (cycle de vie) des informations personnelles ;

♦ U11 - menaces associées à la violation des lois régionales, nationales et internationales relatives aux informations traitées.

Approches IBM, Oracle et VmWare de la sécurité du cloud computing

La documentation fournie par ces sociétés et décrivant leurs points de vue sur la garantie de la sécurité de leurs systèmes ne fournit pas de menaces fondamentalement différentes de celles ci-dessus.

Dans le tableau Le tableau 1 présente les principales classes de vulnérabilités formulées par les entreprises dans leurs produits. Tableau 1 permet de constater le manque de couverture complète des menaces parmi les entreprises étudiées et de formuler le « noyau de menaces » créé par les entreprises dans leurs systèmes cloud :

♦ menace pour les données ;

♦ menaces basées sur la structure/capacités de l'informatique distribuée ;

♦ menaces associées à un modèle de menace incorrect ;

♦ menaces de virtualisation.

Conclusion

Un examen des principales classes de vulnérabilités des plateformes cloud nous permet de conclure qu'il n'existe actuellement aucune solution prête à l'emploi pour une protection complète du cloud en raison de la variété des attaques qui exploitent ces vulnérabilités.

Il est à noter que le tableau construit des classes de vulnérabilité (Tableau 1), intégrant les approches des principaux

Tableau 1. Classes de vulnérabilité

Source Menaces déclarées

U1 U2 U3 U4 U5 U6 U7 U8 U9 U10 U11

NIST + + + + + + + + - - -

IBM + + + + + - + - + + +

Soleil/Oracle + + + + - - + - - + -

VmWare + + + + - - + - - - -

cette industrie d’acteurs ne se limite pas aux menaces qui y sont présentées. Par exemple, cela ne reflète pas les menaces associées à l'effacement des frontières entre les environnements avec différents niveaux de confidentialité des données, ainsi qu'à l'effacement des frontières de responsabilité en matière de sécurité de l'information entre le consommateur de services et le fournisseur de cloud.

Il devient évident que pour mettre en œuvre un système cloud complexe, une protection doit être développée pour une implémentation spécifique. L'absence de normes FSTEC et FSB pour les systèmes cloud est également importante pour la mise en œuvre d'une informatique sécurisée dans des environnements virtuels. Le « noyau de menaces » identifié dans les travaux est logique à utiliser lors de l’étude

résoudre le problème de la construction d'un modèle unifié de classes de vulnérabilité. Cet article est de nature récapitulative ; à l'avenir, il est prévu d'analyser en détail les classes de menaces associées à la virtualisation et de développer des approches pour créer un système de protection qui empêche potentiellement la mise en œuvre de ces menaces.

Littérature

1. Cloud Security Guidance Recommandations IBM pour la mise en œuvre de la sécurité du cloud, ibm.com/redbooks, 2 novembre 2009.

2. http://www.vmware.com/technical-resources/security/index.html.

3. Nuage NIST. Architecture de référence informatique, National Institute of Standards et. Technologie, publication spéciale. 500-292, septembre 2011.

4. Nuage NIST. Feuille de route des normes informatiques, National Institute of Standards et. Technologie, publication spéciale. 500-291, juillet 2011.

5. http://www.oracle.com/technetwork/indexes/documentation/index.html.

La rémunération n'est un facteur de motivation que si elle est directement liée aux résultats du travail. Les salariés doivent être convaincus de l'existence d'un lien stable entre les récompenses matérielles reçues et la productivité du travail. Le salaire doit comprendre une composante en fonction des résultats obtenus. La mentalité russe se caractérise par une volonté de travail collectif, de reconnaissance et de respect de la part des collègues, etc.

Aujourd'hui, alors qu'en raison de la situation économique difficile, il est difficile de payer des salaires élevés, une attention particulière doit être accordée aux incitations non matérielles, en créant un système flexible d'avantages sociaux pour les salariés, en humanisant le travail, notamment :

1. reconnaître la valeur de l'employé pour l'organisation, lui offrir une liberté de création ;

2. appliquer des programmes d'enrichissement du travail et de rotation du personnel ;

3. utiliser un horaire flexible, un travail à temps partiel, la capacité de travailler à la fois sur le lieu de travail et à domicile ;

4. offrir aux employés des réductions sur les produits fabriqués par l'entreprise pour laquelle ils travaillent ;

5. fournir des fonds pour les loisirs et les loisirs, fournir des bons de voyage gratuits, accorder des prêts pour l'achat de logements, de jardins, de voitures, etc.

Nous formulerons ci-dessous les facteurs motivants de l’organisation du travail qui conduisent à la satisfaction des besoins des niveaux supérieurs.
Sur son lieu de travail, chacun veut montrer de quoi il est capable et ce qu'il signifie pour les autres, il est donc nécessaire de reconnaître les résultats des activités d'un employé particulier, de lui offrir la possibilité de prendre des décisions sur des questions relevant de sa compétence et de conseiller les autres employés. . Sur le lieu de travail, la vision du monde d'une seule équipe doit être formulée : les groupes informels émergents ne peuvent être détruits que s'ils causent de réels dommages aux objectifs de l'organisation.

Presque chacun a son propre point de vue sur la manière d’améliorer son travail. S'appuyant sur le soutien intéressé de la direction, sans crainte de sanctions, le travail doit être organisé de manière à ce que le salarié ne perde pas l'envie de réaliser ses projets. Par conséquent, sous quelle forme, à quelle vitesse et de quelle manière les salariés reçoivent l'information, ils évaluent leur importance réelle aux yeux de la direction, il est donc impossible de prendre des décisions concernant les changements dans le travail des salariés à leur insu, même si les changements sont positifs et rendent également difficile l’accès aux informations nécessaires.

L’information sur la qualité du travail d’un employé doit être rapide, à grande échelle et opportune. L'employé doit bénéficier du plus grand degré possible de maîtrise de soi. La plupart des gens s'efforcent d'acquérir de nouvelles connaissances au cours du travail. Par conséquent, il est si important de fournir aux subordonnés la possibilité d'apprendre, d'encourager et de développer leurs capacités créatives.

Chaque personne aspire au succès. Le succès est la réalisation d'objectifs pour lesquels l'employé a déployé tous ses efforts. Le succès sans reconnaissance conduit à la déception et tue l’initiative. Cela ne se produira pas si les subordonnés qui ont réussi se voient déléguer des droits et des pouvoirs supplémentaires et sont promus dans l'échelle de carrière.

CONCLUSION

L'efficacité de l'un ou l'autre système de motivation dans les activités pratiques dépend en grande partie des organes de direction, bien que certaines mesures aient été prises ces dernières années pour accroître le rôle des entreprises elles-mêmes et développer leurs propres systèmes de motivation, qui, à un moment donné, permettre de mettre en œuvre les buts et objectifs auxquels sont confrontées les entreprises dans les conditions des relations marchandes.

Aujourd’hui, il n’est plus guère nécessaire de convaincre que la motivation est un facteur fondamental pour encourager les salariés à effectuer un travail hautement productif. À leur tour, le fonctionnement des systèmes de motivation et leur développement dépendent principalement des salariés de l'appareil de gestion, de leurs qualifications, qualités commerciales et autres caractéristiques qualitatives. Dans le même temps, tant avant la transition de la Russie vers des relations de marché qu’à l’heure actuelle, le problème de la motivation reste le problème le plus urgent et, malheureusement, le plus non résolu en termes pratiques. La solution à ce problème dépend principalement de nous-mêmes. Nous sommes nous-mêmes responsables de notre vie et de notre motivation à travailler. Cependant, il semble que beaucoup d’entre nous passent trop de temps avant d’oser assumer la responsabilité principale du contenu de notre vie et de notre envie de travailler. Nous sommes habitués à rechercher d’abord en dehors de nous les raisons de nos problèmes de vie et de travail.

Les raisons sont rapidement trouvées : collègues de travail les plus proches, supérieurs, subordonnés, division du travail, atmosphère, mode de gestion, conditions économiques, politiques gouvernementales déraisonnables et bien d'autres facteurs même au-delà des frontières de notre pays. Beaucoup d'entre nous passent tellement de temps à expliquer l'efficacité de notre travail ou notre réticence à travailler que pendant ce temps, s'il était utilisé correctement, nous pourrions atteindre une motivation beaucoup plus élevée, tant pour nous-mêmes que pour nos proches.

Envoyer votre bon travail dans la base de connaissances est simple. Utilisez le formulaire ci-dessous

Les étudiants, étudiants diplômés, jeunes scientifiques qui utilisent la base de connaissances dans leurs études et leur travail vous seront très reconnaissants.

Documents similaires

Essence, formes, principes et systèmes de rémunération. Analyse du fonds salarial à l'aide de l'exemple de NKMZ JSC. Modes de rémunération des salariés utilisés dans l'entreprise. Orientations pour améliorer le système de rémunération et la motivation du travail dans les conditions du marché.

Analyse des types d'activités de la SARL UMTS "Splav", caractéristiques du système d'organisation de la comptabilité du travail. Le système salarial comme élément nécessaire de l'organisation de la rémunération. Caractéristiques des méthodes de motivation des travailleurs, structure du fonds salarial.

travail de cours, ajouté le 01/09/2012


L'essence et le contenu de la catégorie « motivation au travail ». Théories de la motivation, leur essence et leur signification. Analyse de l'état actuel du système de motivation des employés chez Svetlana LLC. Renforcement des facteurs de motivation dans le domaine de la rémunération, de l'efficacité des mesures.

travail de cours, ajouté le 18/05/2010


Prise en compte des formes, des sources de formation des fonds salariaux, des systèmes de primes et d'incitations pour les salariés. Caractéristiques de la production et des activités économiques de PA « Boulanger » : analyse des coûts de production, rentabilité, organisation et rémunération.

thèse, ajoutée le 25/05/2010


Le problème de la stimulation du travail dans l'économie. Caractéristiques du système salarial traditionnel dans l'entreprise. Diagnostic de la motivation au travail, des orientations de valeurs et de la satisfaction au travail du personnel de l'entreprise. Développement d'un système de rémunération propriétaire.

thèse, ajoutée le 08/09/2010


Système de rémunération : types, formes et modalités de son calcul. La procédure de rémunération des employés des établissements médicaux. Comptabilisation des financements dans les organismes budgétaires, analyse des indicateurs clés. Projet de mesures pour améliorer le système de rémunération.

thèse, ajoutée le 22/12/2012


L'essence et les principes de la rémunération dans une économie de marché. Formes et systèmes modernes de rémunération. Analyse des rémunérations chez LLC "Sigma", Kostroma. Analyse du système de rémunération des salariés. Améliorer le système salarial dans l'entreprise étudiée.

thèse, ajoutée le 11/04/2012

Toute motivation matérielle repose sur la récompense matérielle d'une personne pour son travail. Elle peut être réalisée sous forme de paiement de salaires, ainsi que sous forme de programmes sociaux prévus par la législation russe et les règles adoptées dans cette organisation.

Les salaires constituent la principale forme de motivation matérielle du personnel. Il exprime en termes monétaires l'effort et le temps qu'une personne consacre au processus de travail.

Le salaire est le facteur fondamental qui stimule le besoin de travailler pour la plupart des gens.

Mais le fait même de le recevoir ne garantit pas toujours un travail consciencieux et productif. Par conséquent, si nous parlons du salaire comme d'un facteur augmentant la motivation des travailleurs, il est nécessaire d'établir la dépendance de sa taille sur le résultat final du travail. Dans ce cas, les employés qui exercent leurs fonctions de manière responsable Et Ceux qui font preuve de performances élevées recevront un salaire plus élevé que tout le monde. Cela apporte un sentiment de satisfaction aux « travailleurs avancés » quant aux résultats de leur travail et constitue une incitation à un meilleur travail de la part de l'ensemble de l'équipe.

Afin de comprendre comment cette tâche peut être mise en œuvre dans la pratique, examinons d’abord les bases de la construction. systèmes de salaires dans l'organisation.

La rémunération des employés de l'organisation est basée sur la législation de la Fédération de Russie et est réglementée par l'État. La réglementation de l'État s'étend à l'établissement d'un salaire minimum, à l'imposition des fonds alloués par une organisation pour les salaires et à l'établissement de garanties publiques sur les salaires.

Les normes confirmant les fonctions énumérées précédemment sont contenues dans le Code du travail de la Fédération de Russie et, en règle générale, sont fixées dans les conventions de travail et collectives que l'organisation conclut avec ses employés.

Le respect des normes législatives est la base sur laquelle une organisation peut construire un système de rémunération pour ses employés, mais, outre les normes législatives, un certain nombre de facteurs doivent être pris en compte.

Forme de rémunération. Il existe deux principales formes de rémunération : au temps et à la pièce. Le salaire au temps consiste à calculer le salaire en fonction du coût d'une heure de travail ou du salaire du temps réellement travaillé. Cette forme de salaire est utilisée pour rémunérer les spécialistes et les gestionnaires, car ils ne fabriquent pas de produits spécifiques, comptés en pièces, mètres et kilogrammes. Leur travail se mesure au temps consacré à leur travail.

Le salaire à la pièce dépend de la quantité de produits fabriqués Et calculé sur la base du coût par unité de production. Le travail des travailleurs est évalué sur la base d'un salaire à la pièce dont les résultats peuvent être mesurés quantitativement.

Couverture des employés. La couverture des salariés comprend la rémunération individuelle et collective. Le paiement individuel est le calcul du salaire pour chaque employé spécifique. La rémunération collective est constituée en fonction des résultats du travail d'un groupe puis répartie au sein de ce groupe selon les règles établies.

Moyens de paiement. Moyens de paiement - éléments en espèces et en nature. En règle générale, les salaires sont payés en espèces, mais en accord avec l'employé et conformément à la législation de la Fédération de Russie, une partie du paiement en nature est possible - en biens, titres ou services.

Durée de la période de facturation. La durée de la période de facturation correspond à la fréquence des paiements. Le paiement peut être quotidien, hebdomadaire, mensuel.

L'étude et l'analyse des facteurs répertoriés permettent d'élaborer et de mettre en œuvre un système de paiement qui correspondrait aux buts et objectifs de l'organisation, ainsi qu'à ses capacités financières. Mais il faut non seulement créer un système de rémunération du personnel, mais aussi faire en sorte qu'il devienne une incitation au travail.

Pour ce faire, lors du développement, il est nécessaire de suivre les règles qui garantissent une efficacité accrue du travail des travailleurs :

■ le système de paiement doit concentrer l'employé sur l'obtention du résultat souhaité par l'entreprise, c'est pourquoi le montant du salaire est lié aux indicateurs de performance de l'ensemble de l'organisation (bénéfice, volume des ventes, réalisation du plan) ;

■ le système de paiement doit être un moyen de gestion du personnel, pour cela le manager doit avoir la possibilité à la fois de récompenser et de punir matériellement ;

■ le système de rémunération doit répondre aux attentes des salariés et être proportionné aux conditions existant dans d'autres organisations.

Comme nous l'avons déjà dit, le système de paiement de chaque entreprise a ses propres caractéristiques, reflétant les exigences de la production, le type d'activité et la politique du personnel adoptée.

Cependant, depuis peu, de nombreuses organisations ont recours à un système de rémunération qui consiste à diviser les paiements du personnel en trois parties.

Première partie- c'est le salaire de base. Elle est versée pour l'exercice de fonctions officielles et reste inchangée (à l'exception de la rémunération à la pièce). Tous les employés de l'organisation reçoivent un salaire.

Deuxième partie- il s'agit de paiements et de compensations préférentiels - un package social que l'organisation offre à ses salariés. Cela comprend le paiement des vacances, des congés de maladie, des repas, de la formation des employés, de l'assurance vie et maladie, ainsi que de l'indemnité annuelle d'inflation. La partie rémunération de la rémunération est individuelle et dépend du nombre d'années travaillées par l'employé et de la disponibilité de programmes sociaux supplémentaires adoptés par l'organisation. Tous les salariés reçoivent également une compensation.

La troisième partie- Il s'agit de paiements supplémentaires effectués par l'organisation pour les réalisations professionnelles de la période précédente. Des paiements supplémentaires peuvent être effectués sous forme de primes, de pourcentages de ventes de produits, de paiements supplémentaires pour les vacances, ainsi que de primes et de coefficients pour la complexité et la qualité du travail effectué. Cette partie des versements est variable. Elle est différente pour tous les salariés et dépend des indicateurs de performance individuels. Cette part n'est pas reçue par tous les salariés, mais uniquement par ceux qui ont obtenu certains résultats dans leur travail.

Le système de rémunération présenté comprend tous les types de paiements au personnel établis par la loi et permet de stimuler l'efficacité des salariés grâce à des primes supplémentaires pour un travail productif et de haute qualité.

Il convient de noter que lors de la création d'un système de rémunération, le chef de l'organisation et le service du personnel doivent se rappeler que le sens de la rémunération monétaire pour un salarié ne se limite pas à la simple compensation des efforts qu'il consacre à l'exécution de son travail. La rémunération monétaire, les formes de sa réception et son montant sont perçus comme une preuve de sa valeur pour l'organisation, forment l'estime de soi et parlent de statut social. Ainsi, l'argent reçu par le salarié est un indicateur d'épanouissement personnel et professionnel.

Description bibliographique :

Nesterov A.K. Motivation du personnel dans une organisation [Ressource électronique] // Site encyclopédie pédagogique

La gestion de la motivation au travail est un facteur clé du système de gestion du personnel d’une organisation, puisqu’il existe une relation directe entre la motivation d’un employé et l’efficacité de son travail.

Le concept et l'essence de la motivation au travail

Motivation est le processus de création d’incitations pour atteindre les objectifs fixés. Les besoins et les motivations sont impliqués dans le processus de motivation. Les besoins sont une envie interne d’agir. Le processus de motivation se termine par le développement d'un motif ; outre les besoins, les orientations de valeurs, les croyances et les points de vue participent également à ce processus. Il s’agit d’un processus caché, non observable et ne pouvant être déterminé empiriquement.

Vous ne pouvez voir que le résultat de la motivation : le comportement humain.

Non seulement l’augmentation de l’activité sociale et créative d’un employé particulier, mais aussi les résultats finaux des activités de l’entreprise dépendent d’une motivation efficace.

Chacune des théories existantes de la motivation est basée sur les résultats de certains aspects théoriques et appliqués, les jetant à la base de son concept ; cependant, une approche unifiée pour définir le concept de motivation n'a pas été développée.

Approches pour définir le concept de motivation au travail

Dans cet article, nous utiliserons la thèse suivante, qui caractérise l'essence de la motivation au travail.

Motivation du personnel est un ensemble de forces motrices internes et externes qui encouragent une personne à mener des activités conscientes.

En tant qu'élément du système de gestion, la motivation du personnel vise à encourager les personnes à effectuer leur travail le plus efficacement possible dans le cadre de leurs droits et responsabilités. À cet égard, la motivation affecte directement : les compétences de l’employé n’apporteront pas de résultats s’il ne s’y intéresse pas. Dans la gestion d'une organisation, un ensemble de facteurs internes et externes est utilisé pour motiver le personnel.

Individuellement, ces facteurs ont peu d'importance pour l'homme et, dans les conditions modernes, leur impact n'est pas si fort, mais avec une influence complexe, ils se renforcent mutuellement à plusieurs reprises, créant un effet multiplicateur.

Théories de la motivation du personnel

Le tableau présente des théories substantielles et procédurales de la motivation, dans lesquelles se forment des complexes de motivations et d'incitations qui agissent comme des éléments de motivation pour le travail du personnel d'une organisation.

Théories du contenu et des processus de la motivation

1. A. La théorie des besoins de Maslow
Besoins
1.1. Besoins psycologiques	– une nourriture de qualité ; - eau pure; – de bonnes conditions de vie ; – des conditions favorables à la détente.	– un salaire équitable ; – les prêts au logement ; – les bons de sanatorium ; - forfait social.
1.2. Besoins de sécurité	– la protection contre les dangers physiques et moraux liés à l'environnement ; - la confiance que les besoins physiologiques seront satisfaits.	– bon climat moral et psychologique dans l’équipe ; – le style de gestion démocratique du leader ; - assurance santé; – assistance dans les situations d’urgence
1.3. Besoins sociaux	- communication; – les imitations ; – l'implication ; – solidarité, soutien, amitié, entraide.	– possibilité de communiquer; – un style de leadership démocratique ; – l'égalité des chances, « égalité des chances » ; - Temple de la renommée; – rendre grâce ; – la reconnaissance du mérite ; – l'équité en tout (dans la répartition du travail, les évaluations, les récompenses) ; – des programmes d'activités culturelles et récréatives.
1.4. Besoins de reconnaissance et de respect	- amour propre; - accomplissements personnels; - compétence; – le respect des autres ; - reconnaissance.	- salaire décent; – l'extension des pouvoirs ; – les avantages personnels ; – augmentation du nombre de subordonnés ; – la reconnaissance et le respect universels.
1.5. Besoins d'expression de soi	– réalisation du potentiel opportunités; - croissance personnelle; – le métier ; – l'expression de soi; - curiosité; - création; – les inventions ; - innovation; - faire de la science.	– participation à la gestion et à la prise de décision ; – participation à des groupes de projet ; – de nombreuses possibilités de formation et de perfectionnement ; – une évolution de carrière active ; – fourniture de travail selon les intérêts, selon la vocation ; – un accompagnement professionnel ; – accroître le caractère créatif du travail ; – en tenant compte des qualités et capacités personnelles du salarié ; – récompenses pour l'innovation, les inventions, les découvertes ; – nomination aux prix nationaux et internationaux.
2. Théorie de l'existence, de la connexion et de la croissance par K. Alderfer
Besoins
2.1. Besoins existentiels : physiologique, sécurité sécurité, salaire	– nourriture, eau, abri, repos ; – protection contre les dangers physiques ; - la confiance que les besoins physiologiques seront satisfaits.	– un niveau de salaire suffisant ; – le paiement du logement ; - forfait social ; – le système de retraite ; - assurance santé.
2.2. Besoins en communication : établissement Contacts, respect, appréciation personnalités	- communication; – l'implication ; – soutien, amitié, entraide.	– possibilité de communiquer; – climat psychologique favorable dans l'équipe ; - opportunités égales; – rendre grâce ; - reconnaissance du mérite.
2.3. Besoins de croissance : développement créatif potentiel, réalisation de soi	– le respect, la reconnaissance ; – réalisation d’opportunités potentielles ; - croissance personnelle; – expression de soi, créativité.	– la reconnaissance et le respect universels ; – le droit de mettre en œuvre leurs propositions ; – les possibilités de formation et de perfectionnement ; - des prix pour les inventions.
3. La théorie des besoins acquis par D. McClelland
Besoins
3.1. Besoin de pouvoir	– le désir d’influencer les autres, de se sentir utile et important	– participation à la gestion et à la prise de décision ; – l'extension des pouvoirs ; – augmentation du nombre de subordonnés.
3.2. Besoin de réussite	– participation à des travaux prometteurs ; – atteindre l'objectif ; – le prestige ; - développement de carrière.	Fournir de l'initiative et de larges pouvoirs ; Récompense pour les résultats ; Participation au succès; Reconnaissance internationale; Récompensé par le titre de « Meilleur employé de l'année ».
3.3. Besoin d'appartenance	- communication; – les imitations ; – l'implication ; – solidarité, soutien, amitié.	– possibilité de communiquer; – un microclimat social favorable ; – participation à la gestion et à la prise de décision ; – tenir des réunions ; - aider les autres; - contacts professionnels.
4. La théorie des deux facteurs par F. Herzberg
Besoins
4.1. Hygiénique	- l'avancement de carrière; – la reconnaissance et l'approbation des résultats des travaux ; – un degré élevé de responsabilité ; – des opportunités de créativité et croissance des entreprises.	– un bon climat moral et psychologique ; – des conditions normales de travail ; – un salaire équitable ; - ambiance amicale; – contrôle modéré du travail.
4.2. Motivations		– doté d'initiatives et de pouvoirs étendus ; – récompense des résultats ; – participation à la réussite ; - plan de carrière; – une rémunération équitable ; – assurer un haut degré de responsabilité ; – études et perfectionnement.
Théories des processus de motivation
5. La théorie des attentes de V. Vroom
Besoins
5.1. Coûts - résultats	– l'importance de la tâche ; – la faisabilité de la tâche ; – procéder aux consultations nécessaires.	– évaluation des résultats
5.2. Résultats de récompense	– certitude et ponctualité de la rémunération.	– confiance dans le leader ; – l'efficacité de l'entreprise.
5.3. Valence	– rémunération pour la productivité du travail atteinte.	– garantie de rémunération ; – correspondance exacte de la rémunération avec les résultats du travail.
6. La théorie de la justice de S. Adams
Besoins
	– le respect de la rémunération avec la rémunération moyenne des autres spécialistes pour un travail similaire.	Application d’un salaire compensatoire au « prix du marché » du salarié.
7. Le concept de gestion participative
Besoins
	– conscience de l’importance et de la signification de son travail pour le développement de l’entreprise	– participation à la gestion et à la prise de décision ; - participation à des projets ; - maîtrise de soi; – responsabilité personnelle et collective des résultats.

Source : Vikhansky, O. S. Management : manuel / O. S. Vikhansky, A. I. Naumov. – 5e éd., stéréotype. – M. : Master : INFRA-M, 2012.

La construction d'un système de motivation selon les théories substantielles de la motivation repose sur l'identification et la satisfaction des besoins dominants des salariés, et les théories procédurales de la motivation attribuent un rôle clé à la formation du comportement motivationnel des salariés.

Méthodes de motivation du personnel dans une organisation

Les méthodes de motivation au travail sont présentées comme des influences régulatrices managériales de trois types : passives, indirectes et actives.

• Les influences passives n'influencent pas les travailleurs, mais visent à créer des conditions de travail et incluent l'élaboration de normes, règles et réglementations relatives au travail du personnel.
• Les impacts indirects affectent indirectement les employés de l'organisation et sont mis en œuvre sous la forme de programmes complets de primes et d'incitations destinés à l'équipe de l'entreprise dans son ensemble.
• L'influence active implique une influence directe sur des employés ou des groupes d'employés spécifiques.

Les méthodes de motivation sont présentées dans le schéma

Méthodes de motivation du personnel

Les méthodes économiques de motivation reposent sur la perception de certains avantages par les salariés, ce qui augmente leur bien-être.

Formes directes de méthodes économiques :

• salaire de base;
• des rémunérations complémentaires tenant compte de la complexité du travail et des qualifications, du surmenage, etc. ;
• rémunération sous forme de primes et de paiements en fonction de la contribution du salarié aux résultats des activités de production de l’entreprise ;
• d'autres types de paiements.

Formes indirectes de méthodes économiques :

• mise à disposition d'une voiture de société à utiliser;
• utilisation des installations sociales de l'organisation;
• acheter les produits de l’organisation à un prix inférieur au prix de vente ;
• fourniture de divers avantages.

Modalités d'organisation :

1. Motivation par des objectifs intéressants pour le travail principal des employés ;
2. Motivation en enrichissant le contenu de l'activité de travail ;
3. Motivation à participer aux affaires de l'organisation.

Méthodes morales et psychologiques :

1. Fierté du travail assigné et complété ;
2. Responsabilité des résultats du travail ;
3. Défi, opportunité de montrer vos capacités ;
4. Reconnaissance de la paternité du résultat du travail ou du projet réalisé ;
5. Des éloges élogieux, peuvent être personnels ou publics.

Exigences relatives aux méthodes de motivation du travail du personnel de l'organisation

Orientations pour améliorer et augmenter l'efficacité de la motivation du personnel dans l'organisation

Système de motivation des employés est un outil flexible de gestion du personnel axé sur la réalisation des objectifs de l'entreprise en utilisant des méthodes administratives, économiques et socio-psychologiques.

Les entreprises doivent construire un système de gestion du travail efficace qui assurerait l'activation du facteur humain ; pour cela, les organisations utilisent des méthodes de motivation du personnel pour orienter les gens vers la solution la plus efficace aux tâches assignées. La motivation du travail vise à augmenter la productivité du travail, à augmenter les bénéfices de l'organisation, ce qui conduit finalement à la réalisation des objectifs stratégiques de l'organisation.

Le principal problème est la question de la création d'un système efficace et efficient de motivation du personnel dans l'organisation. Étant donné que chaque manager s'efforce de garantir qu'un employé ne se désintéresse pas du travail, les organisations développent des événements spéciaux et construisent un système de motivation pour maintenir l'intérêt des employés pour le travail.

Dans une étude précédente, il a été établi qu'il existe une relation stable entre les types de motivation et les facteurs influençant l'intérêt pour le travail.

Un système de motivation inefficace entraîne une diminution de la productivité du travail, l'importance de l'utilisation rationnelle de méthodes efficaces de stimulation du travail est donc évidente.

L'interdépendance de la motivation des salariés et de la performance économique de l'organisation constitue la base de l'entreprise.

La tâche de tout manager est d'organiser le processus de travail afin que les gens travaillent efficacement. La productivité et le climat des relations au sein de l'entreprise dépendent directement de la mesure dans laquelle les salariés sont d'accord avec leur position dans l'entreprise et le système de récompense existant. Ce qui, à son tour, influence la réduction de la formalisation rigide des relations intra-entreprise, visant à leur transformation dans le contexte de la réalité objective des conditions de l'entreprise.

Une direction typique pour améliorer le système de motivation du personnel dans une organisation est l'expansion des formes et des types d'incitations. Par exemple, si dans le système de motivation de l'entreprise les incitations matérielles les plus prononcées ou s'il n'y a pratiquement aucun type d'incitation non matérielle, il est nécessaire d'utiliser davantage de types d'incitations morales pour les employés, par exemple :

1. Placer divers enregistrements des réalisations de l'employé dans son dossier personnel.
2. Reconnaissance verbale de la part de la direction de l'entreprise.
3. Formation complémentaire à la charge de l'organisation.
4. Une invitation payante à déjeuner dans un restaurant qu'une entreprise offre à un employé.
5. Horaires de travail flexibles.
6. Fournir un parking pour le stationnement des voitures et de l'essence gratuite.
7. Meilleure qualité des équipements de travail, ainsi que l'achat de nouveaux équipements pour les meilleurs employés en fin d'année.
8. Placer une photographie dans un journal mural.
9. Souvenir avec une note spéciale « Meilleur travailleur ».
10. Publier les réponses positives des clients afin que tout le monde puisse les voir.
11. Abonnement à des publications périodiques spécialisées.

Pour accroître la motivation des employés, il est nécessaire de créer les conditions d'expression de soi des employés, de leur donner une certaine initiative dans la prise de décision et de créer les conditions permettant aux employés d'avoir la possibilité d'influencer les processus en cours dans l'entreprise. Pour ce faire, le directeur peut déléguer une partie de ses pouvoirs directement aux chefs de services de l'entreprise.

Il sera utile pour le manager d'exploiter certains événements marquants de la vie personnelle de ses subordonnés (anniversaires, mariages, etc.) afin de leur prêter attention et de les féliciter tous en équipe. Des actions similaires sont également possibles de la part des salariés.

Aussi, pour accroître l’implication des salariés dans les affaires de l’entreprise, il est nécessaire de mettre en place un système d’actions appelé « politique de la porte ouverte ». Cela signifie la volonté d'un manager de tout rang d'écouter les suggestions de ses subordonnés. La devise de cette politique est : « Les portes de mon bureau vous sont toujours ouvertes ». Cependant, la question se pose de savoir quel est le rapport avec la ressource temps du manager. En effet, que se passe-t-il si les subordonnés décident qu’ils peuvent entrer dans le bureau du patron quand ils le souhaitent ? En fait, si les employés sont occupés, ils visitent le bureau du manager beaucoup moins souvent qu'on pourrait s'y attendre. De plus, vous pouvez utiliser certaines techniques pour organiser ces types de contacts :

• Le manager peut fixer lui-même l'heure de la réunion, sans refuser une audience à l'employé, mais en la déplaçant à une heure qui lui convient.
• L'utilisation de formes écrites de présentation d'informations contribue également à réduire la communication avec les subordonnés. La présentation des idées sous forme écrite se caractérise par la concision et la certitude.
• Évaluer et encourager des propositions commerciales spécifiques. Parfois, les employés, lorsqu'ils soumettent une idée, l'accompagnent d'une grande quantité d'informations connexes, même s'il suffit d'en énoncer spécifiquement l'essence.

Augmenter la motivation des employés grâce à des méthodes de stimulation morale et introduire une politique de « porte ouverte » à tous les niveaux de gestion augmentera considérablement la participation des employés de l'organisation aux activités de l'organisation dans son ensemble, ainsi qu'aux décisions prises par les gestionnaires. Cela contribuera à optimiser les relations intra-entreprise grâce à des méthodes subjectives-objectives pour atteindre l'équilibre dans les relations formelles et informelles qui existent dans l'organisation. Cela améliorera également la qualité des informations disponibles pour la direction et nécessaires à la prise de décisions. La stimulation morale aidera également les employés à se sentir connectés aux objectifs et aux valeurs de l'organisation.

Une direction prometteuse pour accroître l'efficacité du système de motivation du personnel est l'introduction d'un programme d'adaptation du personnel. Même si l'entreprise ne dispose pas d'un service distinct de gestion de l'adaptation du personnel, le travail d'adaptation d'un nouveau salarié peut être effectué par un salarié du service RH.

Le programme d'adaptation est un ensemble d'actions spécifiques qui doivent être réalisées par l'employé responsable de l'adaptation. Le programme d'adaptation est divisé en général et spécial. Le programme général d'adaptation concerne l'ensemble de l'organisation et comprend des questions telles que la compréhension générale de l'entreprise, les politiques organisationnelles, la rémunération, les avantages sociaux supplémentaires, la santé et la sécurité au travail, les conditions de travail des employés dans l'organisation, les services sociaux et les aspects économiques. facteurs.

Un programme spécial d'adaptation couvre les questions liées spécifiquement à tout service ou lieu de travail et se déroule à la fois sous la forme d'entretiens particuliers avec les employés du service dans lequel le nouveau venu est arrivé et d'entretiens avec le manager (immédiat et supérieur). Mais l'organisation de ces conversations relève de la responsabilité du collaborateur du service RH. Les principales questions qui doivent être couvertes lors d'un programme d'intégration spécial sont : les fonctions de l'unité, les tâches et responsabilités du poste, les rapports requis, les procédures, les règles, les règlements et la représentation des employés de l'unité.

Les salaires sont la partie la plus importante du système de rémunération et d'incitation au travail, l'un des outils permettant d'influencer l'efficacité d'un employé. C’est le summum du système d’incitation du personnel de l’entreprise, mais malgré toute son importance, les salaires dans la plupart des entreprises étrangères prospères ne dépassent pas 70 % du revenu de l’employé, les 30 % restants du revenu étant inclus dans la répartition des bénéfices.

Pour que le salaire remplisse sa fonction motivante, il doit exister un lien direct entre son niveau et les qualifications du salarié, la complexité du travail effectué et le degré de responsabilité.

Le système de rémunération s'entend comme une méthode de calcul du montant de la rémunération à verser aux salariés d'une entreprise en fonction des coûts de main-d'œuvre qu'ils ont supportés ou des résultats du travail.

Il existe deux systèmes d'organisation de la rémunération : tarifaire et non tarifaire. Système tarifaire permet de comparer différents types spécifiques de travaux, en tenant compte de leur complexité et de leurs conditions de mise en œuvre, c'est-à-dire de prendre en compte la qualité du travail. C'est le plus courant dans les entreprises nationales.

Les plus répandues dans les entreprises de diverses formes de propriété sont deux formes de système de rémunération tarifaire :

Travail à la pièce - pour chaque unité de production ou volume de travail effectué ;

Basé sur le temps - pour les heures standard travaillées, qui sont prévues par le système tarifaire.

Dans chaque entreprise spécifique, en fonction de la nature des produits, de la présence de certains processus technologiques, du niveau d'organisation de la production et du travail, l'une ou l'autre forme de salaire est utilisée.

Dans des conditions de rémunération basées sur les tarifs et les salaires, il est assez difficile de s'affranchir de la péréquation et de surmonter la contradiction entre les intérêts d'un salarié individuel et ceux de l'ensemble de l'équipe.

Comme option possible pour améliorer l'organisation et stimuler le travail, ils utilisent système de salaires en franchise de droits de douane , qui a trouvé une application dans de nombreuses entreprises lors de la transition vers des conditions économiques de marché. Selon ce système, les salaires de tous les employés de l’entreprise, du directeur à l’ouvrier, représentent la part de l’employé dans le fonds des salaires (fonds de paie) ou dans l’ensemble de l’entreprise ou dans une division distincte. Dans ces conditions, le salaire effectif de chaque salarié dépend de plusieurs facteurs :

Niveau de qualification du salarié ;

Taux de participation au travail (LCR);

Temps réel travaillé.

Le niveau de qualification d'un salarié d'une entreprise est établi pour tous les membres du personnel.

Tous les employés de l'entreprise sont divisés en dix groupes de qualification, basés sur le niveau de qualification des travailleurs et les exigences de qualification des travailleurs dans diverses professions. Pour chacun des groupes, son propre niveau de qualification est établi, qui peut augmenter tout au long de sa vie professionnelle. Le système de niveaux de qualification crée de plus grandes opportunités d'incitations matérielles pour une main-d'œuvre plus qualifiée que le système de catégories tarifaires.

Le KTU est délivré à tous les salariés de l'entreprise, y compris le directeur, et est agréé par le conseil du collectif du travail, qui décide lui-même de la fréquence de sa détermination (une fois par mois, par trimestre, etc.) et de la composition des indicateurs. pour son calcul.

Un type de système de franchise tarifaire est système de salaire contractuel, visant à attirer et à retenir dans les entreprises du personnel hautement qualifié, principalement des cadres et des spécialistes, à former une équipe de professionnels capables d'atteindre des objectifs toujours plus élevés dans un environnement concurrentiel difficile. Il repose sur la conclusion d'un accord (contrat) entre l'employeur et le salarié, qui stipule les conditions de travail, les droits et obligations des parties, le niveau de rémunération, etc. Par rapport au système tarifaire de rémunération actuel dans notre économie sous ses formes au temps et à la pièce, le système contractuel présente deux avantages incontestables . Premièrement, les travailleurs peuvent être payés à un montant beaucoup plus élevé que celui prescrit par les salaires, les tarifs et les prix dans le cadre du système de paiement public existant. Deuxièmement, le système contractuel permet de se débarrasser facilement et simplement d'un salarié négligent en résiliant le contrat, sans entrer en conflit avec le Code du travail, sans coordonner ce licenciement avec le syndicat. Ces avantages rendent le système contractuel extrêmement attractif pour les entreprises qui souhaitent réellement augmenter fortement l'efficacité de leur production.

Abonnez-vous aux actualités

Cours dans la discipline

Logiciels et matériel pour la sécurité des informations

"Sécurité de l'information dans le cloud computing : vulnérabilités, méthodes et moyens de protection, outils d'audit et d'enquête sur les incidents."

Introduction

1. Histoire et facteurs clés de développement

2. Définition du cloud computing

3. Architecture de référence

4. Accord de niveau de service

5. Méthodes et moyens de protection dans le cloud computing

6. Sécurité des modèles cloud

7. Audit de sécurité

8. Enquête sur les incidents et criminalistique dans le cloud computing

9. Modèle de menace

10. Normes internationales et nationales

11. Affiliation territoriale des données

12. Normes de l'État

13. Outils de sécurité dans les technologies cloud

14. Partie pratique

Conclusion

Littérature

Introduction

La vitesse croissante de diffusion du cloud computing s'explique par le fait que pour peu d'argent, en général, le client a accès à l'infrastructure la plus fiable avec les performances requises sans avoir besoin d'acheter, d'installer et d'entretenir des ordinateurs coûteux. 99,9%, ce qui permet également d'économiser sur les ressources informatiques . Et ce qui est également important, c’est une évolutivité pratiquement illimitée. En achetant un hébergement régulier et en essayant de sauter par-dessus votre tête (lors d'une forte augmentation de charge), vous risquez de voir le service interrompu pendant plusieurs heures. Dans le cloud, des ressources supplémentaires sont fournies à la première demande.

Le principal problème du cloud computing est le niveau de sécurité non garanti des informations traitées, le degré de sécurité des ressources et, souvent, un cadre réglementaire totalement absent.

Le but de l'étude sera d'examiner le marché existant du cloud computing et les outils permettant d'en assurer la sécurité.

informations sur la sécurité du cloud computing

1. Histoire et facteurs clés de développement

L'idée de ce que nous appelons aujourd'hui le cloud computing a été proposée pour la première fois par J. C. R. Licklider en 1970. Au cours de ces années, il a été responsable de la création d'ARPANET (Advanced Research Projects Agency Network). Son idée était que chaque personne sur terre serait connectée à un réseau à partir duquel il recevrait non seulement des données mais aussi des programmes. Un autre scientifique, John McCarthy, a exprimé l'idée que la puissance de calcul serait fournie aux utilisateurs sous forme de service. À cette époque, le développement des technologies cloud a été suspendu jusque dans les années 90, après quoi un certain nombre de facteurs ont contribué à son développement.

L'expansion de la bande passante Internet dans les années 90 n'a pas permis un bond significatif dans le développement de la technologie cloud, car pratiquement aucune entreprise ou technologie de l'époque n'était prête pour cela. Cependant, le fait même de l’accélération d’Internet a donné une impulsion au développement rapide du cloud computing.

2. L'un des développements les plus significatifs dans ce domaine a été l'émergence de Salesforce.com en 1999. Cette société est devenue la première entreprise à donner accès à son application via le site Web. En fait, cette société est devenue la première entreprise à proposer ses logiciels sur le principe du logiciel en tant que service (SaaS).

L'étape suivante a été le développement d'un service Web cloud par Amazon en 2002. Ce service permettait de stocker des informations et d'effectuer des calculs.

En 2006, Amazon a lancé un service appelé Elastic Compute Cloud (EC2), un service Web permettant à ses utilisateurs d'exécuter leurs propres applications. Amazon EC2 et Amazon S3 ont été les premiers services de cloud computing disponibles.

Une autre étape importante dans le développement du cloud computing a été la création par Google de la plateforme Google Apps pour les applications Web destinées au secteur des entreprises.

Les technologies de virtualisation, en particulier les logiciels permettant de créer une infrastructure virtuelle, ont joué un rôle important dans le développement des technologies cloud.

Le développement du matériel n'a pas tant contribué à la croissance rapide des technologies cloud, mais à la disponibilité de cette technologie pour les petites entreprises et les particuliers. Quant au progrès technique, la création de processeurs multicœurs et l'augmentation de la capacité des dispositifs de stockage d'informations y ont joué un rôle important.

2. Définition du cloud computing

Tel que défini par le National Institute of Standards and Technology des États-Unis :

Cloud computing (Cloud computing) (AnglaisNuage- nuage; l'informatique L'informatique est un modèle permettant de fournir un accès réseau omniprésent, pratique et à la demande à un pool partagé de ressources informatiques configurables (par exemple, réseaux, serveurs, stockage, applications et services) qui peuvent être rapidement provisionnées et libérées avec un minimum d'efforts et de besoins de gestion. .interaction avec le prestataire de services (prestataire de services).

Le modèle cloud prend en charge une haute disponibilité des services et est décrit par cinq caractéristiques essentielles, trois modèles de service et quatre modèles de déploiement.

Les programmes sont lancés et affichent les résultats de leur travail dans une fenêtre de navigateur Web standard sur un PC local, tandis que toutes les applications et leurs données nécessaires au fonctionnement se trouvent sur un serveur distant sur Internet. Les ordinateurs effectuant du cloud computing sont appelés « cloud informatique ». Dans ce cas, la charge entre les ordinateurs inclus dans le « cloud informatique » est répartie automatiquement. L’exemple le plus simple de cloud computing est celui des réseaux p2p.

Pour mettre en œuvre le cloud computing, des produits logiciels intermédiaires créés à l'aide de technologies spéciales sont utilisés. Ils servent de lien intermédiaire entre l'équipement et l'utilisateur et assurent la surveillance de l'état de l'équipement et des programmes, une répartition uniforme de la charge et une allocation rapide des ressources du pool commun. L’une de ces technologies est la virtualisation informatique.

Virtualisation en informatique- le processus de représentation d'un ensemble de ressources informatiques, ou de leur combinaison logique, qui offre des avantages par rapport à la configuration d'origine. Il s'agit d'une nouvelle vue virtuelle des ressources des éléments constitutifs, non limitée par la mise en œuvre, la configuration physique ou l'emplacement géographique. En règle générale, les ressources virtualisées incluent la puissance de calcul et le stockage de données. Scientifiquement, la virtualisation consiste à isoler les processus et les ressources informatiques les uns des autres.

Un exemple de virtualisation est celui des architectures informatiques multiprocesseurs symétriques, qui utilisent plusieurs processeurs. Les systèmes d'exploitation sont généralement configurés pour exposer plusieurs processeurs comme une seule unité de processeur. C'est pourquoi les applications logicielles peuvent être écrites pour une seule logique ( virtuel) module informatique, ce qui est beaucoup plus simple que de travailler avec un grand nombre de configurations de processeurs différentes.

Pour les calculs particulièrement volumineux et gourmands en ressources, le calcul en grille est utilisé.

Calcul en grille (grille - treillis, réseau) est une forme d’informatique distribuée dans laquelle un « superordinateur virtuel » se présente sous la forme de grappes d’ordinateurs hétérogènes, faiblement couplés et connectés en réseau, travaillant ensemble pour effectuer un grand nombre de tâches (opérations, tâches).

Cette technologie permet de résoudre des problèmes scientifiques et mathématiques nécessitant d’importantes ressources informatiques. L'informatique en grille est également utilisée dans les infrastructures commerciales pour résoudre des problèmes chronophages tels que les prévisions économiques, l'analyse sismique, ainsi que le développement et l'étude des propriétés de nouveaux médicaments.

Du point de vue d'une organisation en réseau, une grille est un environnement cohérent, ouvert et standardisé qui permet un partage flexible, sécurisé et coordonné des ressources informatiques et de stockage qui font partie de cet environnement au sein d'une organisation virtuelle.

Paravirtualisation est une technique de virtualisation qui fournit aux machines virtuelles une interface logicielle similaire, mais non identique, au matériel sous-jacent. Le but de cette interface modifiée est de réduire le temps passé par le système d'exploitation invité à effectuer des opérations beaucoup plus difficiles à réaliser dans un environnement virtuel que dans un environnement non virtualisé.

Il existe des « hooks » spéciaux qui permettent aux systèmes invité et hôte de demander et de confirmer l'achèvement de ces tâches complexes qui pourraient être effectuées dans un environnement virtuel, mais à un rythme beaucoup plus lent.

Hyperviseur ( ou Moniteur de machine virtuelle) - dans les ordinateurs, un programme ou un circuit matériel qui fournit ou permet l'exécution simultanée et parallèle de plusieurs, voire de plusieurs systèmes d'exploitation sur le même ordinateur hôte. L'hyperviseur assure également l'isolation des systèmes d'exploitation les uns des autres, la protection et la sécurité, le partage des ressources entre les différents systèmes d'exploitation en cours d'exécution et la gestion des ressources.

L'hyperviseur peut également (mais n'est pas obligé) fournir aux systèmes d'exploitation exécutés sous son contrôle sur le même ordinateur hôte les moyens de communiquer et d'interagir entre eux (par exemple, via le partage de fichiers ou des connexions réseau) comme si ces systèmes d'exploitation étaient fonctionnant sur différents ordinateurs physiques.

L'hyperviseur lui-même est en quelque sorte un système d'exploitation minimal (micro-noyau ou nano-noyau). Il fournit des services de machine virtuelle aux systèmes d'exploitation exécutés sous son contrôle, virtualisant ou émulant le matériel réel (physique) d'une machine particulière, et gère ces machines virtuelles, en leur allouant et en libérant des ressources. L'hyperviseur permet de « mettre sous tension », de redémarrer et de « désactiver » de manière indépendante n'importe quelle machine virtuelle exécutant un système d'exploitation particulier. Cependant, un système d’exploitation exécuté sur une machine virtuelle exécutant un hyperviseur peut, mais n’est pas obligé, « savoir » qu’il s’exécute sur une machine virtuelle et non sur du matériel réel.

Modèles de services cloud

Les options pour fournir de la puissance de calcul varient considérablement. Tout ce qui concerne le Cloud Computing est généralement appelé le mot aaS, qui signifie simplement « as a Service », c'est-à-dire « as a service » ou « as a service ».

Logiciel en tant que service (SaaS) - Le prestataire met à disposition du client une application prête à l'emploi. Les applications sont accessibles à partir de divers appareils clients ou via des interfaces client léger telles qu'un navigateur Web (comme la messagerie Web) ou des interfaces de programme. Le consommateur ne gère pas l'infrastructure cloud sous-jacente, y compris les réseaux, les serveurs, les systèmes d'exploitation, les systèmes de stockage et même les paramètres d'application individuels, à l'exception de certains paramètres de configuration d'application définis par l'utilisateur.

Dans le modèle SaaS, les clients ne paient pas pour posséder le logiciel lui-même, mais pour le louer (c'est-à-dire l'utiliser via une interface Web). Ainsi, contrairement au système classique de licence de logiciel, le client supporte des coûts récurrents relativement faibles et n'a pas besoin d'investir des fonds importants pour acheter le logiciel et le prendre en charge. Le système de paiement périodique suppose que si le logiciel n'est temporairement pas nécessaire, le client peut suspendre son utilisation et geler les paiements au développeur.

Du point de vue du développeur, le modèle SaaS permet de lutter efficacement contre l'utilisation sans licence d'un logiciel (piratage), puisque le logiciel lui-même n'atteint pas les clients finaux. De plus, le concept SaaS réduit souvent les coûts de déploiement et de mise en œuvre des systèmes d'information.

Riz. 1 Schéma SaaS typique

Plateforme en tant que service (PaaS) - le fournisseur propose au client une plateforme logicielle et des outils pour concevoir, développer, tester et déployer des applications utilisateur. Le consommateur ne gère pas l'infrastructure cloud sous-jacente, y compris les réseaux, les serveurs, les systèmes d'exploitation et les systèmes de stockage, mais contrôle les applications déployées et éventuellement certains paramètres de configuration de l'environnement d'hébergement.

Riz. 2 Schéma PaaS typique

Infrastructure en tant que service (IaaS). - le fournisseur propose au client des ressources informatiques à la location : serveurs, systèmes de stockage, équipements réseaux, systèmes d'exploitation et logiciels système, systèmes de virtualisation, systèmes de gestion de ressources. Le consommateur ne contrôle pas l'infrastructure cloud sous-jacente, mais a un contrôle sur les systèmes d'exploitation, les systèmes de stockage, les applications déployées et peut-être un contrôle limité sur la sélection des composants réseau (par exemple, un hôte avec des pare-feu).

Riz. 3 Schéma IaaS typique

En plus Il existe des services tels que :

Communications en tant que service (Com-aaS) - il est entendu que les services de communication sont fournis en tant que services ; Il s'agit généralement de téléphonie IP, de courrier électronique et de communications instantanées (chat, messagerie instantanée).

Stockage de données dans le cloud- l'utilisateur dispose d'un certain espace pour stocker des informations. Étant donné que les informations sont stockées de manière distribuée et dupliquée, ces installations de stockage offrent un degré de sécurité des données bien supérieur à celui des serveurs locaux.

Lieu de travail en tant que service (WaaS) - l'utilisateur, disposant d'un ordinateur insuffisamment puissant, peut acheter des ressources informatiques auprès du fournisseur et utiliser son PC comme terminal pour accéder au service.

Nuage antivirus- une infrastructure utilisée pour traiter les informations reçues des utilisateurs afin de reconnaître rapidement les nouvelles menaces jusqu'alors inconnues. L'antivirus cloud ne nécessite aucune action inutile de la part de l'utilisateur - il envoie simplement une demande concernant un programme ou un lien suspect. Lorsqu'un danger est confirmé, toutes les actions nécessaires sont effectuées automatiquement.

Modèles de déploiement

Parmi les modèles de déploiement, on distingue 4 grands types d'infrastructures

Nuage privé - infrastructure destinée à être utilisée par une organisation, comprenant plusieurs consommateurs (par exemple, des divisions d'une organisation), éventuellement également des clients et des sous-traitants de cette organisation. Un cloud privé peut être détenu, exploité et exploité par l'organisation elle-même ou par un tiers (ou une combinaison de ceux-ci), et peut exister physiquement à l'intérieur ou à l'extérieur de la juridiction du propriétaire.

Riz. 4 Cloud privé.

Cloud public - infrastructure destinée à une utilisation gratuite par le grand public. Un cloud public peut être détenu, exploité et exploité par des organisations commerciales, universitaires et gouvernementales (ou une combinaison de celles-ci). Le cloud public existe physiquement dans la juridiction du propriétaire, le fournisseur de services.

Riz. 5 Nuage public.

Cloud hybride - il s'agit d'une combinaison de deux ou plusieurs infrastructures cloud différentes (privées, publiques ou publiques) qui restent des entités uniques mais sont reliées entre elles par des technologies de données et d'applications standardisées ou propriétaires (par exemple, utilisation à court terme des ressources du cloud public pour équilibrer la charge entre des nuages).

Riz. 6 Nuage hybride.

Nuage communautaire - un type d'infrastructure destiné à être utilisé par une communauté spécifique de clients issus d'organisations ayant des objectifs communs (par exemple, mission, exigences de sécurité, politiques et conformité à diverses exigences). Un cloud communautaire peut être détenu, géré et exploité en coopération par une ou plusieurs organisations communautaires ou un tiers (ou une combinaison de ceux-ci), et peut exister physiquement à l'intérieur ou à l'extérieur de la juridiction du propriétaire.

Riz. 7 Description des propriétés du cloud

Propriétés de base

Le NIST dans son document « The NIST Definition of Cloud Computing » définit les caractéristiques suivantes des nuages :

Libre-service à la demande (Libre-service à la demande). Le consommateur a la possibilité d'accéder unilatéralement aux ressources informatiques fournies selon ses besoins, automatiquement, sans avoir besoin d'interagir avec les employés de chaque fournisseur de services.

Large accès au réseau. Les ressources informatiques fournies sont disponibles sur le réseau via des mécanismes standards pour diverses plateformes, clients légers et lourds (téléphones mobiles, tablettes, ordinateurs portables, postes de travail, etc.).

Mise en commun des ressources. Les ressources informatiques du fournisseur sont mutualisées pour servir de nombreux consommateurs en utilisant un modèle multi-tenant. Les pools comprennent une variété de ressources physiques et virtuelles qui peuvent être attribuées et réaffectées de manière dynamique en fonction des demandes des consommateurs. Il n'est pas nécessaire que le consommateur connaisse l'emplacement exact des ressources, mais il est possible de spécifier leur emplacement à un niveau d'abstraction plus élevé (par exemple, pays, région ou centre de données). Des exemples de ce type de ressources incluent les systèmes de stockage, la puissance de calcul, la mémoire et la bande passante du réseau.

Élasticité rapide. Les ressources peuvent être allouées et libérées de manière élastique, dans certains cas automatiquement, pour évoluer rapidement en fonction de la demande. Pour le consommateur, les possibilités de fourniture de ressources sont considérées comme illimitées, c'est-à-dire qu'elles peuvent être appropriées en n'importe quelle quantité et à tout moment.

Service mesuré. Les systèmes cloud gèrent et optimisent automatiquement les ressources à l'aide d'outils de mesure mis en œuvre au niveau de l'abstraction pour différents types de services (par exemple, gestion de la mémoire externe, du traitement, de la bande passante ou des sessions utilisateur actives). Les ressources utilisées peuvent être surveillées et contrôlées, ce qui assure la transparence ainsi que tant pour le fournisseur que pour le consommateur utilisant le service.

Riz. 8 Schéma fonctionnel du serveur Cloud

Avantages et inconvénients du cloud computing

Avantages

· les besoins en puissance de calcul des PC sont réduits (une condition indispensable est uniquement l'accès à Internet) ;

· tolérance aux pannes ;

· sécurité;

· grande vitesse de traitement des données ;

· réduire les coûts de matériel et de logiciels, de maintenance et d'électricité ;

· économiser de l'espace disque (les données et les programmes sont stockés sur Internet).

· Migration en direct - transfert d'une machine virtuelle d'un serveur physique à un autre sans arrêter le fonctionnement de la machine virtuelle ni arrêter les services.

· Fin 2010, dans le cadre d'attaques DDoS contre des entreprises refusant de fournir des ressources à WikiLeaks, un autre avantage de la technologie du cloud computing est devenu évident. Toutes les entreprises opposées à WikiLeaks ont été attaquées, mais seule Amazon s’est révélée insensible à ces impacts, puisqu’elle utilisait le cloud computing. (« Anonyme : menace sérieuse ou simple contrariété », Network Security, N1, 2011).

Défauts

· dépendance de la sécurité des données des utilisateurs vis-à-vis des entreprises fournissant des services de cloud computing ;

· connexion constante au réseau - pour accéder aux services cloud, vous avez besoin d'une connexion constante à Internet. Cependant, à notre époque, ce n'est pas un si gros inconvénient, surtout avec l'avènement des technologies de communication cellulaire 3G et 4G.

· Logiciel et sa modification - il existe des restrictions sur les logiciels qui peuvent être déployés sur les nuages ​​et fournis à l'utilisateur. L'utilisateur du logiciel a des limitations dans le logiciel utilisé et n'a parfois pas la possibilité de le personnaliser à ses propres fins.

· confidentialité - la confidentialité des données stockées sur les cloud publics suscite actuellement de nombreuses controverses, mais dans la plupart des cas, les experts s'accordent sur le fait qu'il n'est pas recommandé de stocker les documents les plus précieux pour une entreprise sur un cloud public, car il n'existe actuellement aucune technologie. cela garantirait une confidentialité à 100 % des données stockées, c'est pourquoi l'utilisation du cryptage dans le cloud est obligatoire.

· fiabilité - en ce qui concerne la fiabilité des informations stockées, nous pouvons affirmer avec certitude que si vous avez perdu des informations stockées dans le « cloud », vous les avez perdues pour toujours.

· sécurité - le « cloud » lui-même est un système assez fiable, cependant, lors de la pénétration, un attaquant accède à un énorme stockage de données. Un autre inconvénient est l'utilisation de systèmes de virtualisation, qui utilisent des noyaux de système d'exploitation standard tels que Linux, Windows comme système d'exploitation. hyperviseur etc., qui permet l'utilisation de virus.

· coût élevé de l'équipement - pour construire son propre cloud, une entreprise doit allouer des ressources matérielles importantes, ce qui n'est pas bénéfique pour les petites entreprises nouvellement créées.

3. Architecture de référence

L'architecture de référence du NIST Cloud Computing contient cinq acteurs principaux. Chaque acteur joue un rôle et exécute des actions et des fonctions. L'architecture de référence est représentée sous forme de diagrammes séquentiels avec des niveaux de détail croissants.

Riz. 9 Schéma conceptuel de l'architecture de référence

Consommateur Cloud- une personne ou une organisation entretenant une relation commerciale et utilisant les services de Fournisseurs de Cloud.

Les consommateurs du cloud sont divisés en 3 groupes :

· SaaS - utilise des applications pour automatiser les processus métier.

· PaaS - développe, teste, déploie et gère des applications déployées dans un environnement cloud.

· IaaS - crée et gère des services d'infrastructure informatique.

Fournisseur de cloud- la personne, l'organisation ou l'entité responsable de la disponibilité d'un service cloud pour les Consommateurs Cloud.

· SaaS - installe, gère, maintient et fournit des logiciels déployés sur l'infrastructure cloud.

· PaaS - fournit et gère l'infrastructure cloud et le middleware. Fournit des outils de développement et d’administration.

· IaaS - fournit et gère des serveurs, des bases de données et des ressources informatiques. Fournit la structure cloud au consommateur.

Les activités des Fournisseurs Cloud se répartissent en 5 principales actions typiques :

Déploiement des services :

o Cloud privé : une organisation est desservie. L'infrastructure est gérée à la fois par l'organisation elle-même et par un tiers et peut être déployée soit par le fournisseur (hors site), soit par l'organisation (sur site).

o Cloud partagé - l'infrastructure est partagée par plusieurs organisations ayant des exigences similaires (sécurité, conformité réglementaire).

o Cloud public – l'infrastructure est utilisée par un grand nombre d'organisations ayant des exigences différentes. Hors site uniquement.

o Cloud hybride - l'infrastructure combine diverses infrastructures basées sur des technologies similaires.

La gestion des services

o Niveau de service - définit les services de base fournis par le fournisseur.

§ SaaS - une application utilisée par le consommateur en accédant au cloud à partir de programmes spéciaux.

§ PaaS - conteneurs pour applications grand public, outils de développement et d'administration.

§ IaaS - puissance de calcul, bases de données, ressources fondamentales sur lesquelles le Consommateur déploie son infrastructure.

o Niveau d'abstraction et contrôle des ressources

§ Gestion de l'hyperviseur et des composants virtuels nécessaires à la mise en œuvre de l'infrastructure.

o Niveau de ressources physiques

§ Équipement informatique

§ Infrastructures d'ingénierie

o Disponibilité

o Confidentialité

oIdentification

o Surveillance de la sécurité et gestion des incidents

o Politiques de sécurité

Confidentialité

o Protection du traitement, du stockage et de la transmission des données personnelles.

Auditeur Cloud- un participant capable de réaliser une évaluation indépendante des services cloud, de la maintenance des systèmes d'information, des performances et de la sécurité des implémentations cloud.

Peut faire sa propre évaluation de la sécurité, de la confidentialité, des performances, etc. conformément aux documents approuvés.

Riz. 10 Activités du Prestataire

Courtier en nuage- l'entité qui gère l'utilisation, la performance et la fourniture des services cloud, ainsi que l'établissement de la relation entre les fournisseurs et les consommateurs.

Avec le développement du cloud computing, l'intégration des services cloud peut s'avérer trop complexe pour le consommateur.

o Intermédiation de services - développer un service donné et offrir de nouvelles opportunités

o Agrégation - combinant divers services pour fournir au consommateur

Opérateur Cloud Télécom- un intermédiaire fournissant des services de connexion et de transport (services de communication) pour la fourniture de services cloud des Fournisseurs aux Consommateurs.

Fournit un accès via des appareils de communication

Fournit un niveau de connexion conformément au SLA.

Parmi les cinq acteurs présentés, le cloud broker est facultatif, car les consommateurs de cloud peuvent recevoir des services directement du fournisseur de cloud.

L'introduction d'acteurs est due à la nécessité d'étudier les relations entre les sujets.

4. Accord de niveau de service

Accord de niveau de service - un document qui décrit le niveau de prestation de service attendu par le client de la part d'un fournisseur, sur la base des indicateurs applicables au service, et établissant les responsabilités du fournisseur si les indicateurs convenus ne sont pas atteints.

Voici quelques indicateurs qui apparaissent sous une forme ou une autre dans les documents des opérateurs :

ASR (taux de saisie de réponse) - un paramètre qui détermine la qualité d'une connexion téléphonique dans une direction donnée. L'ASR est calculé comme le pourcentage du nombre de connexions téléphoniques établies à la suite d'appels par rapport au nombre total d'appels émis dans une direction donnée.

PDD (délai après numérotation) - un paramètre qui définit la période de temps (en secondes) qui s'est écoulée depuis le moment de l'appel jusqu'à l'établissement de la connexion téléphonique.

Taux de disponibilité du service- le rapport entre la durée d'interruption de la fourniture des services et la durée totale pendant laquelle le service doit être fourni.

Taux de perte de paquets- le rapport entre les paquets de données correctement reçus et le nombre total de paquets transmis sur le réseau pendant une certaine période de temps.

Délais lors de la transmission des paquets d'informations- le temps nécessaire pour transmettre un paquet d'informations entre deux périphériques réseau.

Fiabilité du transfert d'informations- le rapport entre le nombre de paquets de données transmis par erreur et le nombre total de paquets de données transmis.

Périodes de travaux, temps de notification aux abonnés et temps de rétablissement des services.

En d'autres termes, une disponibilité du service de 99,99 % signifie que l'opérateur garantit au maximum 4,3 minutes d'indisponibilité de communication par mois, 99,9 % - que le service ne pourra pas être fourni pendant 43,2 minutes et 99 % - que l'interruption peut durer plus de 43,2 minutes. 7 heures. Dans certaines pratiques, il existe une limitation de la disponibilité du réseau et une valeur inférieure du paramètre est supposée - en dehors des heures de travail. Différents types de services (classes de trafic) ont également des valeurs d'indicateur différentes. Par exemple, pour la voix, le plus important est l'indicateur de latence - il doit être minime. Mais cela nécessite un faible débit, et certains paquets peuvent être perdus sans perte de qualité (jusqu'à environ 1% selon le codec). Pour la transmission de données, la vitesse prime et la perte de paquets devrait tendre vers zéro.

5. Méthodes et moyens de protection dans le cloud computing

La confidentialité doit être assurée tout au long de la chaîne, y compris le fournisseur de solution cloud, le consommateur et les communications entre eux.

La tâche du fournisseur est de garantir l'intégrité physique et logicielle des données contre les attaques de tiers. Le consommateur doit mettre en place « sur son propre territoire » des politiques et procédures appropriées excluant le transfert des droits d'accès à l'information à des tiers.

Les problèmes liés à la garantie de l'intégrité des informations dans le cas de l'utilisation d'applications « cloud » individuelles peuvent être résolus grâce à des architectures de bases de données modernes, des systèmes de sauvegarde, des algorithmes de contrôle d'intégrité et d'autres solutions industrielles. Mais ce n'est pas tout. De nouveaux défis peuvent surgir lorsqu’il s’agit d’intégrer plusieurs applications cloud de différents fournisseurs.

Dans un avenir proche, pour les entreprises ayant besoin d’un environnement virtuel sécurisé, la seule option sera de créer un système de cloud privé. En effet, les cloud privés, contrairement aux systèmes publics ou hybrides, s'apparentent davantage à des infrastructures virtualisées que les services informatiques des grandes entreprises ont déjà appris à mettre en œuvre et sur lesquelles ils peuvent garder un contrôle total. Les déficiences en matière de sécurité des informations dans les systèmes de cloud public posent un problème sérieux. La plupart des incidents de piratage se produisent dans les cloud publics.

6. Sécurité des modèles cloud

Le niveau de risque dans les trois modèles de cloud est très différent, et la manière dont les problèmes de sécurité sont abordés diffère également en fonction du niveau d'interaction. Les exigences de sécurité restent les mêmes, mais dans différents modèles, SaaS, PaaS ou IaaS, le niveau de contrôle sur la sécurité change. D'un point de vue logique, rien ne change, mais les possibilités de mise en œuvre physique sont radicalement différentes.

Riz. 11. Les menaces de cybersécurité les plus actuelles

dans le modèle SaaS, l'application s'exécute sur une infrastructure cloud et est accessible via un navigateur Web. Le client ne contrôle pas le réseau, les serveurs, les systèmes d'exploitation, le stockage ou même certaines fonctionnalités des applications. Pour cette raison, dans le modèle SaaS, la responsabilité première en matière de sécurité incombe presque entièrement aux fournisseurs.

Le problème numéro 1 est la gestion des mots de passe. Dans le modèle SaaS, les applications résident dans le cloud, le principal risque est donc d'utiliser plusieurs comptes pour accéder aux applications. Les organisations peuvent résoudre ce problème en unifiant les comptes sur les systèmes cloud et sur site. Lorsqu'ils utilisent un système d'authentification unique, les utilisateurs ont accès aux postes de travail et aux services cloud à l'aide d'un seul compte. Cette approche réduit la probabilité que des comptes bloqués soient susceptibles d'être utilisés sans autorisation après le départ des employés.

Comme l'explique CSA, le PaaS implique que les clients créent des applications à l'aide de langages de programmation et d'outils pris en charge par le fournisseur, puis les déploient sur une infrastructure cloud. Comme dans le modèle SaaS, le client ne peut pas gérer ou contrôler l'infrastructure - réseaux, serveurs, systèmes d'exploitation ou systèmes de stockage - mais contrôle le déploiement des applications.

Dans un modèle PaaS, les utilisateurs doivent prêter attention à la sécurité des applications ainsi qu'aux problèmes liés à la gestion des API, tels que la vérification des autorisations, l'autorisation et la validation.

Le problème numéro 1 est le cryptage des données. Le modèle PaaS est intrinsèquement sécurisé, mais le risque réside dans des performances système insuffisantes. La raison en est que le chiffrement est recommandé lors de la communication avec les fournisseurs PaaS, ce qui nécessite une puissance de traitement supplémentaire. Cependant, quelle que soit la solution, la transmission des données sensibles des utilisateurs doit être effectuée via un canal crypté.

Même si les clients ne contrôlent pas l'infrastructure cloud sous-jacente, ils ont un contrôle sur les systèmes d'exploitation, le stockage des données et le déploiement des applications, et peut-être un contrôle limité sur le choix des composants réseau.

Ce modèle dispose de plusieurs fonctionnalités de sécurité intégrées sans protéger l'infrastructure elle-même. Cela signifie que les utilisateurs doivent gérer et sécuriser les systèmes d'exploitation, les applications et le contenu, généralement via des API.

Si cela est traduit dans le langage des méthodes de sécurité, alors le prestataire doit fournir :

· contrôle d'accès fiable à l'infrastructure elle-même ;

· tolérance aux pannes des infrastructures.

Dans le même temps, le consommateur du cloud assume de nombreuses autres fonctions de sécurité :

· pare-feu au sein de l'infrastructure ;

· protection contre les intrusions sur le réseau ;

· protection des systèmes d'exploitation et des bases de données (contrôle d'accès, protection contre les vulnérabilités, contrôle des paramètres de sécurité) ;

· protection des applications finales (protection antivirus, contrôle d'accès).

Ainsi, la plupart des mesures de protection reposent sur les épaules du consommateur. Le fournisseur peut fournir des recommandations standards en matière de protection ou des solutions toutes faites, ce qui simplifiera la tâche des consommateurs finaux.

Tableau 1. Répartition des responsabilités en matière de sécurité entre le client et le prestataire de services. (P - fournisseur, K - client)

	Serveur d'entreprise
Application
Données
Durée
Intergiciel
système opérateur
Virtualisation
Les serveurs
Entrepôts de données
matériel réseau

7. Audit de sécurité

Les tâches d'un auditeur cloud ne sont fondamentalement pas différentes de celles d'un auditeur de systèmes conventionnels. L'audit de sécurité du cloud est divisé en audit de fournisseur et audit d'utilisateur. L'audit de l'Utilisateur est effectué à la demande de l'Utilisateur, tandis que l'audit du Fournisseur est l'une des conditions les plus importantes pour faire des affaires.

Cela consiste en:

· lancement de la procédure d'audit ;

· collecte d'informations d'audit ;

· analyse des données d'audit ;

· préparation du rapport d'audit.

Au stade du lancement de la procédure d'audit, les questions des pouvoirs de l'auditeur et du calendrier de l'audit doivent être résolues. L'assistance obligatoire des salariés au commissaire aux comptes doit également être prévue.

En général, l'auditeur effectue un audit pour déterminer la fiabilité

· systèmes de virtualisation, hyperviseur ;

· les serveurs;

· entrepôts de données ;

· équipement réseau.

Si le Fournisseur utilise le modèle IaaS sur le serveur vérifié, alors ce test sera suffisant pour identifier les vulnérabilités.

Lors de l'utilisation du modèle PaaS, des vérifications supplémentaires doivent être effectuées

· système opérateur,

middleware,

· environnement d'exécution.

Lors de l'utilisation du modèle SaaS, les vulnérabilités sont également vérifiées

· systèmes de stockage et de traitement de données,

· applications.

Un audit de sécurité est effectué en utilisant les mêmes méthodes et outils que l'audit des serveurs classiques. Mais contrairement à un serveur classique, dans les technologies cloud, la stabilité de l'hyperviseur est également vérifiée. Dans les technologies cloud, l'hyperviseur est l'une des technologies de base et son audit doit donc revêtir une importance particulière.

8. Enquête sur les incidents et criminalistique dans le cloud computing

Les mesures de sécurité de l'information peuvent être divisées en mesures préventives (par exemple, cryptage et autres mécanismes de contrôle d'accès) et réactives (enquêtes). L'aspect proactif de la sécurité du cloud fait l'objet de recherches actives, tandis que l'aspect réactif de la sécurité du cloud a reçu beaucoup moins d'attention.

Les enquêtes sur les incidents (y compris les enquêtes sur les délits informatiques) sont une branche bien connue de la sécurité de l'information. Les objectifs de ces enquêtes sont généralement :

Preuve que le crime/incident a eu lieu

Récupération des événements entourant l'incident

Identification des délinquants

Preuve de l'implication et de la responsabilité des contrevenants

Preuve d'une intention malhonnête de la part des contrevenants.

Une nouvelle discipline - l'informatique judiciaire (ou criminalistique) est apparue en raison de la nécessité d'une analyse médico-légale des systèmes numériques. Les objectifs de l’expertise technique informatique sont généralement les suivants :

Récupération de données qui auraient pu être supprimées

Récupération des événements survenus à l'intérieur et à l'extérieur des systèmes numériques liés à l'incident

Identification des utilisateurs du système numérique

Détecte la présence de virus et autres logiciels malveillants

Détection de la présence de matériels et de programmes illégaux

Piratage de mots de passe, clés de cryptage et codes d'accès

Idéalement, l’investigation informatique est une sorte de machine à remonter le temps pour l’enquêteur, qui peut voyager à tout moment dans le passé d’un appareil numérique et fournir au chercheur des informations sur :

les personnes qui ont utilisé l'appareil à un moment donné

actions de l'utilisateur (par exemple, ouvrir des documents, accéder à un site Web, saisir des données dans un traitement de texte, etc.)

données stockées, créées et traitées par un appareil à un moment précis.

Les services cloud remplaçant les appareils numériques autonomes devraient offrir un niveau similaire de préparation médico-légale. Cependant, cela nécessite de surmonter les problèmes liés à la mutualisation des ressources, à la multilocation et à l'élasticité de l'infrastructure de cloud computing. Le principal outil d’enquête sur les incidents est le journal d’audit.

Les journaux d'audit, conçus pour suivre l'historique de connexion des utilisateurs, les tâches administratives et les modifications de données, constituent un élément essentiel d'un système de sécurité. Dans les technologies cloud, la piste d'audit elle-même n'est pas seulement un outil pour mener des enquêtes, mais aussi un outil pour calculer le coût d'utilisation des serveurs. Même si une piste d’audit n’élimine pas les failles de sécurité, elle permet de porter un regard critique sur ce qui se passe et de formuler des propositions pour corriger la situation.

La création d'archives et de sauvegardes est importante, mais ne peut pas remplacer une piste d'audit formelle qui enregistre qui a fait quoi et quand. Une piste d'audit est l'un des principaux outils d'un auditeur de sécurité.

Le contrat de service mentionne généralement exactement quelles pistes d'audit seront conservées et fournies à l'utilisateur.

9. Modèle de menace

En 2010, CSA a mené une analyse des principales menaces de sécurité liées aux technologies cloud. Le résultat de leur travail a été le document « Principales menaces du Cloud Computing v 1.0 », qui décrit actuellement de manière plus complète le modèle de menace et le modèle d'intrus. Une deuxième version plus complète de ce document est en cours d'élaboration.

Le document actuel décrit les attaquants pour trois modèles de service : SaaS, PaaS et IaaS. 7 principaux vecteurs d’attaque ont été identifiés. Pour la plupart, tous les types d’attaques considérés sont des attaques inhérentes aux serveurs ordinaires « non cloud ». L’infrastructure cloud leur impose certaines fonctionnalités. Ainsi, par exemple, aux attaques sur les vulnérabilités de la partie logicielle des serveurs s'ajoutent les attaques contre l'hyperviseur, qui est également leur partie logicielle.

Menace de sécurité n° 1

Utilisation illégale et malhonnête des technologies cloud.

Description:

Pour obtenir des ressources auprès d'un fournisseur de cloud IaaS, l'utilisateur n'a besoin que d'une carte de crédit. La facilité d'enregistrement et d'allocation des ressources permet aux spammeurs, aux auteurs de virus, etc. utilisez le service cloud à vos propres fins criminelles. Auparavant, ce type d'attaque n'était observé que dans le PaaS, mais des recherches récentes ont montré la possibilité d'utiliser l'IaaS pour des attaques DDOS, l'hébergement de codes malveillants, la création de réseaux de zombies, etc.

Des exemples de services ont été utilisés pour créer un réseau de zombies basé sur le cheval de Troie « Zeus », stocker le code du cheval de Troie « InfoStealer » et publier des informations sur diverses vulnérabilités de MS Office et AdobePDF.

De plus, les réseaux de zombies utilisent IaaS pour gérer leurs pairs et envoyer du spam. Pour cette raison, certains services IaaS ont été mis sur liste noire et leurs utilisateurs ont été complètement ignorés par les serveurs de messagerie.

· Procédures d'enregistrement des utilisateurs améliorées

· Améliorer les procédures de vérification des cartes de crédit et contrôler l'utilisation des instruments de paiement

· Etude approfondie de l'activité réseau des utilisateurs du service

· Surveiller les principales listes noires pour voir si le réseau du fournisseur de cloud y apparaît.

Modèles de services concernés :

Menace de sécurité n°2

Interfaces de programmation d'applications (API) non sécurisées

Description:

Les fournisseurs d'infrastructures cloud mettent à disposition des utilisateurs un ensemble d'interfaces logicielles pour gérer les ressources, les machines virtuelles ou les services. La sécurité de l’ensemble du système dépend de la sécurité de ces interfaces.

L’accès anonyme à l’interface et la transmission des identifiants en texte clair sont les principales caractéristiques des interfaces logicielles non sécurisées. Les capacités limitées de surveillance de l'utilisation des API, le manque de systèmes de journalisation et les relations inconnues entre les différents services ne font qu'augmenter le risque de piratage.

· Effectuer une analyse du modèle de sécurité du fournisseur de cloud

· Assurez-vous que des algorithmes de cryptage puissants sont utilisés

· Veiller à ce que des méthodes d'authentification et d'autorisation fortes soient utilisées

· Comprendre toute la chaîne de dépendances entre les différents services.

Modèles de services concernés :

Menace de sécurité n°3

Insiders

Description:

Le problème de l’accès non autorisé à l’information depuis l’intérieur est extrêmement dangereux. Souvent, le prestataire ne dispose pas de système de surveillance des activités des employés, ce qui signifie qu'un attaquant peut accéder aux informations du client en utilisant sa position officielle. Le prestataire ne divulguant pas sa politique de recrutement, la menace peut provenir soit d'un hacker amateur, soit d'une structure criminelle organisée ayant infiltré les rangs des salariés du prestataire.

Il n’existe actuellement aucun exemple de ce type d’abus.

Mise en œuvre de règles strictes en matière d’achat d’équipements et utilisation de systèmes de détection d’effraction appropriés

Réglementer les règles d'embauche des salariés dans les marchés publics avec les usagers

Création d’un système de sécurité transparent, ainsi que publication de rapports d’audit de sécurité des systèmes internes du prestataire

Modèles de services concernés :

Riz. 12 Exemple d'un initié

Menace de sécurité n°4

Vulnérabilités dans les technologies cloud

Description:

Les fournisseurs de services IaaS utilisent l'abstraction des ressources matérielles à l'aide de systèmes de virtualisation. Cependant, le matériel n’est peut-être pas conçu dans l’optique de ressources partagées. Afin de minimiser l'impact de ce facteur, l'hyperviseur contrôle l'accès de la machine virtuelle aux ressources matérielles. Cependant, même dans les hyperviseurs, il peut exister de graves vulnérabilités, dont l'utilisation peut conduire à une élévation des privilèges ou à un accès non autorisé à l'équipement physique.

Afin de protéger les systèmes contre de tels problèmes, il est nécessaire d'introduire des mécanismes d'isolation des environnements virtuels et des systèmes de détection de pannes. Les utilisateurs de la machine virtuelle ne doivent pas avoir accès aux ressources partagées.

Il existe des exemples de vulnérabilités potentielles, ainsi que des méthodes théoriques pour contourner l'isolement dans les environnements virtuels.

· Mise en œuvre des méthodes les plus avancées pour installer, configurer et protéger les environnements virtuels

· Utilisation de systèmes de détection de fraude

· Application de règles d'authentification et d'autorisation fiables pour le travail administratif

· Exigences plus strictes concernant le calendrier des correctifs et des mises à jour

· Mener des procédures d'analyse et de détection des vulnérabilités en temps opportun.

Menace de sécurité n°5

Perte ou fuite de données

Description:

La perte de données peut survenir pour des milliers de raisons. Par exemple, la destruction délibérée de la clé de chiffrement rendra les informations chiffrées irrécupérables. La suppression de données ou d'une partie de données, l'accès non autorisé à des informations importantes, la modification d'enregistrements ou la défaillance du support de stockage sont également des exemples de telles situations. Dans une infrastructure cloud complexe, la probabilité de chaque événement augmente en raison de l'interaction étroite des composants.

Une application incorrecte des règles d’authentification, d’autorisation et d’audit, une utilisation incorrecte des règles et méthodes de cryptage et une panne d’équipement peuvent entraîner une perte ou une fuite de données.

· Utilisation d'une API fiable et sécurisée

· Cryptage et protection des données transmises

· Analyse du modèle de protection des données à toutes les étapes du fonctionnement du système

· Mise en place d'un système de gestion des clés de chiffrement fiable

· Sélection et acquisition des seuls supports les plus fiables

· Assurer une sauvegarde des données en temps opportun

Modèles de services concernés :

Menace de sécurité n°6

Vol de données personnelles et accès non autorisé au service

Description:

Ce type de menace n'est pas nouveau. Des millions d'utilisateurs le rencontrent chaque jour. La cible principale des attaquants est le nom d'utilisateur (login) et son mot de passe. Dans le contexte des systèmes cloud, le vol de mots de passe et de noms d'utilisateur augmente le risque d'utilisation des données stockées dans l'infrastructure cloud du fournisseur. De cette façon, l’attaquant a la possibilité d’utiliser la réputation de la victime pour ses activités.

· Interdiction de transfert de comptes

· Utilisation de méthodes d'authentification à deux facteurs

· Mise en œuvre d'une surveillance proactive des accès non autorisés

· Description du modèle de sécurité du fournisseur de cloud.

Modèles de services concernés :

Menace de sécurité n°7

Autres vulnérabilités

Description:

L'utilisation des technologies cloud pour mener ses activités permet à l'entreprise de se concentrer sur ses activités, laissant au fournisseur de cloud le soin de s'occuper de l'infrastructure et des services informatiques. Lors de la publicité de son service, le fournisseur de cloud s'efforce de montrer toutes les capacités, tout en révélant les détails de mise en œuvre. Cela peut constituer une menace sérieuse, car la connaissance de l'infrastructure interne donne à un attaquant la possibilité de trouver une vulnérabilité non corrigée et d'attaquer le système. Afin d'éviter de telles situations, les fournisseurs de cloud ne peuvent pas fournir d'informations sur la structure interne du cloud. Cependant, cette approche ne contribue pas non plus à accroître la confiance, car les utilisateurs potentiels ne sont pas en mesure d'évaluer le degré de sécurité des données. De plus, cette approche limite la capacité de trouver et d’éliminer en temps opportun les vulnérabilités.

· Refus d'Amazon de mener un audit de sécurité cloud EC2

· Une vulnérabilité dans le logiciel de traitement ayant entraîné une faille dans le système de sécurité du data center de Hearthland

· Divulgation des données du journal

· Divulgation totale ou partielle de l'architecture du système et des détails des logiciels installés

· Utiliser des systèmes de surveillance des vulnérabilités.

Modèles de services concernés :

1. Base juridique

Selon les experts, 70 % des problèmes de sécurité dans le cloud peuvent être évités si vous rédigez correctement un contrat de service.

La base d'un tel accord pourrait être la Déclaration des droits du cloud.

La Déclaration des droits du cloud a été élaborée en 2008 par James Urquhart. Il a publié ce matériel sur son blog, qui a suscité tellement d'intérêt et de controverse que l'auteur met périodiquement à jour son « manuscrit » en fonction des réalités.

Article 1 (partiel) : Les clients sont propriétaires de leurs données

· Aucun fabricant (ou fournisseur) ne doit, dans toute interaction avec les clients d'un plan, discuter des droits sur les données téléchargées, créées, générées, modifiées ou autres sur lesquelles le client a des droits.

· Les fabricants doivent initialement fournir une capacité minimale d'accès aux données des clients, même au stade du développement de solutions et de services.

· Les clients sont propriétaires de leurs données, ce qui signifie qu'ils sont responsables de s'assurer que les données sont conformes aux réglementations et aux lois.

· Étant donné que les questions de conformité réglementaire concernant l'utilisation, la sécurité et la conformité des données sont critiques, il est nécessaire que le client détermine l'emplacement géographique de ses propres données. Dans le cas contraire, les fabricants doivent fournir toutes les garanties aux utilisateurs que leurs données seront stockées conformément à toutes les règles et réglementations.

Article 2 : Les Producteurs et les Clients possèdent et gèrent conjointement les niveaux de service dans le système

· Les fabricants sont propriétaires et doivent tout faire pour répondre au niveau de service de chaque client individuellement. Toutes les ressources et efforts nécessaires déployés pour atteindre le niveau de service approprié dans le travail avec les clients doivent être gratuits pour le client, c'est-à-dire non inclus dans le coût du service.

· Les clients, à leur tour, sont responsables et propriétaires du niveau de service fourni à leurs propres clients internes et externes. Lorsque vous utilisez des solutions de fabricant pour fournir vos propres services, la responsabilité du client et le niveau de ce service ne doivent pas dépendre entièrement du fabricant.

· S'il est nécessaire d'intégrer les systèmes des fabricants et des clients, les fabricants doivent offrir aux clients la possibilité de surveiller le processus d'intégration. Si le client dispose de normes d'entreprise en matière d'intégration de systèmes d'information, le fabricant doit se conformer à ces normes.

· Les fabricants ne doivent en aucun cas fermer les comptes clients pour des déclarations politiques, des discours inappropriés, des commentaires religieux, sauf si cela viole des dispositions légales spécifiques, ne constitue pas une expression de haine, etc.

Article 3 : Les constructeurs sont propriétaires de leurs interfaces

· Les fabricants ne sont pas tenus de fournir des interfaces standard ou open source, sauf indication contraire dans les accords clients. Les fabricants ont des droits sur les interfaces. Si le fabricant ne considère pas possible de fournir au client la possibilité de modifier l'interface dans un langage de programmation familier, le client peut acheter des services auprès du fabricant ou de développeurs tiers pour modifier les interfaces conformément à ses propres exigences.

· Le client a cependant le droit d'utiliser le service acheté à ses propres fins, ainsi que d'étendre ses capacités, de le reproduire et de l'améliorer. Ce paragraphe ne dégage pas les clients de la responsabilité du droit des brevets et des droits de propriété intellectuelle.

Les trois articles ci-dessus constituent les bases du cloud pour les clients et les fabricants. Vous pouvez lire leur texte intégral dans le domaine public sur Internet. Bien entendu, ce projet de loi n’est pas un document juridique complet, encore moins officiel. Ses articles peuvent être modifiés et complétés à tout moment, tout comme le projet de loi peut être complété par de nouveaux articles. Il s’agit d’une tentative de formaliser la « propriété » dans le cloud afin de normaliser en quelque sorte ce domaine de connaissances et de technologies épris de liberté.

Relations entre les parties

Aujourd’hui, le meilleur expert dans le domaine de la sécurité du cloud est la Cloud Security Alliance (CSA). L'organisation a publié et récemment mis à jour des directives qui incluent des centaines de considérations et de considérations à prendre en compte lors de l'évaluation des risques liés au cloud computing.

Une autre organisation dont les activités abordent les aspects de la sécurité dans le cloud est le Trusted Computing Group (TCG). Elle est l'auteur de plusieurs normes dans ce domaine et dans d'autres domaines, notamment Trusted Storage, Trusted Network Connect (TNC) et Trusted Platform Module (TPM) aujourd'hui largement utilisés.

Ces organisations ont développé conjointement un certain nombre de questions que le client et le fournisseur doivent résoudre lors de la conclusion d'un contrat. Ces questions vous permettront de résoudre la plupart des problèmes liés à l'utilisation du cloud, aux cas de force majeure, au changement de fournisseur de services cloud et à d'autres situations.

1. Sécurité des données stockées. Comment le prestataire assure-t-il la sécurité des données stockées ?

La meilleure mesure pour protéger les données stockées est l’utilisation de technologies de cryptage. Le fournisseur doit toujours crypter les informations client stockées sur ses serveurs pour empêcher tout accès non autorisé. Le fournisseur doit également supprimer définitivement les données lorsqu'elles ne sont plus nécessaires ou le seront à l'avenir.

2. Protection des données pendant la transmission. Comment le fournisseur assure-t-il la sécurité des données pendant la transmission (dans le cloud et sur le chemin depuis/vers le cloud) ?

Les données transmises doivent toujours être cryptées et accessibles à l'utilisateur uniquement après authentification. Cette approche garantit que ces données ne peuvent être modifiées ou lues par quiconque, même s'il y accède via des nœuds non fiables du réseau. Ces technologies ont été développées sur « des milliers d'années-homme » et ont conduit à la création de protocoles et d'algorithmes robustes (par exemple TLS, IPsec et AES). Les prestataires devraient utiliser ces protocoles plutôt que d’inventer les leurs.

3. Authentification. Comment le prestataire connaît-il l’authenticité du client ?

La méthode d'authentification la plus courante est la protection par mot de passe. Cependant, les fournisseurs cherchant à offrir une plus grande sécurité à leurs clients se tournent vers des outils plus puissants tels que les certificats et les jetons. En plus d'utiliser des outils d'authentification plus inviolables, les fournisseurs doivent être capables de travailler avec des normes telles que LDAP et SAML. Ceci est nécessaire pour assurer l’interaction entre le prestataire et le système d’identification de l’utilisateur du client lors de l’autorisation et de la détermination des pouvoirs délivrés à l’utilisateur. Grâce à cela, le fournisseur disposera toujours d'informations à jour sur les utilisateurs autorisés. Le pire des cas est celui où le client fournit au fournisseur une liste spécifique d'utilisateurs autorisés. En règle générale, dans ce cas, des difficultés peuvent survenir lors du licenciement d'un employé ou de sa mutation vers un autre poste.

4. Isolement des utilisateurs. Comment les données et applications d’un client sont-elles séparées des données et applications d’autres clients ?

La meilleure option : lorsque chaque client utilise une machine virtuelle (VM) et un réseau virtuel individuels. La séparation entre les VM et donc entre les utilisateurs est assurée par l'hyperviseur. Les réseaux virtuels, quant à eux, sont déployés à l'aide de technologies standards telles que VLAN (Virtual Local Area Network), VPLS (Virtual Private LAN Service) et VPN (Virtual Private Network).

Certains fournisseurs placent toutes les données client dans un environnement logiciel unique et, en modifiant son code, tentent d'isoler les données client les unes des autres. Cette approche est imprudente et peu fiable. Premièrement, un attaquant pourrait trouver une faille dans un code non standard qui lui permettrait d'accéder à des données qu'il ne devrait pas voir. Deuxièmement, une erreur dans le code peut amener un client à « voir » accidentellement les données d’un autre. Récemment, les deux cas se sont produits. Par conséquent, pour séparer les données utilisateur, l’utilisation de différentes machines virtuelles et réseaux virtuels est une étape plus raisonnable.

5. Questions réglementaires. Dans quelle mesure le fournisseur respecte-t-il les lois et réglementations applicables au secteur du cloud computing ?

Selon les juridictions, les lois, réglementations et éventuelles dispositions particulières peuvent varier. Par exemple, ils peuvent interdire l’exportation de données, exiger le recours à des mesures de sécurité strictement définies, la compatibilité avec certaines normes et la possibilité d’être audité. En fin de compte, ils peuvent exiger que les ministères et les tribunaux puissent accéder aux informations si nécessaire. L’attitude négligente d’un prestataire sur ces points peut entraîner des dépenses importantes pour ses clients en raison de conséquences juridiques.

Le prestataire est tenu de suivre des règles strictes et d'adhérer à une stratégie unifiée dans les domaines juridique et réglementaire. Cela inclut la sécurité des données utilisateur, l'exportation, la conformité, l'audit, la conservation et la suppression des données, ainsi que la divulgation d'informations (cette dernière est particulièrement vraie lorsque les informations de plusieurs clients peuvent être stockées sur le même serveur physique). Pour le savoir, il est fortement conseillé aux clients de demander l'aide de spécialistes qui étudieront cette question en profondeur.

6. Réponse aux incidents. Comment le fournisseur réagit-il aux incidents et dans quelle mesure ses clients sont-ils susceptibles d'être impliqués dans l'incident ?

Parfois, tout ne se passe pas comme prévu. Le prestataire de services est donc tenu de respecter des règles de conduite spécifiques en cas de circonstances imprévues. Ces règles doivent être documentées. Les prestataires doivent s'impliquer dans l'identification des incidents et minimiser leurs conséquences en informant les utilisateurs sur la situation actuelle. Idéalement, ils devraient régulièrement fournir aux clients des informations aussi détaillées que possible sur le problème. De plus, il appartient aux clients d'évaluer la probabilité que des problèmes de sécurité se produisent et de prendre les mesures appropriées.

10. Normes internationales et nationales

L’évolution des technologies cloud dépasse les efforts visant à créer et à modifier les normes industrielles requises, dont beaucoup n’ont pas été mises à jour depuis de nombreuses années. Par conséquent, la législation dans le domaine des technologies cloud constitue l’une des étapes les plus importantes pour garantir la sécurité.

L'IEEE, l'une des plus grandes organisations de développement de normes, a annoncé le lancement d'un projet spécial dans le domaine des technologies cloud, la Cloud Computing Initiative. Il s'agit de la première initiative de normalisation du cloud lancée au niveau international : jusqu'à présent, les normes du cloud étaient principalement gérées par des consortiums industriels. L'initiative comprend actuellement 2 projets : IEEE P2301 (tm), « Draft Guide for Ensuring Portability and Interoperability of Cloud Technology Profiles » et IEEE P2302 (tm) - « Draft Standard for Asuring Interoperability and Distributed Interoperability (Federation) of Cloud Systems ".

Au sein de l'IEEE Standards Development Association, 2 nouveaux groupes de travail ont été créés pour travailler respectivement sur les projets IEEE P2301 et IEEE P2302. IEEE P2301 contiendra des profils de normes existantes et émergentes dans les domaines des applications, de la portabilité, des interfaces de gestion et d'interopérabilité, ainsi que des formats de fichiers et des conventions d'exploitation. Les informations contenues dans le document seront structurées de manière logique en fonction des différents groupes cibles : vendeurs, prestataires de services et autres acteurs du marché intéressés. Il est prévu qu'une fois achevée, la norme pourra être utilisée dans l'achat, le développement, la construction et l'utilisation de produits et services cloud basés sur des technologies standard.

La norme IEEE P2302 décrira la topologie de base, les protocoles, les fonctionnalités et les techniques de gestion nécessaires pour interopérer différentes structures de cloud (par exemple, l'interopérabilité entre un cloud privé et un cloud public tel que EC2). Cette norme permettra aux fournisseurs de produits et services cloud de bénéficier d’économies d’échelle tout en assurant la transparence aux utilisateurs de services et d’applications.

L'ISO prépare une norme spéciale dédiée à la sécurité du cloud computing. L'objectif principal de la nouvelle norme est de résoudre les problèmes d'organisation liés aux cloud. Cependant, en raison de la complexité des procédures d'approbation ISO, la version finale du document ne devrait être publiée qu'en 2013.

L'intérêt de ce document réside dans le fait que non seulement des organisations gouvernementales (NIST, ENISA), mais également des représentants de communautés d'experts et d'associations telles que l'ISACA et le CSA sont impliqués dans sa préparation. De plus, un document contient des recommandations destinées à la fois aux fournisseurs de services cloud et à leurs consommateurs, les organisations clientes.

L'objectif principal de ce document est de décrire en détail les meilleures pratiques associées à l'utilisation du cloud computing du point de vue de la sécurité de l'information. Dans le même temps, la norme ne se concentre pas uniquement sur les aspects techniques, mais plutôt sur les aspects organisationnels, qu'il ne faut pas oublier lors du passage au cloud computing. Cela inclut la répartition des droits et des responsabilités, la signature d'accords avec des tiers, la gestion des actifs détenus par les différents participants au processus cloud, les questions de gestion du personnel, etc.

Le nouveau document intègre en grande partie des matériaux développés précédemment dans l'industrie informatique.

Gouvernement australien

Après plusieurs mois de réflexion, le gouvernement australien a publié une série de lignes directrices pour la transition vers le cloud computing. Le 15 février 2012, ces lignes directrices ont été publiées sur le blog de l'Australian Government Information Management Office (AGIMO).

Pour faciliter la migration des entreprises vers le cloud, les meilleures pratiques d'utilisation des services cloud sont fournies à la lumière des guides de meilleures pratiques pour la loi de 1997 sur la gestion financière et la responsabilité. Les lignes directrices abordent généralement les questions financières, juridiques et de confidentialité.

Les guides parlent de la nécessité de surveiller et de contrôler en permanence l'utilisation des services cloud grâce à une analyse quotidienne des comptes et des rapports. Cela vous aidera à éviter les « triches » cachées et à devenir dépendant des fournisseurs de services cloud.

Le premier guide s'intitule « Cloud Computing and Privacy for Australian Government Agencies » (Confidentialité et Cloud Computing pour les agences gouvernementales australiennes, 9 pages). Ce document met un accent particulier sur les questions de confidentialité et de sécurité dans le stockage des données.

En plus de ce guide, Négocier le Cloud - Questions juridiques liées aux accords de Cloud Computing (19 pages) a également été préparé pour vous aider à comprendre les dispositions incluses dans les accords de Cloud Computing.

Le dernier troisième guide, Considérations financières pour l'utilisation gouvernementale du cloud computing (6 pages), examine les questions financières qu'une entreprise devrait prendre en compte si elle décide d'utiliser le cloud computing dans ses opérations commerciales.

En plus de ceux abordés dans les lignes directrices, il existe un certain nombre d'autres problèmes qui doivent être résolus lors de l'utilisation du cloud computing, notamment les problèmes liés à l'administration gouvernementale, aux achats et aux politiques de gestion d'entreprise.

La discussion publique de ce document analytique offre aux parties prenantes l’occasion d’examiner et de commenter les questions problématiques suivantes :

· Accès non autorisé à des informations classifiées ;

· Perte d'accès aux données ;

Défaut de garantir l’intégrité et l’authenticité des données, et

· Compréhension des aspects pratiques associés à la fourniture de services cloud.

11. Affiliation territoriale des données

Différents pays ont un certain nombre de réglementations exigeant que les données sensibles restent dans le pays. Et même si le stockage des données sur un certain territoire ne semble pas être une tâche difficile, les fournisseurs de services cloud ne peuvent souvent pas le garantir. Dans les systèmes dotés d'un haut degré de virtualisation, les données et les machines virtuelles peuvent être déplacées d'un pays à un autre à diverses fins : équilibrage de charge, garantissant la tolérance aux pannes.

Certains acteurs majeurs du marché SaaS (comme Google, Symantec) peuvent garantir que les données seront stockées dans le pays concerné. Mais ce sont plutôt des exceptions : en général, le respect de ces exigences est encore assez rare. Même si les données restent dans le pays, les clients n’ont aucun moyen de les vérifier. Par ailleurs, il ne faut pas oublier la mobilité des salariés des entreprises. Si un spécialiste travaillant à Moscou est envoyé à New York, il est alors préférable (ou du moins plus rapide) de recevoir des données d'un centre de données aux États-Unis. Garantir cela est une tâche beaucoup plus difficile.

12. Normes de l'État

À l'heure actuelle, notre pays ne dispose pas d'un cadre réglementaire sérieux pour les technologies cloud, même si des développements dans ce domaine sont déjà en cours. Ainsi, par arrêté du Président de la Fédération de Russie n° 146 du 8 février 2012. Il a été déterminé que les autorités exécutives fédérales autorisées à assurer la sécurité des données dans les systèmes d'information créés à l'aide de technologies de supercalculateurs et de grilles sont le FSB de Russie et le FSTEC de Russie.

Dans le cadre de ce décret, les compétences de ces services ont été élargies. Le FSB de Russie élabore et approuve désormais des documents réglementaires et méthodologiques pour assurer la sécurité de ces systèmes, organise et mène des recherches dans le domaine de la sécurité de l'information.

Le service réalise également des études d'expertise cryptographique, d'ingénierie-cryptographique et particulières de ces systèmes d'information et prépare des expertises sur des propositions de travaux sur leur création.

Le document stipule également que le FSTEC de Russie élabore une stratégie et détermine les domaines d'activité prioritaires pour assurer la sécurité des informations dans les systèmes d'information créés à l'aide de technologies de superordinateurs et de grilles qui traitent des données restreintes, et surveille également l'état des travaux pour assurer cette sécurité.

Le FSTEC a commandé une étude à la suite de laquelle une version bêta du « système de terminaux dans le domaine des technologies cloud » est apparue.

Comme vous pouvez le comprendre, l'ensemble de ce système terminologique est une traduction adaptée de deux documents : « Rapport technique du groupe de discussion sur le cloud computing » et « La définition NIST du cloud computing ». Eh bien, le fait que ces deux documents ne concordent pas vraiment est une question distincte. Mais visuellement, cela reste clair : dans le « Terminosystem » russe, les auteurs, pour commencer, n'ont tout simplement pas fourni de liens vers ces documents anglais.

Le fait est que pour un tel travail, il est nécessaire de discuter d’abord du concept, des buts et objectifs, ainsi que des méthodes permettant de les résoudre. Il y a beaucoup de questions et de commentaires. La principale note méthodologique : vous devez formuler très clairement quel problème cette recherche résout, son objectif. Permettez-moi de noter d'emblée que « créer un système terminologique » ne peut pas être un objectif, c'est un moyen, mais atteindre ce n'est pas encore très clair.

Sans compter qu'une étude normale devrait comprendre une section « examen de l'état actuel des choses ».

Il est difficile de discuter des résultats de l’étude sans connaître la formulation originale du problème et la manière dont ses auteurs l’ont résolu.

Mais une erreur fondamentale du système terminologique est clairement visible : il est impossible de discuter des « sujets liés au cloud » indépendamment des sujets « non-cloud ». Hors du contexte informatique général. Mais c’est précisément ce contexte qui n’est pas visible dans l’étude.

Il en résulte qu’en pratique un tel système terminologique sera impossible à appliquer. Cela ne peut que rendre la situation encore plus confuse.

13. Outils de sécurité dans les technologies cloud

Un système de sécurité de serveur cloud dans sa configuration minimale doit assurer la sécurité des équipements réseau, du stockage de données, du serveur et de l'hyperviseur. De plus, il est possible de placer un antivirus dans un noyau dédié pour empêcher l'infection de l'hyperviseur via une machine virtuelle, un système de cryptage des données pour stocker les informations utilisateur sous forme cryptée et des outils pour mettre en œuvre un tunneling crypté entre le serveur virtuel et la machine client. .

Pour cela, nous avons besoin d'un serveur prenant en charge la virtualisation. Des solutions de ce type sont proposées par Cisco, Microsoft, VMWare, Xen, KVM.

Il est également permis d'utiliser un serveur classique et d'y assurer une virtualisation à l'aide d'un hyperviseur.

Tout serveur doté de processeurs compatibles convient à la virtualisation des systèmes d'exploitation pour les plates-formes x86-64.

Une telle solution simplifiera la transition vers la virtualisation informatique sans effectuer d'investissements financiers supplémentaires dans la mise à niveau des équipements.

Plan de travail :

Riz. 11. Exemple de serveur cloud

Riz. 12. Réponse du serveur à une panne matérielle

À l’heure actuelle, le marché de la sécurité du cloud computing est encore assez vide. Et ce n'est pas surprenant. En l’absence de cadre réglementaire et dans l’inconnu des futures normes, les sociétés de développement ne savent pas sur quoi concentrer leurs efforts.

Cependant, même dans de telles conditions, des systèmes logiciels et matériels spécialisés apparaissent qui permettent de sécuriser la structure cloud des principaux types de menaces.

· Violation de l'intégrité

Pirater l'hyperviseur

· Insiders

· Identification

· Authentification

· Chiffrement

Accord-V

Système matériel et logiciel Accord-V. conçu pour protéger l'infrastructure de virtualisation de VMware vSphere 4.1, VMware vSphere 4.0 et VMware Infrastructure 3.5.

Accord-V. assure la protection de tous les composants de l'environnement de virtualisation : les serveurs ESX et les machines virtuelles elles-mêmes, les serveurs de gestion vCenter et les serveurs supplémentaires avec les services VMware (par exemple, VMware Consolidated Backup).

Le complexe matériel et logiciel Accord-V implémente les mécanismes de protection suivants :

· Contrôle étape par étape de l'intégrité de l'hyperviseur, des machines virtuelles, des fichiers à l'intérieur des machines virtuelles et des serveurs de gestion d'infrastructure ;

· Contrôle d'accès pour les administrateurs d'infrastructure virtuelle et les administrateurs de sécurité ;

· Limiter l'accès des utilisateurs aux machines virtuelles ;

· Identification matérielle de tous les utilisateurs et administrateurs de l'infrastructure de virtualisation.

· INFORMATIONS SUR LA DISPONIBILITÉ DES CERTIFICATS :

Le certificat de conformité du FSTEC de Russie n° 2598 du 20 mars 2012 certifie que le système logiciel et matériel Accord-V de protection des informations contre tout accès non autorisé est un moyen logiciel et matériel de protection des informations qui ne contient pas d'informations constituant un secret d'État. contre tout accès non autorisé, est conforme aux exigences des documents constitutifs "Installations informatiques. Protection contre l'accès non autorisé à l'information. Indicateurs de sécurité contre l'accès non autorisé à l'information" (Commission technique d'État de Russie, 1992) - selon 5 classe de sécurité, "Protection contre l'accès non autorisé à l'information. Partie 1. Logiciels pour outils de sécurité de l'information. Classification selon le niveau de contrôle sur l'absence de capacités non déclarées" (Commission technique d'État de Russie, 1999) - selon 4 niveau de contrôle et conditions techniques TU 4012-028-11443195-2010, et peut également être utilisé pour créer des systèmes automatisés jusqu'à la classe de sécurité 1G incluse et pour protéger les informations dans les systèmes d'information sur les données personnelles jusqu'à la classe 1 incluse.

vGate R2

vGate R2 est un outil certifié pour protéger les informations contre les accès non autorisés et surveiller la mise en œuvre des politiques de sécurité des informations pour les infrastructures virtuelles basées sur les systèmes VMware vSphere 4 et VMware vSphere 5.S R2 - une version du produit applicable pour protéger les informations dans les infrastructures virtuelles. des entreprises publiques dont les exigences en matière de propriété intellectuelle appliquent des exigences d'utilisation de systèmes de sécurité de l'information avec un niveau de certification élevé.

Vous permet d'automatiser le travail des administrateurs dans la configuration et l'exploitation du système de sécurité.

Aide à combattre les erreurs et les abus lors de la gestion de l’infrastructure virtuelle.

Vous permet de mettre l’infrastructure virtuelle en conformité avec la législation, les normes de l’industrie et les meilleures pratiques mondiales.

<#"783809.files/image017.gif"> <#"783809.files/image018.gif"> <#"783809.files/image019.gif"> <#"783809.files/image020.gif"> Riz. 13 Capacités déclarées de vGate R2 Ainsi, pour résumer, voici les principaux outils dont dispose vGate R2 pour protéger le centre de données du fournisseur de services contre les menaces internes émanant de ses propres administrateurs : · Séparation organisationnelle et technique des pouvoirs pour les administrateurs vSphere · Attribution d'un rôle distinct à un administrateur de la sécurité des informations qui gérera la sécurité des ressources du centre de données basé sur vSphere · Division du cloud en zones de sécurité, au sein desquelles opèrent des administrateurs dotés du niveau d'autorité approprié · Surveillance de l'intégrité des machines virtuelles · La possibilité de recevoir à tout moment un rapport sur la sécurité de l'infrastructure vSphere, ainsi que d'auditer les événements de sécurité des informations. En principe, c'est pratiquement tout ce qui est nécessaire pour protéger l'infrastructure d'un centre de données virtuel des menaces internes du point de vue de l'infrastructure virtuelle. Bien entendu, vous aurez également besoin d'une protection au niveau du matériel, des applications et des systèmes d'exploitation invités, mais c'est un autre problème, qui peut également être résolu par les produits de la société Security Code.<#"783809.files/image021.gif"> Riz. 14. Structure du serveur. Pour assurer la sécurité dans une telle installation, il est nécessaire d'assurer la sécurité conformément au tableau 2. Pour cela, je suggère d'utiliser un produit logiciel vGate R2. Il vous permettra de résoudre des problèmes tels que : · Authentification renforcée des administrateurs d'infrastructure virtuelle et des administrateurs de sécurité de l'information. · Protection des outils de gestion de l'infrastructure virtuelle contre les accès non autorisés. · Protection des serveurs ESX contre les accès non autorisés. · Contrôle d'accès obligatoire. · Surveillance de l'intégrité des configurations de machines virtuelles et du démarrage sécurisé. · Contrôle de l'accès des administrateurs VI aux données de la machine virtuelle. · Enregistrement des événements liés à la sécurité de l'information. · Surveillance de l'intégrité et protection contre l'accès non autorisé aux composants de sécurité de l'information. · Gestion et suivi centralisés. Tableau 2 : Conformité de la sécurité pour le modèle PaaS Certificat du FSTEC de Russie (SVT 5, NDV 4) permet au produit d'être utilisé dans des systèmes automatisés de niveau de sécurité jusqu'à la classe 1G incluse et dans des systèmes d'information sur les données personnelles (ISPDn) jusqu'à la classe K1 incluse. Le coût de cette solution sera de 24 500 roubles pour 1 processeur physique sur l'hôte protégé. De plus, pour vous protéger contre les initiés, vous devrez installer une alarme de sécurité. Ces solutions sont assez largement disponibles sur le marché de la protection des serveurs. Le prix d'une telle solution avec un accès limité à la zone contrôlée, un système d'alarme et une vidéosurveillance varie de 200 000 roubles et plus Par exemple, prenons le montant de 250 000 roubles. Pour protéger les machines virtuelles contre les infections virales, McAfee Total Protection for Virtualization s'exécutera sur un seul cœur de serveur. Le coût de la solution est de 42 200 roubles. Pour éviter la perte de données sur les installations de stockage, le système Symantec Netbackup sera utilisé. Il vous permet de sauvegarder de manière fiable les informations et les images système. Le coût total de mise en œuvre d'un tel projet sera de : Une implémentation d'une telle solution de conception basée sur Microsoft peut être téléchargée ici : http://www.microsoft.com/en-us/download/confirmation. aspx ? identifiant = 2494 Conclusion Les « technologies cloud » sont actuellement l’un des domaines du marché informatique qui se développent le plus activement. Si le taux de croissance des technologies ne diminue pas, elles rapporteront d'ici 2015 plus de 170 millions d'euros par an aux caisses des pays européens. Dans notre pays, les technologies cloud sont traitées avec prudence. Cela est dû en partie à la rigidité des points de vue de la direction, en partie à un manque de confiance dans la sécurité. Mais ce type de technologie, avec tous ses avantages et inconvénients, constitue une nouvelle locomotive du progrès informatique. L'application « de l'autre côté du cloud » ne se soucie pas du tout de savoir si vous formez votre demande sur un ordinateur équipé d'un processeur x86 d'Intel, AMD, VIA, ou si vous la composez sur un téléphone ou un smartphone basé sur un processeur ARM de Freescale. , OMAP, Tegra. De plus, dans l'ensemble, peu importe que vous utilisiez les systèmes d'exploitation Linux Google Chrome, OHA Android, Intel Moblin, Windows CE, Windows Mobile Windows XP/Vista/7, ou que vous utilisiez quelque chose d'encore plus exotique pour cela. Si seulement la demande était rédigée correctement et de manière compréhensible, et que votre système pouvait « maîtriser » la réponse reçue. La question de la sécurité est l'une des principales questions du cloud computing et sa solution améliorera qualitativement le niveau de services dans le domaine informatique. Il reste cependant beaucoup à faire dans ce sens. Dans notre pays, cela vaut la peine de commencer avec un dictionnaire unique de termes pour l'ensemble du domaine informatique. Élaborer des normes basées sur l’expérience internationale. Proposer des exigences en matière de systèmes de protection. Littérature 1. Considérations financières liées à l'utilisation du cloud computing par le gouvernement - Gouvernement australien 2010. 2. Confidentialité et cloud computing pour les agences gouvernementales australiennes 2007. Négocier le cloud - questions juridiques dans les accords de cloud computing 2009. Revue « Science moderne : problèmes actuels de théorie et de pratique » 2012. Travaux similaires à - Sécurité de l'information dans le cloud computing : vulnérabilités, méthodes et moyens de protection, outils d'audit et d'enquête sur les incidents

Il y a une semaine, concernant la priorisation des vulnérabilités. Nikita Remezov sur Facebook a noté à juste titre que ce message s'adresse principalement aux représentants du gouvernement et nous devons admettre qu'il en est ainsi. A ce schéma, il propose d'ajouter un lien vers la criticité des ressources numérisées pour l'entreprise. Oui, cela est également vrai et les métriques contextuelles de CVSSv3 peuvent y contribuer. L'avantage de cette technique est sa simplicité. Pour l'utiliser, vous n'avez besoin de rien d'autre qu'un scanner de sécurité prenant en charge CVSS. Même si cela n’est pas nécessaire. Les vulnérabilités peuvent être identifiées soit en analysant le trafic réseau

Liste des vulnérabilités identifiées par NGFW

ou en utilisant des outils de protection PC, qui disposent souvent de telles capacités.

Dans les deux derniers cas, il ne reste plus qu'à télécharger toutes les données sur les vulnérabilités et à les hiérarchiser selon la méthode décrite (cela peut être facilement automatisée à l'aide d'Excel classique).

Mais que faire dans les grandes organisations comptant des dizaines, voire des centaines de milliers d’appareils. Même si nous imaginons que chaque appareil présente une vulnérabilité (et il peut y en avoir bien d'autres), le nombre de lignes dans Excel deviendra trop important pour être analysé et dresser une liste de trous à éliminer. Par exemple, voici à quoi ressemble l'ensemble du réseau Cisco, qui compte environ un demi-million d'appareils (200 000 appareils utilisateur, environ cinquante mille appareils réseau, ainsi que divers Internet des objets).

Détailler la carte du réseau n’améliore pas beaucoup la situation. La technique décrite dans l’article précédent ne sera d’aucune utilité dans un réseau d’une telle envergure.

Est-ce nécessaire ? Devons-nous corriger toutes les vulnérabilités ? Même ceux avec un CVSS supérieur à 6,5 ? Et si nous essayions d'emprunter une voie différente et d'inclure dans le périmètre de travail visant à éliminer les vulnérabilités non pas tout, mais seulement ce qui peut être utilisé de l'extérieur ? Considérez l'histoire d'Equifax. Les attaquants ont profité d'une vulnérabilité dans un portail Web public et ont pénétré via celui-ci le réseau interne des agences d'évaluation du crédit. Il y aura des ordres de grandeur moins nombreux de ces vulnérabilités, et c'est à partir d'elles que l'élimination pourra commencer (avec ou sans méthode).

Mais même ce nombre de vulnérabilités peut être encore réduit en reliant les failles aux vecteurs d’attaque, c’est-à-dire en analysant les chemins possibles que les attaquants peuvent emprunter pour pénétrer à l’intérieur.

Il s’agit essentiellement de créer un graphique d’attaque basé sur des données sur les vulnérabilités qui peuvent être utilisées pour accéder au réseau interne de l’entreprise depuis Internet.

Seules les vulnérabilités qui permettent une pénétration via une combinaison multi-passes sont intéressantes. Ce sont ceux que nous éliminerons en premier. Faites attention à l'illustration. Il peut y avoir de nombreux trous à l'intérieur du réseau, mais il n'y a qu'un seul chemin d'accès (marqué par une ligne rouge). En éliminant la vulnérabilité dans la zone démilitarisée, nous sommes en mesure de réduire considérablement la surface d'une future attaque, en la limitant uniquement à la DMZ.

Bien entendu, pour mettre en œuvre cette approche, nous ne pouvons pas nous contenter d’un seul scanner. Vous devrez utiliser des solutions spécialisées pour construire des vecteurs d'attaque (Cisco n'en dispose pas - ce n'est pas de la publicité :-), qui, en analysant les paramètres de l'infrastructure actuelle (équipements réseau et outils de sécurité), les relient à des vulnérabilités, et montrer l’ampleur des problèmes futurs. Pour l'un des points d'accès Internet de Cisco, cela ressemble à ceci.

La technique de la note précédente est bon marché et ne nécessite pas de coûts supplémentaires, mais ne fonctionne pas bien dans les grandes infrastructures. L'approche décrite aujourd'hui est plus pratique, mais nécessite également plus de ressources/d'efforts pour sa mise en œuvre. Mais c’est entièrement automatisé. Cependant, il présente également un autre inconvénient. Cela suppose que nous n’avons aucun autre moyen de pénétrer dans le réseau de l’entreprise ou que nous pouvons les minimiser. Cependant, si le réseau dispose d'une connexion Wi-Fi non sécurisée, si les utilisateurs sont susceptibles d'installer des clés USB et si la direction peut amener de manière incontrôlable leurs ordinateurs portables personnels et les connecter au réseau interne, la deuxième approche peut alors créer un faux sentiment de sécurité. Recherchez l'équilibre...