Microsoft Active Directory (AD) est la pierre angulaire de la plupart des réseaux informatiques d’entreprise ; il assure les fonctions essentielles d’authentification et d’autorisation pour les applications et les ressources stratégiques. Son rôle central en fait également une cible privilégiée pour les pirates qui cherchent à compromettre les entreprises ou, dans certains cas, à paralyser l’ensemble du réseau. Lorsque l’AD est hors service, l’activité s’arrête. Êtes-vous prêt à faire face au pire des scénarios ?

Aujourd’hui, nous sommes ravis d’annoncer la mise à disposition générale de Commvault Cloud Backup and Recovery for Active Directory Enterprise Edition, qui offre une restauration complète et automatisée de la forêt Active Directory, permettant ainsi une restauration rapide de celle-ci afin de garantir la continuité des activités.

Recovery après sinistre est essentielle à la continuité des activités

Active Directory (AD) est au cœur des mécanismes d’authentification et des services sécurisés, et sa capacité de reprise est essentielle en cas de panne ou d’attaque par ransomware. Les applications, les systèmes de fichiers, les services de messagerie électronique et les bases de données s’appuient tous sur AD pour garantir une authentification correcte et un contrôle sécurisé des accès des utilisateurs. Ainsi, lorsque AD est endommagé ou complètement hors service, les applications et services critiques qu’il prend en charge deviennent inaccessibles.

Imaginez les conséquences : le personnel bancaire ne peut plus accéder aux comptes des clients. Les médecins et les infirmiers ne peuvent plus consulter les dossiers médicaux. Les programmeurs et les développeurs ne peuvent plus publier de code. Les équipes ne peuvent plus collaborer ni communiquer par chat pour mener à bien leur travail.

Sans Active Directory (AD), l’entreprise ne peut pas poursuivre ses activités. Les cybercriminels le savent bien, c’est pourquoi ils en font une cible privilégiée dans 9 cyberattaques sur 10. En cas de sinistre, la restauration d’Active Directory est vitale, mais elle s’est traditionnellement avérée très difficile à réaliser, nécessitant des processus manuels complexes et chronophages.

Ransomware ciblant ransomware les infrastructures d’identité critiques, il est essentiel de disposer d’un plan de reprise bien documenté et fréquemment testé pour restaurer et reconstruire l’ensemble de votre environnement AD à son état antérieur à l’attaque.  

Les complexités de la Recovery des forêts en Afrique du Sud

Microsoft fournit des instructions détaillées sur la reconstruction d’une forêt Active Directory entière après une catastrophe majeure dans son « Guide de Recovery d’une forêt Active Directory ». En raison de la nature complexe d’Active Directory, les étapes nécessaires à la restauration complète d’une forêt sont rigides, détaillées, chronophages et très sensibles aux erreurs humaines. Selon la complexité de votre architecture Active Directory, le processus peut comporter entre 50 et 100 tâches, voire davantage.

En raison de la nature distribuée et de l’architecture multi-maître d’AD, sa restauration exige une coordination minutieuse. Il n’est pas possible de se contenter de restaurer les contrôleurs de domaine à partir d’une sauvegarde et d’en rester là. Il existe des dizaines d’étapes de nettoyage complexes qui doivent être effectuées sur les contrôleurs de domaine restaurés et au sein même d’AD, à des moments très précis tout au long de la Recovery de la forêt. Si ces étapes ne sont pas suivies correctement, vous risquez d’introduire de nouvelles corruptions ou incohérences dans l’environnement restauré, ce qui peut s’avérer très difficile, voire impossible, à résoudre.

S’appuyer sur un plan manuel de Recovery après sinistre ou de Recovery après une cyberattaque et sur des outils prêts à l’emploi peut signifier qu’il faudra plusieurs jours pour restaurer l’intégralité d’une forêt Active Directory. En cas de sinistre, chaque minute compte, et plus il faut de temps pour rétablir le bon fonctionnement des composants Active Directory, plus les perturbations pour l’entreprise sont importantes.

Automatisez et accélérez la Recovery d’Active Directory grâce à Commvault Cloud

La solution « Commvault Cloud Backup and Recovery for AD Enterprise Edition » apporte un nouveau niveau de résilience à Active Directory en permettant une restauration automatisée et rapide de la forêt Active Directory vers un état antérieur à l’attaque. Cette automatisation élimine les processus manuels, lents et sources d’erreurs, ce qui réduit le risque d’erreurs et accélère les délais de Recovery. Voici comment cela fonctionne :

• Simplifiez la Recovery d’Active Directory grâce à des guides d’intervention automatisés : les guides d’intervention automatisés pour la Recovery d’une forêt Active Directory orchestrent le processus en plusieurs étapes nécessaire à cette Recovery, y compris les tâches essentielles de maintenance d’Active Directory requises pour vérifier la cohérence de l’annuaire restauré, telles que la prise de contrôle des rôles FSMO et l’ajustement du pool de RID. Ces guides d’intervention peuvent également être utilisés pour effectuer des tests réguliers dans des environnements hors production afin d’améliorer la Readiness face aux cybermenaces.
• Permettez une reprise rapide des éléments les plus importants de l’infrastructure AD : les vues topologiques visuelles de votre environnement AD permettent d’identifier simplement et rapidement les contrôleurs de domaine à restaurer en priorité et la manière dont ils doivent être récupérés afin d’accélérer la disponibilité des services AD.
• Suivez la progression de la restauration grâce à des vues détaillées du guide d’intervention : les vues prescriptives du guide d’intervention relatives au processus de Recovery offrent une transparence totale et un contrôle précis, ce qui vous permet d’adapter facilement le flux de travail à votre environnement. Pendant la restauration, vous disposez d’une visibilité totale sur l’étape où vous vous trouvez dans le processus et sur le temps restant avant que votre Active Directory ne soit à nouveau opérationnel.

• Accélérez les délais de restauration et renforcez la résilience : la restauration manuelle d’une forêt Active Directory peut prendre plusieurs jours, voire plusieurs semaines, mais avec Commvault, vous pouvez la restaurer en un temps record. Commvault Cloud intègre la restauration de la forêt Active Directory à la restauration granulaire d’Active Directory et d’Entra ID, offrant ainsi une protection complète. 

Faites passer votre protection contre les publicités intrusives au niveau supérieur

Commvault Cloud Backup and Recovery for AD Enterprise Edition est désormais disponible et offre des fonctionnalités de protection, de Recovery et de cyber-résilience pour votre environnement Active Directory. Rendez-vous sur la page dédiée à la solution AD pour en savoir plus ou découvrez-la par vous-même grâce à notre démonstration interactive. Constatez par vous-même comment Commvault peut améliorer votre stratégie de protection Active Directory.

L’évolution rapide des variantes de ransomware, des techniques d’ingénierie sociale et des attaques basées sur l’intelligence artificielle peut donner l’impression que la cyber-résilience est un combat perdu d’avance. Mais la cybersécurité ne se résume pas à essayer de déjouer les attaquants. S’il est vrai que des menaces plus sophistiquées exigent des défenses plus avancées, il existe également des mesures étonnamment simples que vous pouvez prendre pour réduire considérablement vos risques.

Dans cet article, nous allons passer en revue quatre bonnes pratiques de protection des données faciles à mettre en œuvre, leur rôle dans une stratégie de cyberdéfense à plusieurs niveaux, et la manière dont Commvault aide ses clients à les appliquer.

1. Déployer des images pré-sécurisées.

Même la serrure la plus solide ne vous sera d’aucune utilité si vous laissez vos fenêtres ouvertes. Pas moins de 23 % des attaques visant les infrastructures cloud sont liées à des failles de configuration courantes, telles que des politiques réseau trop permissives, des services et des ports superflus, ainsi que des protocoles non sécurisés. En comblant ces failles, vous contribuerez déjà de manière significative à renforcer la sécurité de votre surface d’attaque.

Pourquoi tant d’entreprises laissent-elles des failles de sécurité couramment exploitées dans leurs environnements cloud ? Souvent, elles évoluent tout simplement trop vite pour pouvoir s’assurer que les images qu’elles déploient sont sécurisées. Mais Commvault peut les aider à se charger de cette étape à leur place.

La Commvault Cloud Platform est disponible sous forme d’images pré-sécurisées, configurées conformément aux critères de référence du Center for Internet Security (CIS). Ces bonnes pratiques intégrées contribuent à réduire les vulnérabilités en :

• Modifier les paramètres par défaut des logiciels, tels que les règles relatives aux mots de passe, les paramètres de verrouillage des comptes et les niveaux de journalisation, afin de privilégier la sécurité.
• Désactiver les protocoles obsolètes ou non sécurisés, tels que SMBv1, SSLv3 et l’algorithme de chiffrement RC4.
• Désactiver les services superflus et fermer les ports inutilisés au niveau des systèmes d’exploitation et des applications.
• Supprimer les shells susceptibles de permettre à des pirates d’exécuter du code malveillant.

Outre ces images CIS sécurisées destinées aux nouveaux déploiements, Commvault peut également fournir à ses clients des scripts leur permettant de valider et de sécuriser les configurations de leur environnement existant. En éliminant les vulnérabilités courantes liées à des erreurs de configuration, nous contribuons à empêcher que des failles ne s’ouvrent et n’exposent le système à des attaques.

2. Protéger Active Directory.

En tant que centre de contrôle centralisé des accès et des autorisations sur l’ensemble de votre réseau, Active Directory (AD) constitue à la fois une cible privilégiée et un vecteur d’attaque redoutable. Pour les acteurs malveillants, s’introduire dans AD revient à voler la carte d’accès de vos locaux : cela leur permet de se déplacer discrètement au sein de votre environnement, d’élever leurs privilèges pour accéder aux applications et données critiques, et d’établir une base à partir de laquelle contrôler vos actifs d’entreprise. Ils peuvent également bloquer l’accès aux utilisateurs légitimes, paralysant ainsi votre activité. Pour contrer ces tactiques, vous devez protéger les données d’AD et annuler toute modification qu’ils parviennent à effectuer.

Commvault peut vous aider à protéger Active Directory contre les attaques en sécurisant vos objets de stratégie de groupe, vos utilisateurs, vos groupes, vos stratégies d’accès conditionnel, vos rôles et bien plus encore. Si des modifications nuisibles sont apportées – que ce soit intentionnellement par des attaquants ou par erreur par vos propres administrateurs –, vous pouvez rapidement récupérer tout objet supprimé ou restaurer des attributs écrasés. Pour vous simplifier la tâche, nous vous offrons également la possibilité de ne restaurer que les attributs des objets qui vous concernent, sans avoir à effectuer une restauration complète d’Active Directory. Toutefois, si vous devez restaurer l’ensemble de l’environnement Active Directory, nous vous facilitons également cette tâche.

3. Conservez vos sauvegardes hors de portée des ransomwares.

Pratiquement toutes les attaques par ransomware visent également les infrastructures de sauvegarde. En effet, si les entreprises peuvent simplement restaurer leurs ressources compromises, l’attaque initiale tombe à plat : aucune rançon n’est nécessaire, et les attaquants n’obtiennent aucun gain. C’est pourquoi des sauvegardes fréquentes et sécurisées constituent la solution miracle pour se défendre contre les ransomwares. 

Il existe de nombreuses façons de protéger les sauvegardes, mais l’« air gap » se distingue comme une mesure particulièrement élégante et efficace. Le principe est simple : si vos sauvegardes ne sont accessibles ni depuis l’intérieur ni depuis l’extérieur de votre organisation, les pirates n’ont aucun moyen d’y accéder pour les manipuler ou les supprimer. Même si toutes vos autres défenses venaient à échouer et que vos données principales étaient chiffrées ou supprimées, vous seriez en mesure de vous rétablir rapidement et de reprendre vos activités.

Commvault permet la mise en place d’un « air gap » grâce à sa solution Commvault AirGap. Nous stockons une copie secondaire inviolable de vos sauvegardes, dans un format immuable, au sein d’un espace de stockage cloud sécurisé et isolé. Quoi qu’il arrive sur votre réseau d’entreprise, vous disposerez toujours d’une copie intacte et non infectée de votre environnement de production à restaurer. C’est une victoire pour vous et une défaite pour les pirates.

4. Exiger une autorisation par plusieurs personnes.

La plupart des entreprises ont déjà recours à l’authentification multifactorielle (MFA) pour empêcher tout accès non autorisé, comme il se doit. Mais dans le contexte actuel de menaces graves, certaines situations – telles que la suppression d’une sauvegarde ou l’autorisation d’une demande de restauration – exigent un niveau de vigilance encore plus élevé.

L’autorisation multipersonnelle va au-delà de l’authentification multifactorielle (MFA) en exigeant non seulement une deuxième preuve d’identité pour la même personne, mais aussi l’approbation d’une personne totalement différente – voire de plusieurs personnes. Ainsi, même si des attaquants parviennent à prendre le contrôle de plusieurs facteurs d’authentification, par exemple en compromettant à la fois le compte d’un utilisateur et son appareil, ils ne seront toujours pas en mesure d’agir. Il en va de même pour un employé malveillant : les validations supplémentaires étant requises, un employé malintentionné ne peut pas mener une attaque de son propre chef. 

Les solutions Commvault permettent aux clients de mettre en place des processus d’autorisation à plusieurs intervenants pour un large éventail de tâches pouvant être considérées comme destructrices, notamment :

• Interrompre un processus de sauvegarde d’un système, d’un serveur ou d’un partage de fichiers.
• Supprimer ou restaurer une sauvegarde.
• Retirer l’autorisation d’un agent ou d’un ensemble de sauvegardes.

Les administrateurs peuvent configurer le nombre de validateurs, les groupes d’utilisateurs et les utilisateurs spécifiques nécessaires pour autoriser certaines tâches.

Si vous n’appliquez pas ces quatre mesures, vous devriez le faire. Nous n’irions jamais jusqu’à affirmer qu’elles constituent à elles seules une stratégie complète de cyberdéfense : vous devrez tout de même mettre en œuvre toutes les autres mesures, qu’il s’agisse d’analyser les informations sur les menaces, de gérer les vulnérabilités ou de développer votre infrastructure de sécurité. Mais lorsque des mesures aussi simples peuvent réduire considérablement vos risques, la seule question à se poser est de savoir dans quel délai vous pouvez vous y mettre.

Découvrez comment Commvault Cloud peut vous aider à protéger votre réseau contre les cyberattaques grâce à une stratégie de défense multicouche.

Pour les établissements de santé, la protection des informations sensibles relatives aux patients est primordiale. Alors que nous recourons de plus en plus à des systèmes numériques pour stocker, traiter et transmettre les informations médicales protégées (PHI), la mise en place de mesures de sécurité cryptographiques adéquates est devenue indispensable. C’est là qu’intervient la norme FIPS (Federal Information Processing Standard) 140-2.

Qu’est-ce que la norme FIPS 140-2 ?

La norme FIPS 140-2 est une norme de sécurité du gouvernement américain qui définit les exigences applicables aux modules cryptographiques utilisés pour protéger les informations sensibles. Publiée par l’Institut national des normes et des technologies (NIST), cette norme établit des exigences de sécurité spécifiques auxquelles doivent satisfaire les modules cryptographiques afin de garantir la confidentialité et l’intégrité des informations qu’ils protègent.

Pour les établissements de santé traitant des données sensibles relatives aux patients, la norme FIPS 140-2 fournit un cadre permettant de mettre en œuvre des mesures de protection cryptographiques robustes, conformes aux exigences de la règle de sécurité de la loi HIPAA (Health Insurance Portability and Accountability Act) en matière de protection des informations de santé protégées sous forme électronique (ePHI). Pour en savoir plus sur les mises à jour proposées pour cette règle, consultez notre article de blog intitulé « La recette de la cyber-résilience dans le secteur de la santé ».

Principales caractéristiques de la norme FIPS 140-2

Quatre niveaux de sécurité

La norme FIPS 140-2 repose sur une approche de sécurité à plusieurs niveaux, avec quatre niveaux distincts offrant une protection de plus en plus forte :

1. Niveau 1 : Nécessite un équipement de niveau production et au moins un algorithme ou une fonction de sécurité homologué(e). Aucun mécanisme de sécurité physique spécifique n’est requis en plus des composants de base de niveau production.

2. Niveau 2 : Intègre des dispositifs de sécurité physique, tels que des revêtements ou des scellés inviolables, ou encore des serrures résistantes au crochetage, et exige une authentification basée sur les rôles.

3. Niveau 3 : Renforce la sécurité physique grâce à des mesures visant à détecter et à contrer toute tentative d’accès physique ou de modification. Empêche un intrus d’accéder aux paramètres de sécurité critiques stockés dans le module et intègre une authentification basée sur l’identité.

4. Niveau 4 : Assure une protection complète autour du module cryptographique afin de détecter et de contrer toute tentative d’accès physique non autorisé. Les modules de niveau 4 peuvent fonctionner dans des environnements non protégés physiquement.

La plupart des établissements de santé mettent généralement en place un niveau de protection 2 ou 3, en trouvant un juste équilibre entre les besoins en matière de sécurité et les contraintes opérationnelles.

Spécification du module cryptographique

La norme FIPS 140-2 impose la mise en place d’une documentation détaillée du module cryptographique, comprenant notamment les ports et interfaces du module, les opérations manuelles, la conception physique, les composants matériels, logiciels et micrologiciels, ainsi que les fonctions de sécurité. Cette documentation exhaustive garantit la transparence quant à la manière dont les données sensibles sont protégées et permet de mener des évaluations de sécurité approfondies.

Algorithmes approuvés

La norme FIPS 140-2 impose l’utilisation d’algorithmes cryptographiques validés, notamment :

• Chiffrement à clé symétrique : AES, Triple DES
• Chiffrement à clé asymétrique : RSA, DSA, ECDSA
• Fonctions de hachage sécurisées : SHA-256, SHA-384, SHA-512
• Authentification des messages : HMAC, CMAC

Le fait de n’utiliser que des algorithmes validés permet de s’assurer que les implémentations cryptographiques répondent aux exigences minimales de sécurité et n’ont pas été compromises par des vulnérabilités connues.

Gestion des clés

Une gestion adéquate des clés est essentielle au maintien de la sécurité cryptographique. La norme FIPS 140-2 définit les exigences relatives à la génération, à l’établissement, à la saisie et à la sortie des clés, ainsi qu’à leur stockage et à leur effacement sécurisé. Pour les établissements de santé, une gestion adéquate des clés permet de garantir l’efficacité du chiffrement et d’empêcher que des clés compromises n’entraînent des fuites de données.

Auto-évaluation

La norme FIPS 140-2 exige que les modules cryptographiques effectuent des autotests afin de vérifier leur bon fonctionnement. Il s’agit notamment de tests de mise sous tension exécutés automatiquement, de tests conditionnels effectués lorsque des fonctions spécifiques sont appelées, et de tests continus du générateur de nombres aléatoires. Ces exigences en matière de tests contribuent à garantir la fiabilité constante des protections cryptographiques.

L’importance de la conformité à la norme FIPS 140-2 dans le secteur de la santé

Harmonisation juridique et réglementaire

Bien que la loi HIPAA n’impose pas explicitement la conformité à la norme FIPS 140-2, la règle de sécurité HIPAA exige la mise en place de mesures appropriées pour garantir la confidentialité, l’intégrité et la disponibilité des données ePHI. La norme FIPS 140-2 constitue une norme reconnue qui répond à bon nombre des exigences de la loi HIPAA en matière de chiffrement.

Par ailleurs, d’autres réglementations applicables aux organismes de santé – telles que la loi fédérale sur la gestion de la sécurité de l’information (FISMA) – peuvent exiger explicitement la conformité à la norme FIPS 140-2 pour les agences fédérales et leurs sous-traitants, parmi lesquels peuvent figurer des prestataires de soins de santé travaillant avec Medicare, Medicaid ou l’Administration des anciens combattants.

Atténuation des risques

Les fuites de données dans le secteur de la santé peuvent avoir des conséquences catastrophiques, tant pour les patients dont la vie privée est compromise que pour les organisations qui doivent faire face à des sanctions financières, à des coûts de remédiation et à une atteinte à leur réputation. La conformité à la norme FIPS 140-2 réduit considérablement le risque de fuites dues à des défaillances cryptographiques en garantissant :

• Les implémentations cryptographiques respectent les meilleures pratiques éprouvées.
• Les failles de sécurité sont identifiées et corrigées.
• Les méthodes de chiffrement sont capables de résister à des attaques sophistiquées.

Confiance des patients

Au-delà des exigences réglementaires, la mise en œuvre de mesures rigoureuses de protection des données témoigne d’un engagement en faveur de la confidentialité des patients. Lorsque les établissements de santé peuvent garantir à leurs patients que leurs informations sensibles sont protégées par des normes de sécurité validées par les pouvoirs publics, cela renforce la confiance dans un monde de plus en plus soucieux de la protection de la vie privée.

Évaluation des fournisseurs

La certification FIPS 140-2 constitue un référentiel clair pour l’évaluation des fournisseurs de technologies. Lors du choix de systèmes destinés à traiter ou à stocker des données ePHI, les établissements de santé peuvent se baser sur la conformité à la norme FIPS 140-2 comme critère clé, ce qui simplifie le processus d’évaluation des fournisseurs et permet de vérifier que les exigences de sécurité minimales sont respectées.

Comment Commvault garantit la conformité à la norme FIPS 140-2

La plateforme complète de gestion des données de Commvault offre un soutien solide aux établissements de santé qui souhaitent se conformer à la norme FIPS 140-2 grâce à plusieurs fonctionnalités clés :

Modules cryptographiques validés selon la norme FIPS

Commvault intègre des modules cryptographiques qui ont été validés dans le cadre du programme de validation des modules cryptographiques (CMVP) du NIST. Ces modules ont été soumis à des tests rigoureux menés par des laboratoires accrédités par le NIST afin de vérifier leur conformité aux exigences de la norme FIPS 140-2, offrant ainsi aux établissements de santé la garantie que leurs mesures de protection des données respectent les normes fédérales.

Chiffrement de bout en bout

Commvault propose des fonctionnalités de chiffrement complètes qui protègent les données de santé tout au long de leur cycle de vie :

• Chiffrement en transit : tous les transferts de données entre les composants Commvault utilisent le protocole TLS 1.2 ou une version supérieure, avec des algorithmes de chiffrement conformes à la norme FIPS, ce qui permet de protéger les informations médicales sensibles pendant leur transfert.
• Chiffrement au repos : Commvault sécurise les données de santé stockées à l’aide d’un chiffrement AES-256 conforme à la norme FIPS, protégeant ainsi les sauvegardes, les archives et autres référentiels de données contre tout accès non autorisé.
• Chiffrement côté client : les données peuvent être chiffrées avant de quitter le système source, ce qui garantit leur protection tout au long du processus de Backup and Recovery.

Gestion sécurisée des clés

Le système intégré de gestion des clés de Commvault est conforme aux exigences de la norme FIPS 140-2 en matière de gestion sécurisée des clés :

• Gestion centralisée des clés : les clés de chiffrement sont gérées via un système centralisé, régi par des règles, qui applique des contrôles d’accès stricts.
• Rotation des clés : les fonctionnalités de rotation automatisée des clés permettent aux établissements de santé de mettre à jour périodiquement leurs clés de chiffrement sans perturber leurs activités, conformément aux meilleures pratiques en matière de cryptographie.
• Stockage sécurisé des clés : les clés de chiffrement sont stockées avec plusieurs niveaux de protection, y compris la possibilité d’intégrer des modules de sécurité matériels externes pour une sécurité renforcée.

Contrôles d’accès basés sur l’identité

Commvault met en œuvre des mécanismes d’authentification et d’autorisation robustes, conformes aux exigences de sécurité de la norme FIPS 140-2 :

• Contrôle d’accès basé sur les rôles : des paramètres d’autorisation précis permettent de garantir que seul le personnel autorisé puisse accéder aux données de santé sensibles ou effectuer des opérations critiques sur le système.
• Authentification multifactorielle : la prise en charge de l’authentification multifactorielle (MFA) offre un niveau de sécurité supplémentaire lors de l’accès à la console de gestion Commvault ou aux données.
• Journalisation détaillée des audits : des journaux d’activité complets enregistrent tous les accès aux informations de santé protégées, facilitant ainsi les audits de conformité et les enquêtes de sécurité.

Fonctionnement en mode FIPS

Commvault permet aux établissements de santé d’activer le « mode FIPS », qui impose l’utilisation exclusive d’algorithmes et de modules cryptographiques certifiés FIPS dans l’ensemble de l’environnement de gestion des données. Lorsque le mode FIPS est activé :

• Les algorithmes non conformes à la norme FIPS sont désactivés.
• Seuls des modules cryptographiques validés sont utilisés.
• Les paramètres de sécurité sont automatiquement configurés pour répondre aux exigences FIPS.

Cette approche simplifiée de la conformité allège la charge administrative pesant sur les équipes informatiques du secteur de la santé et réduit au minimum le risque d’erreurs de configuration susceptibles de compromettre la sécurité.

Intégration transparente avec les systèmes de santé

La plateforme de Commvault s’intègre aux principaux systèmes d’information du secteur de la santé tout en garantissant la conformité à la norme FIPS 140-2 :

• Protection des systèmes de dossiers médicaux électroniques : des connecteurs spécialisés pour les principaux systèmes de dossiers médicaux électroniques permettent de sauvegarder et de restaurer les données des patients en toute sécurité.
• Prise en charge de l’imagerie médicale : les fonctionnalités de sauvegarde sont conformes à la norme internationale « Digital Imaging and Communications in Medicine » (DICOM) relative au stockage, à l’échange et à l’utilisation des données d’imagerie médicale, tout en garantissant le respect des exigences HIPAA et FIPS.
• Protection des environnements virtuels : les établissements de santé qui exploitent des applications critiques dans des environnements virtualisés peuvent garantir leur conformité aux normes FIPS grâce aux fonctionnalités de protection des machines virtuelles de Commvault.

Documentation et rapports relatifs à la conformité

Commvault simplifie les exigences en matière de documentation liées à la conformité à la norme FIPS 140-2 :

• Certificats de validation : accès aux certificats de validation FIPS 140-2 pour les modules cryptographiques de Commvault.
• Rapports de conformité : outils de reporting intégrés qui documentent l’état du chiffrement, les activités de gestion des clés et d’autres indicateurs liés à la sécurité.
• Aide à l’audit : des journaux et des rapports complets qui facilitent la démonstration de la conformité lors des audits réglementaires.

Mise en œuvre de la norme FIPS 140-2 dans les environnements de santé

Réalisation d’un inventaire

La première étape vers la conformité à la norme FIPS 140-2 consiste à recenser tous les systèmes et applications qui traitent des données de santé sensibles. Il s’agit notamment de

• Systèmes de dossiers médicaux électroniques
• Systèmes d’imagerie médicale
• Systèmes d’information de laboratoire
• Systèmes de facturation et de gestion administrative
• Appareils mobiles utilisés par les professionnels de santé
• Solutions de sauvegarde et de stockage des données

Validation des modules cryptographiques

Pour chaque système identifié, vérifiez s’il utilise des modules cryptographiques validés selon la norme FIPS 140-2. Le NIST tient à jour une liste des modules validés, appelée CMVP. Les fournisseurs doivent être en mesure de fournir leurs certificats de validation FIPS 140-2 ainsi que les numéros de référence correspondants.

Combler les lacunes

Pour les systèmes non conformes à la norme FIPS 140-2, les établissements de santé disposent de plusieurs options :

• Adoptez des versions conformes à la norme FIPS.
• Mettez en place des couches de chiffrement supplémentaires à l’aide de modules validés.
• Remplacer les systèmes non conformes par des solutions conformes.
• Demandez des dérogations si des contrôles compensatoires appropriés sont en place.

Documentation et formation

Il est essentiel de tenir à jour une documentation exhaustive sur les mesures prises pour assurer la conformité à la norme FIPS 140-2, tant pour la gouvernance interne que pour les audits réglementaires. De plus, le personnel doit bénéficier d’une formation sur l’importance du chiffrement et du traitement approprié des données sensibles.

Conclusion

La conformité à la norme FIPS 140-2 ne se résume pas à une simple case à cocher pour satisfaire aux exigences réglementaires : il s’agit d’un élément fondamental d’une stratégie solide en matière de sécurité des données de santé. En mettant en œuvre des mesures de protection cryptographiques conformes à cette norme rigoureuse, les établissements de santé peuvent réduire considérablement le risque de fuites de données, renforcer la confiance des patients et éviter des sanctions coûteuses en cas de non-conformité.

Alors que le secteur de la santé poursuit sa transition numérique et que les cybermenaces gagnent en sophistication, le respect des normes de sécurité reconnues telles que la norme FIPS 140-2 n’est plus une simple option : il s’agit d’un aspect essentiel d’une prestation de soins responsable à l’ère du numérique.

En optant pour les solutions de gestion des données de Commvault, conformes à la norme FIPS 140-2, les établissements de santé peuvent protéger en toute confiance les informations sensibles relatives à leurs patients tout en simplifiant leurs efforts de mise en conformité. Notre approche globale de la protection des données répond non seulement aux exigences réglementaires actuelles, mais constitue également une base solide pour faire face à l’évolution des menaces de sécurité.

Cela fait près de 30 ans que la loi sur la portabilité et la responsabilité en matière d’assurance maladie (Health Insurance Portability and Accountability Act) est entrée en vigueur. Entre autres dispositions, elle protège les patients en interdisant la divulgation de leurs informations médicales confidentielles sans leur consentement. Au fil des ans, cette loi a été mise à jour et amendée pour s’adapter à l’évolution des technologies ainsi qu’à la législation et aux politiques en matière de santé.

L’année dernière, le ministère américain de la Santé et des Services sociaux (HHS) a proposé des modifications importantes à la règle de sécurité HIPAA afin de renforcer la cybersécurité des dossiers médicaux électroniques (EHR). Ces dernières modifications ont été élaborées en réponse à l’augmentation du volume de dossiers électroniques conservés et transférés, à la multiplication et à l’aggravation des failles de sécurité, ainsi qu’à d’autres enjeux liés aux pratiques de cybersécurité et à l’application de la réglementation qui ont évolué ou sont apparus depuis la dernière mise à jour de la règle en 2013.

L’un des éléments clés de cette proposition impose aux entités concernées de mettre en place des procédures écrites visant à rétablir les systèmes d’information électroniques et les données critiques dans les 72 heures suivant une perte. Cette exigence a pour objectif de permettre aux établissements de santé de rétablir rapidement leurs systèmes et données essentiels après un incident de sécurité, afin de minimiser les perturbations dans la prise en charge des patients et de préserver la confidentialité, l’intégrité et la disponibilité des dossiers médicaux électroniques (DME).

Découvrez comment Commvault permet de restaurer rapidement les dossiers médicaux électroniques (DME), notamment dans les environnements Epic et Meditech.

Application de la loi HIPAA

L’application de la loi HIPAA relève de la compétence du Bureau des droits civils (OCR) au sein du ministère américain de la Santé et des Services sociaux (HHS). L’OCR est chargé de veiller à ce que les prestataires de soins de santé, les organismes d’assurance maladie, les centres d’échange de données et leurs partenaires commerciaux respectent les règles de la loi HIPAA en matière de confidentialité, de sécurité et de notification des violations.

Ces dernières années, l’OCR a donné la priorité aux sanctions financières en cas d’infractions, en particulier celles liées à la règle de sécurité de la loi HIPAA. En 2024, l’OCR a indiqué que les mesures coercitives au titre de la loi HIPAA avaient atteint des niveaux quasi records, avec 9,9 millions de dollars perçus, dont un règlement à l’amiable de 4,75 millions de dollars pour de multiples violations de la règle de sécurité. Cependant, alors que le nombre de mesures coercitives a augmenté, le montant moyen des amendes a diminué en raison d’une réinterprétation des barèmes de sanctions prévue par la loi HITECH.

Principaux mécanismes de mise en œuvre des nouvelles obligations

Avec l’entrée en vigueur imminente des nouvelles dispositions de la règle de sécurité HIPAA, l’OCR veillera au respect de la réglementation par le biais d’une combinaison de mesures de sensibilisation, d’audits, d’enquêtes et de sanctions. Vous trouverez ci-dessous une présentation détaillée du fonctionnement de ces mécanismes de mise en application :

1. Sensibilisation et accompagnement (mesures préventives)

L’OCR propose des conseils, des formations et des bonnes pratiques afin d’aider les entités concernées et les partenaires commerciaux à se conformer à la réglementation HIPAA. Il s’agit notamment de

• FAQ mises à jour, programmes de formation et ressources en ligne.
• Collaboration avec les organisations professionnelles afin de préciser les modalités de mise en œuvre des nouvelles exigences en matière de sécurité.
• Conseils techniques sur l’analyse et la gestion des risques (un domaine où les manquements sont fréquents).

Cette étape permet aux organisations de mettre à jour leurs programmes de sécurité, leurs politiques de gestion des risques et la formation de leur personnel avant que les mesures ne soient appliquées de manière stricte.

2. Enquêtes de conformité et signalement des violations

L’OCR mène des enquêtes de conformité en réponse à :

• Plaintes : toute personne peut signaler des violations de la loi HIPAA, ce qui donne lieu à des enquêtes menées par l’OCR.
• Déclaration des violations de données : toute violation concernant au moins 500 dossiers doit être signalée à l’OCR, qui mène ensuite une enquête afin de déterminer si un manquement aux obligations réglementaires a contribué à cette violation.

Compte tenu de la recrudescence des incidents de piratage informatique, l’OCR a mis l’accent sur la préparation en matière de cybersécurité, en exigeant des organismes de santé qu’ils renforcent leur Risk Analysis et la surveillance de leurs systèmes.

3. Audits HIPAA et Risk Analysis : points clés

L’OCR a fait de Risk Analysis une priorité absolue en matière d’application de la réglementation, en raison d’un non-respect généralisé des règles.

• Lors des audits HIPAA de 2016-2017, la plupart des organisations n’ont pas procédé à une Risk Analysis complète ni ne l’ont mise à jour régulièrement.
• En 2024, 14 des 22 mesures coercitives prises par l’OCR concernaient des violations de la règle de sécurité HIPAA, les lacunes en matière de Risk Analysis constituant le problème le plus fréquent.
• L’OCR a l’intention de relancer les audits de conformité (même si des contraintes budgétaires pourraient retarder cette initiative).

Il faut s’attendre à un contrôle plus rigoureux de la manière dont les organisations évaluent et atténuent les risques pesant sur les données de santé électroniques (ePHI).

4. Sanctions financières et plans d’actions correctives (PAC)

L’OCR peut infliger des sanctions en cas de non-respect de la réglementation, avec des amendes allant de quelques milliers à plusieurs millions de dollars, en fonction :

• Négligence ou négligence volontaire
• Non-respect des obligations après notification des infractions
• Nombre de personnes concernées

Les amendes prévues par la loi HIPAA ayant considérablement diminué (passant d’une moyenne de 2,6 millions de dollars en 2018 à environ 450 000 dollars en 2024), l’OCR a cherché à mettre en place d’autres stratégies de contrôle, telles que les CAP, qui imposent aux organisations d’améliorer leurs mesures de sécurité dans un délai déterminé, ainsi qu’un contrôle plus strict au niveau des États.

Ce que cela implique pour votre organisation

L’OCR accordant la priorité à la mise en œuvre de Risk Analysis, ces mesures peuvent vous aider à vous conformer aux mises à jour proposées :

• Mettre régulièrement à jour les évaluations des risques et veiller à ce qu’elles couvrent l’ensemble des systèmes contenant des données de santé électroniques protégées (ePHI).
• Mettre en place des mesures de cybersécurité plus strictes (par exemple, le chiffrement, l’authentification multifactorielle et la surveillance continue).
• Former les employés au respect de la loi HIPAA et aux protocoles d’intervention en cas de violation de données.
• Assurer la notification rapide des violations de données, avec un contenu précis.
• Conserver les documents attestant des mesures prises pour garantir la conformité.

Mesures coercitives et actions en justice au niveau régional

Les procureurs généraux des États peuvent faire respecter la loi HIPAA de manière indépendante et infliger des sanctions en cas d’infraction. La plus importante sanction infligée en Californie en 2024 (6,75 millions de dollars) visait un fournisseur de stockage dans le cloud pour avoir manqué à ses obligations en matière de sécurité des données des patients. À mesure que les États adoptent de nouvelles lois sur la cybersécurité (par exemple, les obligations en matière de cybersécurité imposées aux hôpitaux de l’État de New York), il faut s’attendre à ce que l’application de la loi HIPAA s’étende au-delà du contrôle exercé par l’OCR.

Conclusion : les défis à venir

Malgré l’augmentation tant du nombre de signalements de violations que des plaintes au titre de la loi HIPAA, l’OCR semble peu susceptible d’obtenir les moyens supplémentaires dont elle affirme avoir besoin pour renforcer ses mesures de contrôle. On ignore encore quel sera l’impact sur l’agence des coupes budgétaires en cours menées par le ministère de l’Efficacité gouvernementale – et comment la nouvelle administration agira une fois que la période de consultation publique sur les modifications proposées aura pris fin, le 7 mars.

Que les nouvelles exigences de sécurité de la loi HIPAA entrent ou non en vigueur cette année, les organisations auraient tout intérêt à renforcer de manière proactive leurs mesures de cybersécurité, leur Risk Analysis, leurs stratégies de reprise après sinistre et leurs formations à la conformité. En gérant ces enjeux, les établissements de santé peuvent contribuer à éviter d’éventuelles sanctions, à réduire les risques de violation de données et à protéger efficacement les données des patients.

Découvrez comment Commvault peut aider votre entreprise à respecter ses obligations de conformité.

Nos dernières versions du logiciel Commvault Cloud et de nos solutions SaaS offrent de nouvelles fonctionnalités et capacités destinées à vous aider à renforcer votre cyber-résilience et votre stratégie de protection des données, en facilitant et en accélérant la protection et la gestion de vos données. Elles sont conçues pour vous aider à sécuriser et à restaurer vos données dans le cloud hybride face aux nouvelles menaces de perte de données, ainsi qu’à vous remettre rapidement sur pied en cas d’incident ou de cyberattaque.

Parmi les nouvelles fonctionnalités désormais disponibles dans cette version, on trouve notamment :

• Intégration de CrowdStrike
• Améliorations apportées à Commvault AirGap
• Commvault Edge
• Cloud Rétrogradation
• Clumio pour Amazon S3
• Cleanroom Recovery pour AWS
• Mise à l’échelle automatique pour Amazon EC2 Restore
• Backup and Recovery for Google Workspace
• Récupération de la forêt Active Directory
• Machines virtuelles Nutanix AHV
• Intégration de Palo Alto Networks XSOAR
• Backup and Recovery pour Kubernetes

Intégration de CrowdStrike

Vos équipes de sécurité doivent agir rapidement. Face à la recrudescence des attaques par ransomware, les entreprises doivent améliorer leur visibilité afin de détecter et de contrer les menaces dès leur apparition.

Commvault vous aide à renforcer vos défenses informatiques en intégrant CrowdStrike Falcon à Commvault Cloud. Grâce à l’intégration des données CrowdStrike dans le tableau de bord Commvault, votre équipe de sécurité peut rapidement identifier les menaces et y répondre. Cette visibilité optimisée facilite la protection des ressources de sauvegarde, la sécurisation des données sensibles et la mise en œuvre de mesures de Recovery proactives.

Améliorations apportées à Commvault AirGap

La détection et la protection contre les ransomwares sont essentielles. À mesure que les clients utilisent de plus en plus Commvault AirGap, ils recherchent des fonctionnalités plus étendues et des performances constantes sur tous les niveaux de stockage.

Nous avons enrichi Commvault AirGap de fonctionnalités telles qu’une hiérarchisation polyvalente des données primaires et secondaires, des mesures de contrôle pour la restauration et la conservation des données, ainsi que Threat Scan pour les environnements cloud et sur site. Cela permet aux clients d’optimiser leurs coûts de stockage tout en bénéficiant d’une protection solide.

Commvault Edge

Les entreprises doivent protéger leurs données et leurs applications dans leurs sites distants et leurs succursales avec la même efficacité que pour leurs déploiements sur site et dans le cloud.

Commvault Edge propose une image logicielle pouvant être installée sur une architecture de référence, assurant ainsi la protection des données sur des sites distants, le tout géré via un plan de contrôle centralisé. Vos administrateurs bénéficient d’une flexibilité et d’une visibilité accrues en choisissant le matériel adapté à l’installation de l’image logicielle HS Edge, ce qui leur permet de gérer et de protéger jusqu’à 200 To de données pour les points de vente, les sites de production, l’IoT et bien plus encore. De plus, grâce à son système d’exploitation basé sur Linux, pré-sécurisé et préconfiguré, cette image logicielle permet un déploiement rapide et une maintenance aisée.

Cloud Retour en arrière

Étant donné que 70 % des ressources cloud ne sont généralement pas protégées, parvenir à la cyber-résilience peut s’avérer une tâche ardue. Les entreprises souhaitent renforcer la protection de l’ensemble de leurs actifs et être prêtes à se remettre des menaces.

Cloud Rewind offre un moyen efficace de restaurer rapidement les données critiques, les applications cloud et les configurations à un état vierge. Il permet aux utilisateurs de rétablir rapidement leurs environnements cloud dans un état sûr et connu après un cyberincident, réduisant ainsi le temps de reprise de plusieurs semaines à quelques minutes. Cette capacité de reprise rapide est essentielle pour maintenir la cyber-résilience.

Clumio pour Amazon S3

Avec l’essor des applications modernes et de l’intelligence artificielle, Amazon S3 a connu une croissance fulgurante, ce qui en fait une cible de choix pour les attaques. La restauration de milliards d’objets à partir d’une sauvegarde peut s’avérer extrêmement lente, entraînant ainsi des temps d’indisponibilité prolongés.

Clumio Backtrack propose une solution révolutionnaire qui permet de revenir rapidement à une version spécifique d’objets Amazon S3 à tout moment. Cela se traduit par une cyber-résilience renforcée face aux erreurs et aux attaques, ainsi que par la possibilité de restaurer des milliards d’objets en quelques minutes grâce à la fonctionnalité « S3 Versioning » et à la technologie sans serveur. De plus, cette solution optimise les dépenses AWS en éliminant le besoin de copies supplémentaires des compartiments S3.

Remarque : Clumio pour Amazon S3 est également disponible sur AWS Marketplace.

Cleanroom Recovery pour AWS

Les clients qui utilisent AWS pour leurs déploiements dans le cloud souhaitent mener des exercices de Recovery au sein du même environnement afin d’optimiser leur efficacité.

Commvault a étendu la solution « Cleanroom Recovery » à AWS, ce qui vous permet de restaurer des charges de travail directement sur AWS. Grâce à cette extension, vous pouvez effectuer des tests de restauration dans un environnement qui reproduit fidèlement votre configuration de production, ce qui renforce la cohérence. De plus, grâce à une prise en charge élargie des plateformes cloud, votre entreprise bénéficie de la flexibilité nécessaire pour élaborer une stratégie de restauration adaptée à vos besoins.

Mise à l’échelle automatique pour Amazon EC2 Restore

Les utilisateurs d’AWS ont besoin de la fonctionnalité d’auto-scaling de Commvault pour la réplication, la restauration et l’indexation, afin de réduire au minimum le nombre de nœuds d’accès Commvault à longue durée de vie qu’ils doivent gérer dans leur environnement AWS. Commvault Cloud adapte désormais de manière dynamique la capacité de calcul d’Amazon EC2 pendant les opérations de restauration, de réplication et de migration, puis les arrête une fois celles-ci terminées afin de maintenir les coûts liés à la cyber-résilience à un niveau bas.

Vous pouvez simplifier la maintenance en réduisant le nombre de nœuds d’accès Commvault à longue durée de vie dans votre environnement AWS et réaliser des économies en n’utilisant les instances EC2 élastiques qu’en cas de besoin.

Backup & Recovery pour Google Workspace

Les risques liés à la sécurité des applications SaaS, tels que la suppression accidentelle, la corruption des données et les attaques malveillantes, peuvent nuire à la productivité. Étonnamment, seules 13 % des entreprises ont pleinement conscience de leur rôle dans la protection des données.

Commvault va encore plus loin en étendant la protection des applications SaaS à Google Workspace, couvrant ainsi les données de Gmail, Google Drive et Shared Drive. Cela signifie que vos données critiques de Google Workspace restent en sécurité et peuvent être restaurées en cas de perte.

Votre entreprise peut continuer à aller de l’avant grâce à des données accessibles et rapidement récupérables. De plus, vous pouvez garantir la conformité aux accords de niveau de service (SLA) grâce à une conservation prolongée et à l’intégration de Google Cloud Storage, le tout géré via une solution unique et unifiée pour Google Workspace et d’autres charges de travail SaaS, hybrides et natives du cloud.

Récupération de la forêt Active Directory

Lorsque Active Directory (AD) est hors ligne, la restauration de la forêt peut s’avérer un processus complexe, comportant de nombreuses étapes, qui doit être exécuté à la perfection. Sans automatisation, le risque est réel de restaurer AD dans un état inutilisable, ce qui entraînerait une perturbation supplémentaire de l’activité.

La solution de Commvault simplifie ce processus grâce à une restauration rapide en cas de corruption du schéma ou d’attaques par ransomware. En automatisant l’intégralité du processus de Recovery de la forêt, vous pouvez planifier et tester vos procédures à l’avance, ce qui réduit les temps d’arrêt et renforce la cyber-résilience. Vous avez ainsi l’esprit tranquille, sachant que votre forêt Active Directory peut être restaurée rapidement et efficacement dans un état sain.

Machines virtuelles source Nutanix AHV

Vous devez relever le défi de protéger des environnements d’exploitation variés et complexes ? Vous avez besoin de solutions fiables pour gérer efficacement ces environnements ? C’est là que Cleanroom Recovery entre en jeu. Désormais compatible avec les machines virtuelles Nutanix, cette solution vous aide à réagir rapidement aux menaces de sécurité et à rationaliser la validation de la restauration.

En quoi est-ce important ? Cette solution offre une couverture complète des environnements complexes, ce qui permet des restaurations plus complètes. De plus, grâce à la prise en charge d’un plus grand nombre de machines virtuelles et de charges de travail, les entreprises peuvent reprendre rapidement leurs activités, renforçant ainsi leur cyber-résilience et assurant la continuité de leurs opérations.

Intégration de Palo Alto Networks XSOAR

Les équipes de sécurité s’appuient souvent sur des plateformes SIEM/SOAR telles que XSOAR de Palo Alto Networks pour détecter les menaces et y répondre, mais l’absence d’intégration avec les solutions de Recovery les oblige à effectuer des opérations de restauration manuelles fastidieuses, ce qui retarde leur réaction face aux menaces actives.

Commvault Cloud Cleanroom Recovery s’intègre parfaitement à XSOAR de Palo Alto Networks, ce qui permet aux équipes de gérer les opérations de restauration directement depuis la plateforme XSOAR. Cette intégration accélère les délais de restauration grâce à des flux de travail automatisés, réduit les tâches manuelles afin que les équipes puissent se concentrer sur l’analyse des menaces, et centralise la gestion pour une meilleure collaboration et une réponse plus rapide aux incidents.

Backup and Recovery pour Kubernetes

À mesure que les entreprises modernisent leurs applications, nombreuses sont celles qui ont choisi Kubernetes comme plateforme de référence pour gérer de grands volumes de données dans le cadre d’applications en cloud hybride. Les administrateurs doivent effectuer des sauvegardes plus rapides et améliorer la Readiness pour la reprise après sinistre pour leurs applications et données conteneurisées. 

Commvault permet la Kubernetes Backup and Recovery, optimisées pour les volumes importants de données. Cette solution s’intègre de manière transparente au serveur API de Kubernetes pour détecter et collecter les données et les configurations des applications, offrant ainsi des performances et une fiabilité accrues pour les sauvegardes. 

Essayez Commvault Cloud gratuitement pendant 30 jours.