Les audits de conformité n'ont pas à vous gâcher la vie.

La recrudescence des violations de données, associée aux demandes des consommateurs d'un meilleur contrôle sur la manière dont les entreprises traitent leurs données personnelles, a donné naissance à un environnement règlementaire en constante évolution visant à contraindre les entreprises à mettre en place certains contrôles de sécurité et à engager leur responsabilité en cas de violations de données. Voici quelques exemples de normes règlementaires et de secteur que les entreprises sont tenues de respecter :

• La règlementation HIPAA (Health Insurance Portability and Accountability Act) de 1996 est une loi fédérale américaine qui interdit la divulgation de données relatives à la santé des patients contre leur volonté ou à leur insu.
• La norme PCI DSS (Payment Card Industry Data Security Standard) est un ensemble de normes de sécurité imposées par les grandes marques de cartes de paiement. Toute entreprise qui accepte, traite, stocke ou transmet des données associées à des cartes de paiement doit se conformer à la norme PCI DSS.
• La loi Sarbanes-Oxley (SOX) impose des contrôles et des bilans pour garantir que les données publiées par les entreprises sont exactes et transparentes et que les actionnaires des entreprises et le grand public sont protégés des erreurs comptables et des pratiques frauduleuses.

Toute personne travaillant dans le domaine de la GRC (gouvernance, risque et conformité) est rompue à l'exercice. Même si les risques organisationnels sont interdépendants et que les contrôles de sécurité sont partagés par tous les services, la conformité est généralement planifiée et gérée en silos. En plus d'augmenter le risque de non-conformité, ou pire encore, de violation, cette approche cloisonnée de la conformité entraîne une frénésie démesurée à l'approche des audits annuels de conformité. Le personnel GRC passe tellement de temps et d'énergie à traquer les justificatifs et à courir pour respecter les délais que le respect des délais et la réussite de l'audit prennent le pas sur les contrôles de sécurité eux-mêmes.

Toutefois, la conformité n'est pas un événement ponctuel. Les organisations sont tenues de maintenir leur conformité tout au long de l'année. De plus, les contrôles imposés par les cadres de conformité sont pour la plupart des pratiques de sécurité optimales que les entreprises devraient respecter de toute façon pour limiter le risque de violation de données.

Chaque utilisateur d'un réseau d'entreprise étant un facteur potentiel de risque, la sécurisation des identifiants des utilisateurs et la mise en place d'un accès zero-trust aux réseaux d'entreprise sont essentielles aux entreprises pour respecter les règlementations et normes PCI DSS, HIPAA, SOX, RGPD et autres cadres de conformité. La plupart des entreprises étant soumises à plusieurs cadres, il est essentiel d'automatiser autant de processus de conformité que possible pour éviter de faire peser des charges supplémentaires sur le personnel informatique et GRC déjà débordé.

La plateforme très bien notée de gestion des mots de passe en entreprise (EPM) de Keeper facilite la surveillance et les rapports de conformité en offrant aux administrateurs informatiques une visibilité et un contrôle complets sur l'utilisation des mots de passe des employés et un accès zero-trust au réseau basé sur des rôles dans tous les environnements de données. Keeper propose des contrôles internes robustes grâce à une administration déléguée, à des politiques d'exécution, au suivi des événements et à la surveillance avec des journaux d'audit personnalisables et des rapports d'événements.

Étant donné que les secrets des réseaux informatiques débloquent l'accès à des systèmes et des données hautement privilégiés, leur sécurisation est tout aussi essentielle à la prévention des cyberattaques que celle des mots de passe de l'utilisateur final. Toutefois, la prolifération des secrets et les mots de passe codés en dur et intégrés rendent la gestion des secrets encore plus difficile que la gestion des mots de passe des utilisateurs.

Intégré directement à l'EPM Keeper, ainsi qu'à Keeper Connection Manager, Keeper Secrets Manager est une plateforme zero-knowledge entièrement gérée et basée sur le cloud pour sécuriser les secrets des infrastructures comme les clés d'API, les mots de passe de bases de données, les certificats et tous autres types de données confidentielles.

Avec Keeper Secrets Manager, tous les serveurs, les pipelines CI/CD, les environnements de développeurs et le code source tirent les secrets d'un point de terminaison d'API sécurisé. Chaque secret est chiffré à l'aide d'une clé AES 256 bits, laquelle est chiffrée par une autre clé d'application AES-256. L'appareil client récupère le texte chiffré sur le cloud de Keeper et les secrets sont déchiffrés et utilisés au niveau local sur l'appareil, et non sur les serveurs de Keeper.