FIPS 140-3 : de quoi s'agit-il et comment « IT Glue » le prend-il en charge ?

La norme FIPS 140-3 est la norme de sécurité utilisée par les gouvernements américain et canadien pour vérifier que le chiffrement au sein des systèmes informatiques a été correctement testé et approuvé. Elle revêt donc une importance cruciale pour les prestataires de services gérés (MSP) et les équipes informatiques d'entreprise qui accompagnent les organismes publics, ainsi que pour les fournisseurs et sous-traitants qui travaillent avec eux. Si vos clients traitent des données gouvernementales sensibles, le chiffrement qui les protège doit répondre à ces exigences.

En tant que solution Kaseya, IT Glue accorde la plus haute priorité à la sécurité des données, et l’utilisation de modules cryptographiques certifiés FIPS 140-3 constitue la dernière avancée en date en matière de protection de votre documentation informatique. Elle répond aux exigences en matière de chiffrement des principaux référentiels du secteur public et d’autres secteurs soumis à des obligations de conformité, notamment les Services d’information de la justice pénale (CJIS), la Certification du modèle de maturité en cybersécurité (CMMC), la loi fédérale sur la modernisation de la sécurité de l’information (FISMA) et la norme NIST SP 800-171.

Voyons ce qu’est la norme FIPS 140-3, en quoi elle vous concerne et comment IT Glue vous aide à vous conformer à cette norme.

Qu'est-ce que la norme FIPS 140-3 ?

La norme FIPS 140-3 est la troisième version de la norme fédérale américaine relative au traitement de l'information (Federal Information Processing Standard ) qui définit les exigences de sécurité applicables aux modules cryptographiques destinés à protéger les données sensibles. L'Institut national des normes et des technologies (NIST) l'a publiée afin de s'adapter à l'évolution des cybermenaces. Elle s'aligne également davantage sur les normes internationales, en particulier la norme ISO/IEC 19790.

La validation FIPS 140-3 atteste que les modules cryptographiques, qu'ils soient matériels, logiciels ou micrologiciels, sont conçus pour répondre à des exigences de sécurité strictes. C'est pourquoi les modules validés FIPS sont souvent exigés par les réglementations fédérales et les référentiels sectoriels, notamment le NIST SP 800-171, le CMMC, la FISMA et le CJIS.

Pourquoi la norme FIPS 140-3 est importante pour vous

La norme FIPS 140-3 est obligatoire pour tout système qui stocke, traite ou transmet des données d’agences fédérales nécessitant une protection cryptographique. Cette exigence s’applique également aux organisations traitant des informations non classifiées mais soumises à un contrôle (CUI), y compris les sous-traitants et les fournisseurs qui soutiennent les programmes fédéraux. Elle s’étend souvent plus loin dans la chaîne. Les agences gouvernementales des États et locales l’exigent ou la recommandent vivement à leurs fournisseurs, en particulier lorsque la sécurité publique ou les données des citoyens sont en jeu. Au-delà du secteur public, les organismes des secteurs de la santé, de la finance, de l’énergie et des services publics se tournent vers le chiffrement validé FIPS pour se conformer à leurs propres cadres de conformité.

Comment « IT Glue » garantit la conformité à la norme FIPS 140-3

IT Glue a mis en œuvre des améliorations visant à renforcer la sécurité de l'ensemble de son infrastructure cloud, notamment en recourant davantage à des modules cryptographiques certifiés FIPS 140-3 pour protéger les données au repos et en transit. L'entreprise a également étendu l'adoption des configurations conformes aux meilleures pratiques en matière de sécurité à l'ensemble de son environnement.

Ces améliorations renforcent la protection des données des clients et soutiennent les efforts continus d'IT Gluepour se préparer au niveau 2 du CMMC, ainsi que ses objectifs plus larges en matière de sécurité et de conformité.

IT Glue une sécurité allant au-delà de la norme FIPS 140-3

Les modules cryptographiques certifiés FIPS 140-3 constituent l'un des niveaux de sécurité d'IT Glue. Les contrôles suivants viennent s'y ajouter :

• Chiffrement des mots de passe : les mots de passe sont chiffrés à l'aide du standard AES-256 bits, avec une clé publique RSA de 2048 bits. Chaque client dispose de clés uniques, et chaque mot de passe est associé à sa propre clé aléatoire sécurisée. Ces éléments sont conservés séparément les uns des autres ; ainsi, une intrusion dans un système ne permettra pas de déchiffrer les mots de passe.
• Hébergement sécurisé : IT Glue Vault est conçu pour que les utilisateurs ne déchiffrent leurs mots de passe qu’au niveau du terminal, dans leur navigateur, à l’aide d’une phrase de passe spécifique à chaque utilisateur qui n’est pas synchronisée avec IT Glue. Seul l’utilisateur dispose de cette phrase de passe. En cas de perte, IT Glue ne peut pas récupérer le mot de passe.
• Authentification multifactorielle (MFA) obligatoire : la MFA est obligatoire pour tous les comptes utilisateurs. Les utilisateurs doivent saisir leur nom d'utilisateur et leur mot de passe, ainsi qu'un mot de passe à usage unique généré par une application d'authentification, ce qui réduit le risque de compromission des identifiants de connexion.
• Contrôle d'accès SSO : vous pouvez faire en sorte que le SSO soit le seul canal d'authentification permettant d'accéder à votre instance d'IT Glue . L'application du SSO permet d'empêcher tout accès non autorisé.
• Autorisations et piste d'audit : les administrateurs et les responsables peuvent mettre en place plusieurs niveaux de contrôle et restreindre l'accès à des groupes et utilisateurs spécifiques. Les modifications de mot de passe font l'objet d'un contrôle de version, et les mots de passe consultés sont automatiquement consignés dans une entrée de la piste d'audit au sein des journaux d'activité. Les administrateurs peuvent également générer un rapport sur les mots de passe à risque qui indique les mots de passe auxquels un utilisateur a pu accéder et ceux qui doivent être modifiés lors de la fin de contrat.
• SOC 2 Type II : IT Glue dispose d'un rapport SOC 2 (Service Organization Control 2) de type II. Il s'agit d'un rapport sur les contrôles internes qui rend compte du niveau de protection des données et de la conformité de ces contrôles aux meilleures pratiques du secteur.

Sécuriser, automatiser et rationaliser la prestation de services à grande échelle

IT Glue La sécurité est au cœur de son fonctionnement, c'est pourquoi des dizaines de milliers de prestataires de services gérés (MSP) et de professionnels de l'informatique lui confient leur documentation.

Cependant, la sécurité n'est qu'un aspect parmi d'autres. IT Glue Elle s'intègre à Autotask PSA et à Datto RMM pour former un trio puissant qui unifie l'ensemble de votre flux de travail de service. Ensemble, ils créent un système connecté qui élimine les frictions à chaque étape de la prestation de services. Lorsque les clients les combinent, 92 % d'entre eux font état d'une efficacité et d'une productivité accrues, 73 % signalent une plus grande sérénité chez les techniciens et 65 % constatent une diminution de la frustration.

Vous souhaitez découvrir comment ce trio pourrait s'intégrer à votre équipe ? Téléchargez l'e-book « Le guide de prestation de services MSP : des résultats concrets grâce au RMM, au PSA et à la documentation informatique » pour découvrir comment obtenir un contrôle total et une croissance évolutive grâce à une plateforme unifiée.