Réalisation de la validation FIPS dans les centres de données virtualisés, SDN et cloud
Les ADC F5 aident les clients des secteurs réglementés à se conformer tout en garantissant les performances de leurs applications et la protection de leurs données. Avec la certification FIPS pour BIG-IP Virtual Edition , les organisations peuvent étendre la conformité dans les environnements cloud, de manière simple et rentable.
Sécuriser vos données et votre infrastructure tout en passant au cloud et à tout ce qui est défini par logiciel est compliqué, mais ajoutez à cela une conformité réglementaire plus stricte et vous obtenez vraiment de la complexité et des risques. Si vous regardez le gouvernement fédéral américain, c’est l’exemple parfait de la convergence de ces tendances. Les agences fédérales subissent une transformation informatique à mesure qu'elles consolident et virtualisent leurs centres de données et migrent vers le cloud, mais elles doivent également renforcer la sécurité pour protéger les informations sensibles en cryptant toutes les données en transit. D’autres secteurs réglementés tels que les services financiers (banques) et les établissements de santé ont également adopté et reconnu l’utilisation de directives et de normes de sécurité fédérales pour démontrer et atteindre la conformité en matière de sécurité.
En mai, le président Trump a publié un décret sur le renforcement de la cybersécurité des réseaux fédéraux et des infrastructures critiques , exigeant que tous les chefs d’agences exécutives et de départements modernisent et renforcent la cybersécurité utilisée au sein des réseaux fédéraux et des infrastructures critiques. Alors que les agences s’efforcent de se conformer à cet EO, les entreprises qui font actuellement des affaires directement avec les agences doivent également suivre leur exemple. Si ces entreprises ne se conforment pas, elles risquent de perdre cette partie de leur activité. La conformité nécessite le respect de la publication spéciale 800-53r4 du National Institute of Standards and Technology (NIST), qui exige l'application des exigences cryptographiques décrites dans la norme FIPS 140-2.
Dans un autre exemple d’exigences de sécurité accrues, en juin, le Pentagone a annoncé de nouvelles politiques de sécurité qui exigent que les entrepreneurs faisant affaire avec le ministère de la Défense doivent désormais fournir une « sécurité adéquate » lors de la connexion au réseau du DoD et à ses composants, ce qui signifie au minimum la conformité à la norme NIST 800-171.
La section 3.13.11 stipule que les fournisseurs de produits doivent « utiliser une cryptographie validée FIPS lorsqu'elle est utilisée pour protéger la confidentialité des informations contrôlées non classifiées (CUI) ». Les entreprises du secteur de la défense ont jusqu’à la fin de l’année 2017 pour se conformer.
La norme FIPS 140-2 est la norme de sécurité obligatoire pour les solutions matérielles, logicielles et micrologicielles dans les systèmes qui utilisent la cryptographie pour crypter des informations sensibles mais non classifiées. Dans les marchés publics américains, toutes les solutions utilisant la cryptographie doivent réussir la validation FIPS 140-2. Il existe différents niveaux associés à la conformité à la norme FIPS 140-2, et tous nécessitent l'utilisation d'un module cryptographique certifié NIST. Le niveau 1 de la norme FIPS 140-2 peut être atteint en incorporant un module certifié basé sur un logiciel ; aucun mécanisme de sécurité physique spécifique n'est requis. La norme FIPS 104-2 niveau 2 ajoute l'exigence selon laquelle le module doit inclure des fonctionnalités qui montreraient des preuves d'altération ou de verrouillage, et peut généralement être obtenue en utilisant un module certifié basé sur le matériel. Les modules cryptographiques commerciaux, communément appelés modules de sécurité matériels (HSM), sont produits par des fournisseurs tels que Cavium. F5 a historiquement fourni des solutions conformes au niveau 2 avec des modèles équipement matériel BIG-IP FIPS spécifiques qui intègrent un HSM certifié de niveau 2.
F5 est désormais ravi d'annoncer la disponibilité de la solution ADC F5 FIPS Certified BIG-IP Virtual Edition (VE), fonctionnant initialement sur l'hyperviseur VMware ESXi. Les organisations peuvent désormais déployer une solution de distribution application avancée qui est également un module logiciel cryptographique validé FIPS 140-2 niveau 1. Les agences gouvernementales fédérales, les organisations militaires américaines, les sous-traitants et les sociétés de services financiers peuvent désormais profiter de la meilleure sécurité associée au module cryptographique FIPS sur un logiciel BIG-IP.
BIG-IP VE est la solution ADC leader du secteur qui permet aux clients de fournir des capacités de gestion et d'optimisation du trafic L7, d'équilibrage de charge, de déchargement et de visibilité SSL/TLS, de pare-feu réseau et de protection DDoS dans les environnements virtualisés VMware, SDN et cloud. Cette nouvelle certification, ainsi que le support futur d'autres hyperviseurs et environnements de cloud public, reflètent l'engagement de F5 à répondre aux exigences de conformité en matière de sécurité dans le cloud, combinées à des capacités de livraison application de pointe de manière rentable.
Références NIST :