Dans un discours commun, Art Coviello, président de RSA et Tom Heiser Directeur des opérations de RSA, ont décrit une vision et une stratégie concrète qui démontrent la manière dont les éditeurs de sécurité peuvent exploiter la virtualisation et le Cloud pour construire des systèmes de type "contrôle du trafic aérien" pour la sécurité de l’information et ainsi proposer des infrastructures d’information plus sécurisées, conformes et gérables plus facilement.

“L’industrie de la sécurité ne dispose pas de système intégrant à la fois les personnes, les processus et les contrôles individuels de sécurité et qui soit administrable avec une vue corrélée, contextuelle et complète comme ce qui se fait dans l’industrie aéronautique pour garantir la sécurité de nos voies aériennes,” indique Art Coviello, Président de RSA, Division Sécurité d’EMC. “La gestion de la sécurité des informations doit fonctionner comme un système global capable de gérer efficacement nos infrastructures d’informations en fournissant une visibilité, une simplicité de gestion et un contrôle sur l’ensemble des trois domaines que sont le physique, le virtuel et le Cloud. Nous avons besoin d’un système qui nous permette de combler les écarts de protection et d’appliquer les contrôles de façon plus holistique et systémique, avec une centralisation de la gestion des contrôles pour un fournisseur donné mais aussi pour l’ensemble des contrôles de tous les fournisseurs de solutions de sécurité.”

Dans ce discours d’ouverture, les deux dirigeants de RSA ont souligné les défis auxquels les équipes informatiques doivent faire face résultant de la manière dont l’administration et l’application des contrôles de sécurité sont effectuées sur des infrastructures informatiques de plus en plus larges et hybrides : des approches en silos, inefficaces et basées sur des outils répondant chacun à un point unique de la problématique de sécurité. Art Coviello et Tom Heiser ont détaillé l’approche requise, représentée par trois couches travaillant de concert pour transcrire le système réussi de contrôle du trafic aérien dans le domaine de la sécurité de l’information :

– 1. Une Couche Controls Enforcement (mise en application des contrôles) là où se fait la détection et l’exécution des contrôles de sécurité sur l’ensemble de l’infrastructure. Dans un environnement idéal, beaucoup de ces contrôles seraient intégrés directement à l’infrastructure comme pour les systèmes d’exploitation et les réseaux, ce qui fournirait une protection omniprésente sans déployer et gérer des centaines d’outils mono-solution.

– 2. Une Couche Controls Management (gestion des contrôles) là où les entreprises peuvent provisionner et monitorer les contrôles de sécurité. L’établissement de cette couche offre l’occasion de consolider les nombreuses consoles de sécurité.

– 3. Une Couche Security Management ( gestion de la sécurité) là où sont définies les politiques qui gouvernent l’entreprise et l’infrastructure d’information, politiques basées sur les pré-requis de conformité, les meilleures pratiques de sécurité et la nature des risques. C’est aussi la couche où les événements et les alertes issus des contrôles à travers l’infrastructure viennent comme un ensemble et sont corrélés pour évaluer la conformité et apporter une re-médiation si besoin. Cette couche de visibilité est celle où ce qui étaient auparavant des technologies isolées, des entrées et des informations, sont reliées dans une plate-forme ou une structure unique comme pour un système de contrôle du trafic aérien.

“Le but final est de simplifier la gestion et d’améliorer l’alignement entre l’équipe de sécurité responsable de la définition des politiques de sécurité et l’équipe des opérations chargées de mettre en œuvre ces politiques” indique Tom Heiser, Chief Operations Officer de RSA, la division sécurité d’EMC. “En intégrant ces technologies, systèmes et remontées d’informations, nous permettons une approche holistique de la gestion du risque et de la conformité et une vue unifiée sur l’ensemble des environnements informatiques des éléments de sécurité et de conformité les plus importants. En effet, nous avons construit notre version du "contrôle du trafic aérien" pour l’infrastructure de l’information.”

Le discours a également détaillé comment cette même approche pourrait être utilisée par les entreprises pour leur transition vers le Cloud, en exploitant la virtualisation pour délivrer une sécurité plus efficace à travers un point unique de visibilité et de coordination des ressources physiques, virtuelles ou Cloud. Deux exemples de fonctionnalités de type contrôle aérien dans les environnements Cloud ont été donnés. Le premier, référencé comme démonstration technologique RSA, VMWare et Intel exploite la "Trusted Execution Technology" d’Intel et la plate-forme RSA ® Archer Enterprise GRC (Governance, Risk and Compliance), afin de créer une chaîne de confiance du processeur à l’hyperviseur jusqu’au système d’exploitation. Cette capacité est construite pour permettre de vérifier que les applications virtuelles fonctionnent sur une infrastructure qui n’a pas été compromise par des malwares. Le second exemple a décrit une nouvelle démonstration de technologie qui tire partie du processeur TXT d’Intel, de VMWare vCenter et de la plate-forme RSA Archer eGRC, technologie conçue pour contrôler et gérer l’emplacement géographique des VMS. Cette technologie a été développée pour permettre des restrictions basées sur les politiques de sécurité afin d’empêcher que des données et processus sensibles du Cloud voyagent vers des emplacements non autorisés.