Généralement, un audit de sécurité est une évaluation systématique du système ou de l’application d’un système d’information d’entreprise en évaluant sa conformité aux critères définis et établis. Ces audits vont de l’audit de la sécurité physique des données à la sécurité des bases de données. Il y a aussi l’audit technique et administratif de la sécurité. Les principaux systèmes audités sont les vulnérabilités du réseau telles que les autorisations d’accès, l’interception ainsi que la connectivité et la disponibilité. Il existe également des systèmes de contrôle qui sont audités, tels que des contrôles d’interception et des contrôles d’accès, pour garantir que les niveaux de protection des données sont toujours au maximum. Les autres domaines d’audit de sécurité incluent les mots de passe, les comptes d’utilisateurs spéciaux, l’accès à distance ainsi que les procédures de résiliation pour les autorisations expirées.

Audit de sécurité des services Web Amazon

Grâce à AWS CloudTrail, les comptes des utilisateurs sont régis et audités pour garantir la conformité et la sécurité. Cette conformité permet aux utilisateurs de comprendre les contrôles rigoureux placés sur AWS pour assurer la protection des données dans le cloud ainsi que le maintien des mesures de sécurité.

La sécurité et la conformité sont renforcées grâce à l’utilisation de :

• AWS CloudTrail vérifiable, Amazon CloudWatch, AWS CloudHSM qui garantissent que la capacité de collecte de preuves est en place pour vérifier toutes les actions en cours.
• Distribution des ressources via AWS CloudFormation
• L’automatisation des outils scriptables permet aux utilisateurs de créer un système fiable ainsi que le système de sécurité qui assure la gestion des risques en temps réel.

Un Audit de sécurité AWS est important à bien des égards. Les utilisateurs jouent également un rôle important dans l’amélioration de la sécurité dans le cloud, car ils conservent le contrôle de la sécurité qu’ils choisissent de mettre en œuvre pour protéger leur système, leur application et leur contenu. Les auditeurs d’Amazon délivrent des certificats après avoir vérifié que tous les contrôles de sécurité sont en place. Le principal point focal de l’audit est généralement la compréhension des services AWS utilisés ainsi que la prise en compte des programmes de gestion des risques et l’utilisation de l’environnement cloud.

Recommandé: Cinq façons de renforcer la sécurité de votre entreprise

Points focaux et approches d’audit de sécurité AWS

• Le premier domaine d’audit concerne les politiques, procédures et plans de gouvernance s’appliquant aux services AWS achetés, et les types de système ainsi que les informations intégrées aux services AWS.
• La gestion et la configuration du réseau doivent avoir suivi les exigences de sécurité de l’organisation. Cela traite de l’approche d’audit pour comprendre l’architecture réseau des utilisateurs des ressources AWS.
• Configuration des actifs et gestion des modifications avec l’approche d’audit consistant à valider si les vulnérabilités de sécurité des systèmes d’exploitation sont protégées ainsi que l’intégrité des actifs
• Contrôler l’accès aux ressources, processus et utilisateurs AWS logiques pour confirmer leur autorisation d’exécuter des fonctions spécifiques. Ici, l’audit se concentre sur l’identification de la manière dont les utilisateurs et les autorisations sont conçus pour les services AWS.
• Approche d’audit de chiffrement des données consistant à vérifier et valider les méthodes utilisées pour protéger les données.
• Enregistrement et surveillance de la sécurité si les systèmes sont conformes aux politiques et procédures définies.
• Surveiller les événements de sécurité et l’efficacité opérationnelle du contrôle de la réponse aux incidents pour les services AWS.
• Plans pour traiter les scènes de reprise après sinistre avec l’approche d’audit consistant à déterminer les plans de tolérance aux pannes pour les actifs critiques en cas de sinistre.
• Démonstration de la diligence raisonnable dans la sélection des prestataires de services par l’évaluation des certifications pour s’assurer de l’efficacité de fonctionnement des contrôles hérités.

Ceci est un article de contributeur invité.