Alibaba Cloud reconnaît l'importance de l'évaluation des risques pour les clients qui adoptent des solutions cloud afin d'héberger leurs systèmes métier et leurs données. Un processus d'évaluation des risques bien défini permet d'identifier les risques de sécurité potentiels et de les maintenir sous un seuil acceptable. Cette section fournit des orientations pour aider les clients à mener efficacement leurs évaluations des risques, en s'appuyant sur le cadre de sécurité d'Alibaba Cloud.

Alibaba Cloud suit le modèle de responsabilité partagée, dans lequel les responsabilités de sécurité entre Alibaba Cloud et les clients varient en fonction du type de service cloud sélectionné :

Infrastructure as a Service (IaaS)

â Responsabilités d'Alibaba Cloud : garantir la sécurité des centres de données physiques, de l'infrastructure réseau et de la plateforme cloud, ainsi que la conformité aux réglementations mondiales.
â Responsabilités du client : sécuriser les applications développées en interne, les charges de travail, les données métier et utilisateur hébergées sur le cloud. Assurer des opérations de sécurité continues.

Platform as a Service (PaaS)

â Responsabilités d'Alibaba Cloud : en plus des responsabilités IaaS, garantie de la sécurité des machines virtuelles, responsabilité partagée en matière de sécurité applicative et intégration de solutions de sécurité tierces.
â Responsabilités du client : sécurisation du code applicatif et des données, gestion des comptes cloud et configuration des contrôles d'accès. Mise en œuvre des bonnes pratiques de sécurité dans le développement d'applications cloud.

Software as a Service (SaaS)

â Responsabilités d'Alibaba Cloud : garantir la sécurité des applications, la sécurité des services hébergés dans le cloud et les politiques d'accès réseau.
â Responsabilités du client : sécuriser les identifiants de compte, les politiques d'accès utilisateur et les configurations de sécurité des données.

Pour gérer efficacement les risques de sécurité, les clients doivent :

1. Comprendre la répartition des responsabilités de sécurité lors du choix d'un modèle IaaS, PaaS ou SaaS.

2. Tirer parti des capacités de sécurité d'Alibaba Cloud pour renforcer les stratégies d'atténuation des risques.

3. Concevoir une architecture cloud intégrant la sécurité dès la conception, en veillant à l'alignement sur les bonnes pratiques et les exigences de conformité.

Alibaba Cloud fournit une suite complète d'outils et de services de sécurité pour aider ses clients à mettre en œuvre des environnements cloud sécurisés. Les clients doivent configurer et utiliser activement ces fonctionnalités de sécurité afin de renforcer leur posture de sécurité cloud.

Alibaba Cloud maintient un programme de conformité continu pour garantir le respect des normes de sécurité internationales, régionales et sectorielles. Nos certifications de sécurité et de conformité comprennent :

â ISO 27001 (gestion de la sécurité de l'information)
â Rapports SOC 1 / SOC 2 / SOC 3
â Autres attestations de sécurité mondiales et sectorielles

Accès aux rapports de conformité

â Les clients peuvent télécharger les rapports de conformité de sécurité depuis le Trust Center d'Alibaba Cloud après avoir signé un accord de confidentialité (NDA).
â Ces rapports, émis par des auditeurs externes indépendants, évaluent l'efficacité de la sécurité et les mécanismes de contrôle d'Alibaba Cloud.
â En examinant ces rapports d'audit, les clients peuvent valider les engagements de sécurité d'Alibaba Cloud et s'assurer de leur cohérence avec leurs cadres internes d'évaluation des risques.

Alibaba Cloud dispose d'un cadre complet de gestion des risques conçu pour garantir la sécurité opérationnelle et le développement durable de notre activité. En intégrant des processus stratégiques d'identification, d'évaluation et d'atténuation des risques, nous renforçons notre capacité à gérer de manière proactive les menaces potentielles tout en maintenant la conformité aux normes réglementaires. Notre cadre de gouvernance des risques s'aligne sur les meilleures pratiques internationales, garantissant la continuité d'activité, la conformité réglementaire et l'excellence opérationnelle.

Le cadre de gestion des risques d'Alibaba Cloud adopte une approche globale et structurée pour identifier, évaluer, atténuer et surveiller les risques au sein de notre organisation. Nous privilégions une gouvernance proactive des risques afin de garantir que toutes les unités opérationnelles évoluent dans un environnement de risque sûr et résilient.

Les aspects clés de notre approche de gestion des risques comprennent :
• Amélioration des processus et méthodologies de gestion des risques
• Modèles efficaces d’identification, d’évaluation et de gouvernance des risques
• Mécanismes de réponse aux situations d’urgence éprouvés

â Exhaustivité et cohérence : afin de garantir une approche structurée et globale de la gestion des risques, notre cadre s'applique à l'ensemble des collaborateurs d'Alibaba Cloud et repose sur un langage unifié de gestion des risques. Chaque unité opérationnelle gère ainsi les risques de manière systématique tout en favorisant une forte culture de sensibilisation au risque dans les opérations quotidiennes.

● Gestion catégorisée et graduée : les risques sont classés et hiérarchisés dynamiquement, avec une responsabilité claire attribuée au personnel compétent.

â Gouvernance diversifiée : en fonction des exigences de gestion des risques et des réalités opérationnelles, nous élaborons des stratégies et des mesures ciblées permettant une anticipation proactive des risques, une prise de décision fondée sur les données et une gestion efficace.

Alibaba Cloud suit un modèle d'évaluation des risques organisé et structuré afin de garantir l'identification, l'évaluation et l'atténuation en temps utile des menaces potentielles. Notre méthodologie comprend :

â Identification des risques : nous exploitons des systèmes automatisés, des audits internes et des sources d'information externes pour surveiller et détecter les risques potentiels.
â Évaluation des risques : nous évaluons les risques en fonction de leur impact potentiel sur les opérations commerciales, la conformité réglementaire, la sécurité, la stabilité financière et la confiance des clients.
â Gouvernance des risques : les risques sont classés par priorité selon leur probabilité et leur gravité, permettant ainsi des stratégies d'atténuation ciblées.

● Réponse aux incidents : en cas d'incident de sécurité imprévu, Alibaba Cloud applique une approche de classification et de réponse graduée. Selon la nature, le niveau de menace et l'impact potentiel de l'incident, nous constituons immédiatement des équipes de réponse d'urgence dirigées par des experts, qu'il s'agisse d'une seule équipe ou de plusieurs. Notre démarche couvre l'alerte précoce et la réponse, l'évaluation et l'atténuation en temps réel, ainsi que la revue et la gouvernance post-incident, afin de réduire au minimum l'impact sur la plateforme d'Alibaba Cloud et sur les activités de nos clients.

â Exercices d'urgence : dans le cadre de ses opérations courantes, Alibaba Cloud réalise des exercices d'urgence adaptés aux exigences de conformité des différents pays et régions. Ces exercices permettent d'évaluer la maîtrise des responsabilités, la rapidité de réaction et l'efficacité de la coordination des équipes responsables, afin de garantir la conformité, de renforcer les capacités de réponse et d'accumuler de l'expérience en gestion d'incidents.

Alibaba Cloud applique une gestion stricte des journaux tout au long des opérations quotidiennes, couvrant plusieurs dimensions, notamment les hôtes, le réseau, les applications et les produits cloud, afin de garantir que les activités non autorisées et les comportements anormaux sont surveillés et détectés en détail. Cette section décrit l'approche exhaustive d'Alibaba Cloud en matière de journalisation d'audit pour renforcer continuellement notre posture de sécurité.

Alibaba Cloud déploie une stratégie centralisée de gestion des journaux afin de garantir une vision globale de notre environnement cloud. Elle renforce à la fois la sécurité et l'efficacité opérationnelle grâce à divers types de journaux provenant de multiples sources : serveurs, applications, équipements réseau et systèmes de sécurité. Les ingénieurs d'exploitation et de maintenance d'Alibaba Cloud ne sont autorisés à effectuer des opérations de maintenance sur le système de production que via des hôtes bastion. L'intégralité des opérations est consignée dans des journaux. Une fois collectés, ceux-ci sont transmis en toute sécurité à notre plateforme centrale de journalisation, point unique de stockage et de gestion de l'ensemble des données des journaux.

L'analyse des journaux est au cœur de la stratégie de gestion centralisée des journaux d'Alibaba Cloud. La plateforme centralisée de journalisation intègre des règles d'audit et de surveillance permettant de suivre les activités sensibles et de détecter les comportements suspects. Ce processus s'appuie sur des analyses avancées, notamment des algorithmes d'apprentissage automatique, pour identifier les modèles, les anomalies et les menaces de sécurité potentielles. Des mécanismes de surveillance et d'alerte en temps réel déclenchent des notifications sur la plateforme de surveillance de sécurité et ouvrent un ticket destiné à l'équipe de sécurité pour examen et suivi, garantissant ainsi la maîtrise des risques identifiés.

La stratégie interne de gestion centralisée des journaux d'Alibaba Cloud joue un rôle essentiel pour garantir la protection des données de journal en matière d'intégrité, de confidentialité et de disponibilité. Cet objectif est atteint grâce à une combinaison de mesures de sécurité robustes et de bonnes pratiques, notamment :

● Restrictions d'accès : la Plateforme centrale de gestion des journaux d'Alibaba Cloud fournit uniquement des interfaces de collecte et de consultation des journaux ; les interfaces de modification et de suppression sont désactivées. L'accès aux journaux est réservé au personnel autorisé, sur approbation selon le type d'accès, afin de protéger les données du référentiel central contre les accès, modifications et suppressions non autorisés.

● Stockage sécurisé : Alibaba Cloud veille à ce que les données des journaux soient stockées dans un environnement protégé et maîtrisé, avec des mesures de sécurité strictes contre les accès non autorisés, les altérations et les pertes. Des mécanismes de stockage robustes garantissent l'intégrité et la disponibilité des données des journaux, qui restent ainsi sécurisées et accessibles en cas de besoin. Une surveillance continue et des pratiques de protection renforcent la sécurité des journaux stockés, conformément aux exigences opérationnelles et de conformité.

● Conservation des journaux : Alibaba Cloud détermine les durées de conservation en fonction des exigences réglementaires, des obligations légales et des besoins métier. En règle générale, la plupart des journaux d'audit sont conservés au moins six mois, conformément aux objectifs de sécurité, d'exploitation et de conformité.

● Sauvegarde des journaux : Alibaba Cloud met en œuvre des processus de sauvegarde automatisés afin de réduire le risque d'erreur humaine et de garantir des sauvegardes cohérentes et sécurisées.

Alibaba Cloud met en œuvre un cadre solide de gestion des accès pour protéger les systèmes et les données, en veillant à ce que seul le personnel autorisé puisse accéder à des ressources spécifiques et restreintes. Notre approche comprend l'identification des niveaux d'accès nécessaires, l'application du principe du moindre privilège, une surveillance continue, ainsi que des révisions et audits réguliers des droits d'accès. Cette section détaille les pratiques exhaustives d'Alibaba Cloud en matière de gestion des accès, soulignant notre engagement à maintenir des normes de sécurité rigoureuses et à protéger la confiance de nos clients.

Le cadre rigoureux de gestion des accès d'Alibaba Cloud constitue le fondement de notre architecture zero trust, dans le respect des principes de moindre privilège et du besoin d'en connaître. Nous appliquons des contrôles d'accès stricts aux données clients, garantissant que les employés ne peuvent accéder à ces informations qu'avec l'autorisation explicite du client. Les clients conservent l'entier contrôle, la gestion et la propriété de leurs données. Alibaba Cloud n'utilise ni ne dérive jamais d'informations à partir des données clients à des fins de marketing, de publicité ou à toute autre fin non autorisée. Les principales pratiques de gestion des accès comprennent :

â Isolation logique : Alibaba Cloud a mis en place une architecture robuste d'isolation des locataires qui place par défaut les utilisateurs dans des environnements séparés, empêchant tout accès non autorisé aux données d'autrui ou toute interférence avec celles-ci.

â Contrôle d'accès basé sur les rôles (RBAC) : nous utilisons le RBAC pour attribuer un ensemble limité de permissions par défaut en fonction du poste et du rôle de chaque employé au sein de l'organisation, garantissant ainsi que les employés n'accèdent qu'aux ressources nécessaires à leurs responsabilités professionnelles.

â Gestion automatisée des comptes : un système centralisé de gestion des permissions traite les demandes d'accès, les approbations ainsi que la mise à disposition ou la suppression automatique des accès. Ce système se synchronise avec le système des ressources humaines pour ajuster les permissions lorsqu'un employé quitte l'entreprise ou change de poste.

â Séparation des tâches : dans le cadre du processus d'approbation des accès, Alibaba Cloud applique la séparation des tâches en attribuant des rôles distincts aux demandeurs, aux approbateurs et aux administrateurs du système de gestion. Cela garantit que seules les permissions appropriées sont accordées après des approbations objectives.

â Authentification multifacteur (MFA) : pour ajouter une couche de sécurité supplémentaire, la MFA est requise pour accéder aux systèmes et ressources de production. Même si un mot de passe est compromis, l'accès non autorisé reste bloqué.

â Révision et surveillance des accès : des règles d'audit et de surveillance définies au sein du système de surveillance des accès analysent l'utilisation des comptes et les permissions, détectent les utilisations abusives potentielles et génèrent des alertes automatiques pour notifier l'équipe de sécurité de tout écart ou exception. L'équipe de sécurité est chargée d'enquêter sur les alertes et de prendre les mesures appropriées.

â Formation et sensibilisation à la sécurité : des formations régulières sur les bonnes pratiques de sécurité, incluant la gestion sécurisée des accès et la reconnaissance des tentatives de phishing ou d'autres attaques d'ingénierie sociale, sont dispensées à tous les employés. Cette formation continue favorise une culture de sécurité solide au sein de l'entreprise.

Alibaba Cloud déploie des mesures de contrôle d'accès complètes afin de garantir que tout accès à ses systèmes de production est sécurisé, auditable et conforme aux bonnes pratiques en matière de cybersécurité. Par défaut, les employés chargés de l'exploitation de ces systèmes n'ont pas accès au contenu des clients. Les clients conservent un contrôle total sur l'octroi d'accès externes et temporaires à leurs ressources Alibaba Cloud via le service de tickets de la console de gestion, où l'accès est strictement régi par les paramètres d'autorisation configurés par le client.

En fonction des risques potentiels associés aux différents niveaux d'accès, Alibaba Cloud classe les autorisations d'accès en trois catégories : utilisateurs standards, administrateurs d'applications et administrateurs système. Les collaborateurs ayant besoin d'accéder à des serveurs physiques, à des équipements réseau ou à des machines virtuelles doivent soumettre une demande précisant la durée d'accès souhaitée et obtenir l'approbation du personnel autorisé. À l'expiration de la période d'accès ou à l'achèvement de la tâche, les autorisations sont rapidement révoquées afin d'éviter tout droit d'accès résiduel.

L'accès aux systèmes de production est strictement encadré et surveillé. Les employés ne peuvent y accéder que via des bastions, qui requièrent une authentification à deux facteurs (2FA). Toutes les activités réalisées dans les systèmes de production via les bastions sont journalisées en temps réel et transférées vers une plateforme centralisée de gestion des journaux à des fins d'analyse et d'audit.

Alibaba Cloud reconnaît pleinement l'importance cruciale du chiffrement des données pour répondre aux exigences strictes de protection des données. Nos solutions de chiffrement garantissent la confidentialité, l'authenticité et l'intégrité des données sensibles grâce à des techniques cryptographiques de pointe. Cette section présente nos mécanismes de chiffrement de bout en bout, conçus pour protéger le contenu des clients tout au long de son cycle de vie. Ces mécanismes comprennent le chiffrement en transit, le chiffrement au repos et les services de calcul chiffré basés sur le matériel. Nous nous engageons à améliorer continuellement nos technologies afin de nous aligner sur les bonnes pratiques en matière de sécurité et de confidentialité des données.

Le chiffrement en transit protège les données lors de leur acheminement sur les réseaux, garantissant que les informations sensibles restent confidentielles, intègres et authentiques de l'expéditeur au destinataire. Alibaba Cloud fournit plusieurs mécanismes de protection des données en transit, notamment :

â Transmission sécurisée des données via la console de gestion : la console de gestion Alibaba Cloud utilise le chiffrement HTTPS pour les transmissions de données lorsque les clients effectuent des opérations via la console, garantissant la sécurité et la confidentialité des interactions.

â Points d'accès API sécurisés : les produits Alibaba Cloud fournissent aux clients des points d'accès API prenant en charge HTTPS avec un chiffrement de clé jusqu'à 256 bits, répondant aux exigences de transmission sécurisée des informations sensibles.

â Algorithmes et protocoles de chiffrement sécurisés : Alibaba Cloud propose des algorithmes de chiffrement haute sécurité tels qu'AES-256 et des protocoles cryptographiques comme IPsec et TLS, associés à des mécanismes stricts d'authentification et d'autorisation pour empêcher la compromission des données chiffrées.

â Chiffrement de bout en bout sécurisé : les produits de passerelle réseau Alibaba Cloud offrent un chiffrement de bout en bout lors de la transmission des données. Par exemple, les clients peuvent utiliser nos produits VPN Gateway pour établir des connexions IPsec-VPN et SSL-VPN selon leurs besoins, garantissant que toutes les données transmises via ces canaux chiffrés restent confidentielles, authentiques et inviolables.

Alibaba Cloud propose des solutions de chiffrement complètes pour les données au repos sur l'ensemble de ses services, permettant aux clients de chiffrer les données stockées à l'aide de techniques cryptographiques avancées.

â Mécanisme de chiffrement par enveloppe : ce mécanisme repose sur une hiérarchie de clés composée d'au moins deux couches :

 âCustomer Master Key (CMK) : utilisée pour chiffrer ou déchiffrer les clés de chiffrement de données (DEK).
 âData Encryption Key (DEK) : utilisée pour chiffrer ou déchiffrer les données métier.

â Bring Your Own Key (BYOK) : Alibaba Cloud propose plusieurs produits qui prennent en charge les clés de chiffrement gérées par l'utilisateur, notamment la possibilité pour les clients d'importer leurs propres CMK dans le cadre de la fonctionnalité BYOK ou de générer leurs propres CMK au sein de Key Management Service (KMS).

â Mesures de protection des clés : Alibaba Cloud met en œuvre des mesures de protection des clés conformes aux normes du secteur en s'appuyant sur son infrastructure KMS, qui respecte les recommandations NIST 800-57 et utilise des algorithmes cryptographiques certifiés ainsi que des modules de sécurité matériels (HSM).

 âLes HSM utilisés en dehors de la Chine continentale sont certifiés FIPS 140-2 Niveau 3.
 âKMS intègre une fonction de rotation automatique des clés, permettant aux clients de configurer une rotation automatique pour les CMK.

● Chiffrement dès la conception : les fonctionnalités de chiffrement des données sont intégrées à différents produits Alibaba Cloud, notamment Elastic Block Storage (EBS), Object Storage Service (OSS), le Service de base de données relationnelle (RDS), MaxCompute et le stockage de fichiers NAS. Par exemple, OSS prend en charge le chiffrement côté serveur et côté client :

 â—‹Chiffrement côté serveur : OSS utilise des clés gérées par le service ou des CMK BYOK pour chiffrer les données.
 â—‹Chiffrement côté client : OSS permet aux clients d'utiliser leurs propres clés ou des CMK générées dans KMS d'Alibaba Cloud pour chiffrer les données avant leur téléversement.

La stratégie robuste de sécurité réseau d'Alibaba Cloud constitue le fondement de la confiance et de la fiabilité des services. Pour atténuer efficacement les risques de sécurité réseau, nous nous concentrons sur le renforcement de l'architecture réseau, l'application de contrôles d'accès réseau rigoureux et l'exploitation de mécanismes avancés de détection et de prévention contre les menaces réseau. Cette section présente nos stratégies de sécurité réseau multicouches, conçues pour optimiser en continu la posture de sécurité de nos environnements réseau.

Alibaba Cloud conçoit la sécurité réseau dès la phase initiale d'architecture afin de garantir sa robustesse, son évolutivité et sa fiabilité. Nous mettons en œuvre une approche de protection réseau multicouche, couvrant différentes couches, de la défense périmétrique à la segmentation interne. Cette approche par couches isole les ressources critiques et réduit le risque de mouvement latéral des attaquants, renforçant ainsi la sécurité globale du réseau.

â Segmentation du réseau : Alibaba Cloud met en œuvre des mesures d'isolation réseau afin de renforcer la sécurité et le contrôle en divisant le réseau en environnements de production et de non-production. Cette séparation empêche les acteurs malveillants de se déplacer librement au sein du réseau. De plus, nous segmentons davantage le réseau de production afin de séparer les réseaux de services cloud fournissant des services externes des réseaux physiques prenant en charge les fonctionnalités sous-jacentes des services cloud.

â Contrôles d'accès réseau stricts : l'accès au réseau physique depuis le réseau de services cloud est désactivé par défaut via des ACL réseau configurées. Alibaba Cloud applique également des mesures de contrôle réseau strictes pour empêcher les appareils non autorisés de se connecter au réseau interne et pour empêcher les serveurs physiques d'initier des connexions vers des appareils externes. De plus, nous déployons des hôtes bastion aux frontières du réseau de production pour une gestion et un contrôle centralisés, garantissant que toutes les activités d'accès au sein des réseaux de production sont auditées et enregistrées.

En plus de l'isolation réseau et de contrôles d'accès réseau rigoureux, Alibaba Cloud déploie des mécanismes de détection et de prévention des intrusions réseau pour se prémunir contre les activités réseau malveillantes.

● Détection et prévention réseau en temps réel : Alibaba Cloud utilise des systèmes de détection d'intrusion réseau (IDS) sophistiqués aux frontières du réseau et au sein des segments internes. Ils surveillent automatiquement le trafic afin de repérer les signes d'activités suspectes ou non autorisées et d'alerter notre équipe de sécurité de tout comportement réseau malveillant. Nous appliquons en outre des règles de système de prévention d'intrusion (IPS) pour bloquer le trafic malveillant et assurer une protection proactive contre les menaces.

● Réponse et investigation rapides : Alibaba Cloud intègre ses mécanismes de détection et de prévention des intrusions à une plateforme de surveillance des incidents de sécurité, permettant une analyse rapide des activités réseau suspectes et une réponse immédiate aux intrusions. Cette intégration réduit au minimum la fenêtre de tir des attaquants.

● Amélioration continue de la sécurité : grâce aux renseignements sur les menaces tirés de chaque incident de sécurité, l'équipe de sécurité d'Alibaba Cloud met à jour en continu les règles de détection et de prévention afin de renforcer la sécurité réseau et de devancer les menaces émergentes.

Alibaba Cloud met en œuvre un programme complet de gestion des fournisseurs visant à encadrer les interactions avec les fournisseurs et les employés tiers, garantissant la sécurité tout au long du cycle de vie de la gestion des fournisseurs. Cette section présente nos dispositifs de contrôle avant, pendant et après l'engagement des fournisseurs, reflétant notre engagement durable en faveur de l'optimisation de la sécurité des données et de la conformité dans la gestion des fournisseurs.

Lors de la phase d'intégration des fournisseurs, Alibaba Cloud met en œuvre une série de mesures d'évaluation et de contrôle de sécurité rigoureuses, axées sur la sécurité de l'information et la protection des données, afin de garantir que chaque fournisseur répond à nos normes de sécurité élevées :

â Diligence raisonnable des fournisseurs : pour les fournisseurs traitant des données personnelles, l'équipe de sécurité et de conformité d'Alibaba Cloud effectue une diligence raisonnable approfondie. Cette évaluation porte sur les capacités du fournisseur en matière de sécurité des données et de conformité, couvrant ses cadres de gestion de la sécurité de l'information, ses politiques de chiffrement des données, ses mécanismes de contrôle d'accès, ses plans de réponse aux incidents et autres pratiques pertinentes. L'objectif est de garantir que les fournisseurs protègent efficacement les données personnelles conformément à nos normes définies.

â Exigences contractuelles de sécurité : avant le début des travaux, tous les fournisseurs doivent signer un contrat précisant leurs droits et obligations, le périmètre des services, les clauses de confidentialité, les exigences de sécurité et de conformité, ainsi que les niveaux de service. Ce contrat régit la relation entre Alibaba Cloud et ses fournisseurs, garantissant des attentes et des responsabilités claires.

Pour s'assurer que les fournisseurs respectent en permanence les politiques strictes de sécurité de l'information et de protection des données tout au long du partenariat, Alibaba Cloud a mis en place un mécanisme de surveillance proactif :

â Gestion du personnel tiers : les employés des fournisseurs d'Alibaba Cloud n'obtiennent l'accès au réseau interne qu'après avoir suivi avec succès la formation obligatoire de sensibilisation à la sécurité de l'information et réussi un test de sécurité des données. Les comportements d'accès des employés des fournisseurs sont gérés et surveillés par notre système de gestion des accès, empêchant tout accès non autorisé aux données.

â Surveillance continue de la conformité : Alibaba Cloud effectue un suivi régulier des fournisseurs pour garantir la conformité à nos normes de sécurité de l'information et de protection des données tout au long du partenariat. Par exemple, les prestataires de services de centres de données doivent soumettre des rapports mensuels à des fins d'examen, couvrant divers aspects tels que les journaux d'accès, les incidents majeurs, les résumés des activités de maintenance et les données clés des systèmes de surveillance, afin d'assurer le fonctionnement sûr et stable des centres de données.

â Liste des sous-traitants : Alibaba Cloud limite le nombre de fournisseurs autorisés à agir en tant que sous-traitants pour le traitement du contenu des membres au nom des clients. Ces sous-traitants se répartissent en deux catégories :

  â les entités affiliées à Alibaba Cloud qui fournissent l'infrastructure prenant en charge les produits et services d'Alibaba Cloud ;

  â les fournisseurs tiers mandatés par Alibaba Cloud pour effectuer des activités de traitement spécifiques pour certains services. Les clients peuvent accéder à la liste des sous-traitants d'Alibaba Cloud en se connectant à leur compte Alibaba Cloud.

Alibaba Cloud exploite un portefeuille mondial de centres de données afin de fournir une puissance réseau et de calcul hautement fiable, efficace et sécurisée à ses clients et partenaires. Ces centres de données constituent l'épine dorsale des plus de 200 produits et services d'Alibaba Cloud. Pour assurer la protection de l'infrastructure et des données clients, Alibaba Cloud a mis en place un programme robuste de sécurité physique et environnementale, qui constitue la première ligne de défense contre les menaces allant des catastrophes naturelles aux intrusions physiques malveillantes. Cet article présente l'approche multicouche d'Alibaba Cloud pour sécuriser ses centres de données et notre engagement continu à renforcer les mesures de sécurité.

Sélection du site

Avant d'établir un centre de données, Alibaba Cloud réalise des évaluations rigoureuses pour identifier et atténuer les risques potentiels liés au site. Les emplacements sont stratégiquement choisis afin de minimiser l'exposition aux catastrophes naturelles telles que les séismes, les inondations et les événements météorologiques extrêmes. Nos zones de disponibilité sont conçues pour être indépendantes et géographiquement séparées, renforçant ainsi la résilience.

Redondance électrique

Pour garantir un service ininterrompu 24h/24 et 7j/7, les centres de données d'Alibaba Cloud disposent d'une double alimentation principale et de systèmes électriques redondants. Les alimentations primaire et secondaire offrent une capacité identique. En cas de panne, des batteries de secours et des générateurs diesel prennent le relais pour maintenir les opérations du centre de données sur une période prolongée, assurant une disponibilité continue du service.

Zones sécurisées et compartimentation

Alibaba Cloud met en œuvre des contrôles de sécurité physique stricts en segmentant les installations des centres de données en zones désignées, notamment les salles de serveurs, les espaces de bureau et les zones de livraison. Chaque zone est compartimentée en fonction des niveaux de sensibilité, avec des mesures de sécurité renforcées en conséquence

Contrôle d'accès des employés

Les centres de données d'Alibaba Cloud sont accessibles uniquement aux employés autorisés. Les permissions d'accès doivent être demandées avec une justification professionnelle valable et sont accordées selon le principe du moindre privilège. Tous les droits d'accès sont limités dans le temps et nécessitent l'approbation du personnel autorisé. Les employés ne peuvent accéder qu'aux zones désignées, et les permissions d'accès sont révoquées à leur expiration.

Accès des tiers

Les prestataires externes et les visiteurs doivent soumettre leurs demandes d'accès à l'avance, en fournissant des justificatifs métier. Leur accès est limité aux zones approuvées et accordé selon le principe du moindre privilège. Les visiteurs doivent être escortés en permanence par du personnel autorisé d'Alibaba Cloud. Les autorisations d'accès sont automatiquement révoquées à l'issue de la période approuvée.

Surveillance de sécurité

Les centres de données d'Alibaba Cloud sont équipés de vidéosurveillance à tous les points d'accès clés, notamment les entrées, les zones de livraison d'équipements et les zones d'accès critiques. Les enregistrements de surveillance sont conservés conformément aux exigences légales et de conformité. Par ailleurs, les journaux d'accès font l'objet d'examens réguliers et sont stockés de manière sécurisée afin de surveiller les activités et de détecter les anomalies.

Gestion des actifs

Alibaba Cloud a mis en place un système de gestion de la sécurité qui couvre l'ensemble du cycle de vie des dispositifs de stockage : réception, déploiement, maintenance, transfert, réutilisation ou déclassement. Chaque équipement est enregistré dans un système de gestion des actifs et se voit attribuer un responsable. Des contrôles d'accès stricts et une surveillance continue garantissent la sécurité de tous les actifs matériels. Une maintenance régulière et des audits sont réalisés pour vérifier la conformité.

Sécurité des supports de stockage

Lorsque les supports de stockage sont mis hors service, Alibaba Cloud suit la norme NIST SP 800-88 pour l'assainissement sécurisé des données. Les données stockées sont effacées à plusieurs reprises afin de garantir leur suppression définitive. Les supports de stockage inutilisés sont physiquement détruits par broyage. L'ensemble du processus d'assainissement et d'élimination est documenté et conservé à des fins d'audit.

Contrôle climatique

Les centres de données d'Alibaba Cloud sont équipés de systèmes de climatisation de précision qui maintiennent des niveaux optimaux de température et d'humidité. Ces conditions font l'objet d'une surveillance électronique et tout écart déclenche une alarme automatique, entraînant une action corrective immédiate.

Extinction des incendies

Les centres de données d'Alibaba Cloud sont équipés de systèmes de détection incendie avancés, intégrant des capteurs thermiques et de fumée. Ces capteurs, positionnés au plafond et au sol, déclenchent des alarmes sonores et visuelles en cas d'activation. Chaque centre de données dispose également d'un système d'extinction automatique à gaz et d'extincteurs. Des exercices et des formations régulières à la sécurité incendie sont organisés pour le personnel afin de garantir une réactivité optimale.

Prévention des inondations

Les centres de données d'Alibaba Cloud sont construits avec des matériaux étanches et sont conformes aux normes nationales de résistance à l'eau. Les bâtiments font l'objet d'inspections régulières pour détecter l'humidité et les fuites, avec une intervention immédiate en cas de problème détecté. Les sols sont conçus avec des systèmes de drainage et des couches d'isolation pour prévenir les inondations. Des capteurs de détection d'eau sont placés stratégiquement près des conduites d'eau et déclenchent des alarmes en cas de fuite, permettant une intervention immédiate.

Exercices et inspections

Les centres de données d'Alibaba Cloud réalisent régulièrement des exercices et des inspections de sécurité, simulant des incidents physiques et environnementaux potentiels tels que des coupures de courant. Les résultats de ces exercices sont documentés et les enseignements tirés sont intégrés aux améliorations de sécurité.

Surveillance et analyse en temps réel

Le personnel sur site travaille par roulement pour assurer une surveillance continue des opérations des centres de données d'Alibaba Cloud. Les systèmes de surveillance en temps réel suivent les conditions environnementales, notamment la température et l'humidité, ainsi que les performances des serveurs. Si un paramètre s'écarte de la plage normale, des alertes automatiques sont déclenchées, permettant une intervention immédiate du personnel sur site.

Audits tiers et conformité

Les centres de données d'Alibaba Cloud respectent les normes de sécurité les plus exigeantes du secteur, notamment ISO 27001 (management de la sécurité de l'information) et ISO 22301 (management de la continuité d'activité). Des auditeurs tiers indépendants évaluent régulièrement la conformité à ces normes. Pour en savoir plus, consultez le Trust Center et le référentiel de conformité d'Alibaba Cloud.

Alibaba Cloud exploite un système de sécurité de l'information de premier ordre, intégrant des processus rigoureux pilotés par une équipe hautement qualifiée de surveillance et d'intervention. L'équipe d'intervention en cas d'incident d'Alibaba Cloud est une unité spécialisée dans la gestion et l'atténuation des incidents de sécurité. Elle joue un rôle essentiel dans la protection et l'intégrité des données clients, en répondant rapidement à tout événement imprévu susceptible de perturber la qualité du service ou de menacer la sécurité.

Selon la nature de l'incident, l'équipe d'intervention peut inclure des experts des domaines suivants :

â Commandant de la réponse aux incidents

â Coordinateurs d'incidents

â Spécialistes en sécurité

â Spécialistes R&D et ingénierie

â Spécialistes juridique et conformité

â Spécialistes relations publiques et affaires gouvernementales

â Spécialistes support client

Alibaba Cloud utilise des systèmes de surveillance continue et de détection avancée des menaces pour identifier les incidents de sécurité et y répondre en temps réel. Le cadre de réponse aux incidents est conçu pour garantir un traitement rapide et efficace, en minimisant leur impact sur la qualité de service et l'expérience client. L'objectif principal d'Alibaba Cloud en matière de réponse aux incidents est de gérer et d'atténuer efficacement les incidents de sécurité afin d'assurer la continuité, la disponibilité et la sécurité de l'environnement cloud.

Alibaba Cloud suit une approche en cinq étapes pour répondre efficacement aux incidents de sécurité :

1. Détection et identification – Les incidents de sécurité potentiels sont identifiés à l'aide d'outils de surveillance avancés, notamment des systèmes de détection d'intrusion (IDS), des systèmes de gestion des informations et des événements de sécurité (SIEM) et des algorithmes de détection d'anomalies. Les activités suspectes, telles que les tentatives d'accès non autorisées et les transferts de données anormaux, font l'objet d'une surveillance continue. Les employés et les utilisateurs sont encouragés à signaler toute irrégularité.

2. Tri et intervention – L’équipe d’intervention en cas d’incident évalue la gravité et l’impact de l’incident. Les incidents sont classés selon leur degré d’urgence et des mesures de confinement immédiates, telles que l’isolement des systèmes affectés et la désactivation des comptes compromis, sont mises en œuvre afin de prévenir tout dommage supplémentaire.

3. Investigation et analyse – Les spécialistes de la sécurité réalisent une analyse des causes profondes (RCA) pour déterminer la cause et l'étendue de l'incident. Une analyse forensique est effectuée sur les journaux, les images système et le trafic réseau afin de comprendre l'impact sur l'intégrité des données et les opérations commerciales.

4. Atténuation et résolution – L'incident est atténué par l'application de correctifs de sécurité, la suppression des logiciels malveillants et la restauration des systèmes touchés à partir de sauvegardes vérifiées. Un rapport d'incident détaillé est établi, consignant les principales constatations, les mesures prises et les recommandations en vue d'améliorations futures.

5. Amélioration post-incident – ​​Alibaba Cloud renforce ses mesures de sécurité en tirant les leçons des incidents passés. Les politiques de sécurité sont mises à jour, les employés suivent une formation en cybersécurité et une surveillance proactive des menaces est mise en place afin de prévenir les menaces futures.

1. Détection et identification

L'identification rapide et précise des incidents de sécurité est essentielle pour une gestion efficace des incidents. Alibaba Cloud utilise une surveillance en temps réel, des alertes automatisées et un audit continu pour détecter et signaler les menaces de sécurité potentielles.

• Outils de surveillance : les systèmes de gestion des informations et des événements de sécurité (SIEM), les systèmes de détection d'intrusion (IDS) et les systèmes de prévention d'intrusion (IPS) permettent d'identifier les activités suspectes.

• Détection d'anomalies : des alertes sont déclenchées pour des événements tels que de multiples tentatives de connexion infructueuses, des accès non autorisés aux données et des transferts de données inattendus.

• Collecte et analyse des journaux : les journaux des hôtes cloud, des réseaux, des applications et d'autres composants d'infrastructure sont collectés et analysés à l'aide d'algorithmes de surveillance de la sécurité.

• Signalement des incidents : les employés et les utilisateurs sont encouragés à signaler les activités suspectes, telles que les tentatives de hameçonnage ou les comportements système inhabituels.

2. Triage et intervention

Une fois un incident détecté, l'équipe de réponse aux incidents le catégorise et le priorise en fonction de son impact potentiel.
Classification des incidents : Les niveaux de gravité (faible, moyen, élevé) sont attribués en fonction de facteurs tels que :
— Cause de la violation et indication si elle est toujours en cours.
□ Nombre de personnes touchées.
â—‹ Type de données compromises.

□ Impact sur les opérations commerciales.
• Besoin d'assistance extérieure (par exemple, réponse juridique ou réglementaire).
• Mesures de confinement : Actions immédiates visant à prévenir d’autres dommages, telles que l’isolement des systèmes affectés, la révocation des autorisations d’accès et la désactivation des comptes compromis.
• Préservation des preuves : Les journaux système, les instantanés et autres données d’analyse forensique sont stockés en toute sécurité à des fins d’enquête.

3. Investigation et analyse

Les spécialistes en sécurité d'Alibaba Cloud mènent une investigation approfondie pour comprendre la cause, l'étendue et l'impact de l'incident.

â Analyse des causes profondes (RCA) : identifie les vulnérabilités, les vecteurs d'attaque et les faiblesses exploitées.

â Analyse forensique : examine les journaux, les images système et le trafic réseau pour tracer l'activité des attaquants.

â Évaluation de l'impact : évalue les données compromises, l'impact opérationnel, les pertes financières potentielles et les implications réglementaires.

4. Atténuation et résolution

La phase de réponse et de récupération vise à atténuer l'incident et à restaurer les systèmes affectés.

â Efforts de remédiation : appliquer les correctifs de sécurité, mettre à jour les configurations et supprimer les logiciels malveillants.

â Restauration des données et des systèmes : vérifier et restaurer des sauvegardes propres pour garantir l'intégrité des données.

â Documentation de l'incident : créer un rapport détaillé couvrant :

  â Chronologie des événements.

  â Actions entreprises.

  â Résultats de l'investigation.

  â Mesures de remédiation.

  â Recommandations pour les améliorations futures.

â Communication avec les parties prenantes : informer les utilisateurs affectés, les organismes de réglementation et les autres parties prenantes conformément aux obligations légales. Alibaba Cloud assure une communication transparente par e-mail, par des déclarations officielles et via le support client.

5. Amélioration post-incident

Alibaba Cloud affine en continu sa stratégie de réponse aux incidents en tirant les leçons des incidents passés.

â Renforcement du cadre de sécurité : les politiques, procédures et mesures de protection techniques sont mises à jour sur la base des enseignements tirés.

â Programmes de formation et de sensibilisation : les employés suivent une formation continue sur les menaces de cybersécurité et les bonnes pratiques de réponse aux incidents.

â Audits de sécurité externes : Alibaba Cloud collabore avec des experts tiers pour réaliser des évaluations de sécurité et identifier les axes d'amélioration.

â Surveillance proactive des menaces : des évaluations de sécurité régulières, des tests d'intrusion et une détection des anomalies sont menés pour identifier et atténuer les menaces potentielles avant qu'elles ne s'intensifient.

Alibaba Cloud dispose d'un programme complet de gestion des vulnérabilités conçu pour protéger notre infrastructure, garantissant les plus hauts niveaux de sécurité et de fiabilité des services. Partie intégrante de notre stratégie mondiale de cybersécurité, ce programme se concentre sur l'identification, l'évaluation et l'atténuation des vulnérabilités susceptibles de compromettre nos systèmes et nos services. Cette section présente l'approche multicouche d'Alibaba Cloud en matière de gestion des vulnérabilités et notre engagement en faveur d'une amélioration continue de la sécurité.

Le programme de gestion des menaces et des vulnérabilités d'Alibaba Cloud assure la sécurité de l'infrastructure d'Alibaba Cloud et des environnements clients en détectant les failles système et les actions non autorisées, puis en appliquant des mesures correctives en temps opportun. Les vulnérabilités sont détectées et signalées par plusieurs canaux, notamment :

● Signalement et analyse internes : nos mécanismes de sécurité internes comprennent des analyses automatisées de vulnérabilité et des audits de sécurité manuels. Ces processus garantissent un examen approfondi des composants réseau, des serveurs, des applications et des bases de données afin de détecter les vulnérabilités potentielles.

● Signalement externe : nous collaborons avec des entités de sécurité externes, notamment l'Alibaba Security Response Center (ASRC), la plateforme Crowdsourced Security Testing d'Alibaba Cloud et des sources tierces de renseignements sur les menaces. Ces canaux nous aident à suivre les vulnérabilités et expositions courantes (CVE), en particulier celles qui touchent des composants open source tiers.

Toutes les vulnérabilités identifiées sont consolidées dans notre plateforme de gestion des vulnérabilités, où elles font l'objet d'une analyse rigoureuse, d'une classification et d'une hiérarchisation fondées sur des algorithmes prédéfinis de surveillance de sécurité.

Une fois les vulnérabilités identifiées et vérifiées, elles sont classées par priorité en fonction de leur gravité, de leur impact potentiel et de leur exploitabilité. Notre processus d'évaluation des risques et de remédiation comprend :

â Application de correctifs critiques : les vulnérabilités de haute gravité sont traitées par une application immédiate de correctifs et des modifications de configuration via notre système robuste de gestion des correctifs.

â Stratégies d'atténuation à long terme : pour les vulnérabilités complexes nécessitant des changements architecturaux ou une refactorisation du code, nous mettons en œuvre des plans d'atténuation à long terme afin de garantir une résolution complète.

â Gestion de la configuration :

  â L'équipe de sécurité maintient des normes de configuration définissant les exigences de base en matière de renforcement des systèmes.

  â Ces normes font l'objet de révisions et de mises à jour annuelles.

  â Des outils automatisés d'analyse de configuration surveillent en continu la conformité, garantissant que les écarts sont rapidement détectés et corrigés.

En traitant systématiquement les vulnérabilités selon une priorisation fondée sur les risques, Alibaba Cloud réduit au minimum les menaces de sécurité potentielles tout en maintenant l'efficacité opérationnelle.

Le programme de gestion des vulnérabilités d'Alibaba Cloud est un processus continu visant à maintenir et à renforcer notre posture de sécurité. Les initiatives clés comprennent :

â Renseignement proactif sur les menaces :

  â Nous exploitons des plateformes mondiales de renseignement sur les menaces et des bases de données externes sur les vulnérabilités pour anticiper les menaces de sécurité émergentes.

â Tests d'intrusion et exercices de sécurité :

  â Des équipes rouges internes et des experts en sécurité externes réalisent régulièrement des tests d'intrusion pour évaluer le niveau de sécurité de notre infrastructure.

  â Des exercices d'attaque et de défense évaluent et renforcent systématiquement nos capacités de détection et de réponse aux menaces.

âFormation et sensibilisation à la sécurité :

  â Nous investissons dans des programmes de formation continue pour garantir que tous les collaborateurs puissent identifier, signaler et traiter efficacement les menaces de sécurité.

  â Cette culture de la sécurité renforce la capacité d'Alibaba Cloud à détecter et atténuer les vulnérabilités de manière proactive.

La transparence et la collaboration sont des composantes essentielles de la stratégie de gestion des vulnérabilités d'Alibaba Cloud. Nous collaborons activement avec nos clients et la communauté de la cybersécurité au sens large pour promouvoir une approche coopérative de la sécurité :

â Signalement des vulnérabilités et programmes de primes aux bogues :

  â Alibaba Cloud gère des programmes de primes aux bogues qui incitent les chercheurs en sécurité externes à signaler les vulnérabilités, renforçant ainsi nos capacités de sécurité au-delà des équipes internes.

  â Pour plus de détails, consultez : Alibaba Security Response Center (ASRC).

â Signalement transparent et communication avec les clients :

  â Nous informons proactivement nos clients des vulnérabilités identifiées et des efforts de remédiation, garantissant la transparence de la gestion de la sécurité.

  â Notre approche favorise la confiance et la collaboration, permettant aux clients de renforcer leurs propres défenses de sécurité face aux menaces émergentes.