Lorsqu’une entreprise externalise son infrastructure IT à un data center, elle doit s’assurer que les toutes dernières normes de sécurité physique y sont mises en œuvre. Ces règles de sécurité sont plus ou moins faciles à voir et à évaluer.

Les principaux aspects de la sécurité d’un Data Center sont la sécurité physique de celui-ci et la sécurisation du réseau.

Quelles sont donc les normes de sécurité physique indispensables pour un data center ? C’est ce que nous allons voir dans cet article :

Qu’est-ce que la sécurité des data centers ?

La sécurité d’un data center désigne l’ensemble des technologies et des pratiques utilisées pour protéger l’infrastructure physique et la sécurisation du réseau d’une installation contre les différentes potentielles menaces externes et internes. À un niveau très élémentaire, la sécurité des centres de données consiste à y restreindre et à y gérer les accès. Seul le personnel autorisé doit pouvoir accéder aux infrastructures et aux systèmes informatiques critiques.

Pour sécuriser un data center, il faut y intégrer à la fois des infrastructures de sécurité (comme des points d’accès verrouillés, des systèmes de surveillance, un personnel de sécurité…) ainsi que les règles de sécurité à déployer (par une gestion des accès autorisés dans certains endroits critiques par exemple).

A quels risques sont confrontés les data centers ?

Parmi les principaux risques auxquels sont confrontés les data centers, on note notamment :

• Les risques de vandalisme : il s’agit du risque d’intrusion malveillante pouvant regrouper des risques de vol de matériel contenant des données, d’incendies criminels ou encore casse des serveurs.
• Les risques météorologiques : on parle ici de risques liés à des inondations, à la foudre ou à une période de canicule.
• Les risques intrinsèques et électriques : il s’agit de tous les risques liés au fonctionnement des data centers.
• Les risques numériques : on y regroupe tous les risques liés au piratage informatique.

Comment sécuriser un data center ?

Les centres de données modernes n’ont plus rien à voir avec un simple entrepôt abritant des serveurs. Ils intègrent dès leur conception une réflexion sécuritaire à la protection des données informatiques qui y transitent.

Chaque élément de sécurité physique d’un datacenter doit être déployé en tenant compte des autres éléments afin de former un réseau de mesures de sécurité qui s’imbriquent les unes avec les autres. Ceci, afin que chaque règle de sécurité renforce les autres.

Cependant, déployer des infrastructures pour sécuriser physiquement un data center ne peut être efficace sans une politique de sécurité globale pour les gérer. Des protocoles et des procédures pour les éventualités courantes et inhabituelles doivent être mis en place pour fournir au personnel du centre de données des directives claires sur la manière dont les opérations doivent être menées.

Ces contrôles doivent être élaborés à l’avance et testés régulièrement pour s’assurer que chacun sait comment (et pourquoi) sécuriser l’installation contre les menaces potentielles. En mettant en œuvre une philosophie de sécurité de type “confiance zéro”, les data centers peuvent réduire considérablement le risque d’accès non autorisé. En effet, avec une telle philosophie, toute personne entrant dans le data center est soumise au même niveau de contrôle, devant justifier de son identité et des raisons pour lesquelles elle désire accéder à ces infrastructures.

Enfin, ces processus doivent être régulièrement audités pour garantir leur efficacité.

Les niveaux et sécurité des data centers

Bien que les niveaux Tiers des data centers ne reflètent pas directement les normes de sécurité, les installations de niveau supérieur (niveau 3 ou 4) sont généralement des data centers plus grands et plus complexes. Par conséquent, ils ont tendance à intégrer des mesures de sécurité plus sophistiquées et plus étendues. Les centres de données de niveau supérieur doivent bénéficier d’un niveau de protection très élevé afin de garantir leurs standards sur la fiabilité du réseau.

A l’inverse, les plus petits data centers ou les data centers privés ne peuvent en général pas proposer les mêmes niveaux de protection physique.

Les principales normes de sécurité pour les data centers

Voici quelques normes et technologies essentielles en matière de sécurité des centres de données que tout client en colocation devrait évaluer lorsqu’il cherche à y externaliser ses infrastructures IT.

Synergie entre les différents éléments de sécurité

Chaque aspect de la sécurité d’un data center doit fonctionner de concert avec les autres éléments afin que le système de sécurité soit complet et hiérarchisé. L’idée est qu’un intrus potentiel doit être obligé de franchir plusieurs niveaux de sécurité avant d’atteindre les données ou le matériel de valeur de la salle des serveurs. Si une couche de sécurité s’avère inefficace, les autres couches empêcheront probablement l’intrusion de compromettre l’ensemble du système.

Avoir des listes d’accès

Bien que cela puisse sembler basique, l’un des éléments les plus importants de la sécurité d’un datacenter consiste à s’assurer que seules les personnes autorisées peuvent y accéder. Lorsqu’une entreprise installe ses infrastructures SI dans un centre de données, tous les employés ne doivent pas avoir accès aux serveurs. Il s’agit d’un élément essentiel de la philosophie de sécurité “confiance zéro”. En tenant à jour les listes d’accès, une installation peut aider ses clients à prévenir contre le vol et à éviter les erreurs humaines commises par des personnes qui ne sont pas autorisées à manipuler les infrastructures informatiques.

Un système de vidéosurveillance

Autre élément de base des technologies de sécurité physique, la vidéosurveillance est toujours très utile pour les data centers. Des caméras en circuit fermé dotées de fonctions complètes de vision panoramique, d’inclinaison et de zoom doivent surveiller les points d’accès extérieurs ainsi que toutes les portes intérieures et la salle des serveurs. Les images des caméras doivent être sauvegardées numériquement et archivées hors site pour éviter toute manipulation non autorisée.

Avoir des points d’accès sécurisés

Les zones sensibles comme la salle des serveurs doivent bénéficier d’infrastructures supplémentaires. Mettre en place pour ces endroits des points d’accès sécurisés avec par exemple des tourniquets du sol au plafond sont des normes de sécurité physique essentielles pour toute installation de data center.

Un système de sécurité présent 24h/24 et 7 jours sur 7

Les points de contrôle de sécurité, les caméras et les alarmes ne servent pas à grand-chose si le personnel de sécurité n’est pas sur place pour répondre aux menaces potentielles et aux activités non autorisées. Des patrouilles de routine dans chaque zone du data center peuvent rappeler de manière visible que le personnel de sécurité est à l’affût et peut réagir rapidement pour traiter tout problème potentiel.

Gestion des actifs RFID

S’il est essentiel que le personnel de sécurité du data center soit présent sur place et que les images archivées des caméras soient disponibles, il est toujours difficile de garder un œil sur l’ensemble des infrastructures du data center à tout moment. Avec l’étiquetage RFID, les centres de données peuvent gérer et suivre les actifs en temps réel grâce à un puissant logiciel de veille. Les étiquettes peuvent même envoyer des alertes dès qu’un bien est déplacé ou altéré, ce qui permet au personnel du data center de réagir rapidement à toute menace.

Vérifier les antécédents du personnel

Entre le personnel de sécurité et les techniciens, les data centers peuvent avoir beaucoup de personnes qui s’y déplacent. La vérification approfondie des antécédents du personnel ainsi que la mise en place d’exigences de contrôle pour tous les contractants tiers permettent d’éviter toute menace « interne ».

Un processus de mise à jour des droits d’accès

Lorsqu’une personne autorisée à accéder aux zones sensibles du data center quitte son poste, ses privilèges ne l’accompagnent pas. Qu’il s’agisse du personnel du data center ou d’employés de clients disposant de droits d’accès qui quittent leur entreprise, les installations doivent disposer de systèmes et de procédures pour supprimer ces droits d’accès. Il peut s’agir de la mise à jour des listes d’accès, de la collecte des clés ou de la suppression des données biométriques du système de l’établissement pour s’assurer qu’ils ne pourront plus passer le système de sécurité à l’avenir.

Un système d’authentification multi-facteurs

Chaque data center doit suivre des procédures de sécurité de type “confiance zéro” qui intègrent l’authentification multifactorielle.

Par ailleurs, chaque point d’accès doit nécessiter d’au moins deux formes d’identification ou d’autorisation afin de garantir que personne ne sera simplement “autorisé à entrer” par la sécurité s’il lui manque une forme d’authentification.

La technologie biométrique

Il s’agit d’une des dernières innovations en matière de normes de sécurité. La technologie biométrique permet d’identifier les personnes grâce à une caractéristique physique unique, comme l’empreinte du pouce, la forme de la rétine ou la voix. Il existe de nombreuses façons d’intégrer la technologie biométrique dans les protocoles d’accès. Cette technologie est particulièrement précieuse pour mettre en place un système d’authentification à double facteurs.

La Sécurité virtuelle

La technologie de virtualisation est courante dans les data centers. Avec la virtualisation, une entreprise obtient une infrastructure numérique qui prend en charge ou imite ses systèmes primaires. Cela permet aux administrateurs de gérer les services du centre de données à distance. Elle permet également une plus grande flexibilité car un logiciel peut être utilisé pour gérer la sécurité et les flux de travail du data center.

Certains datacenters tirent parti de la virtualisation pour mettre en place un accès aux services de cloud public, tandis que d’autres l’intègrent dans leur centre de données interne. Si l’utilisation de logiciels et de solutions de cloud computing offrent aux administrateurs une plus grande flexibilité, elle expose également les serveurs et les systèmes du data center aux cybermenaces.

Parmi les mesures courantes pour éviter ce type de menaces figurent les systèmes de prévention et de détection des intrusions, les pare-feu et les pare-feu de nouvelle génération (NGFW). L’administrateur informatique d’une entreprise peut utiliser ces mesures pour déterminer qui est autorisé à accéder aux ressources du data center de manière générale ou qui peut accéder à certaines sections du réseau.

Quel est le retour sur investissement de la sécurisation de vos données informatiques ?

Si le coût de l’hébergement de vos serveurs dans un data center en colocation peut parfois être plus élevé que si vous les hébergez vous-même, les avantages en matière de sécurité que procure un data center chez Euclyde en valent la peine. Les domaines courants de retour sur investissement dus à la sécurité des centres de données sont les suivants :

• Réduction des menaces de sécurité
• Moins de pannes et de temps d’arrêt
• Réduction du coût du matériel
• Moins de temps passé à réagir et à résoudre les problèmes
• Mises à niveau plus rapides
• Préparation aux audits de conformité

Le rapport de Gartner sur le budget informatique montre que les entreprises du secteur de la santé consacrent souvent 75 % de leur budget informatique à la maintenance des systèmes internes. Quel que soit votre secteur d’activité, les entreprises ne voient généralement que le prix initial des logiciels. Mais ceux-ci n’intègrent pas le coût de la maintenance, du matériel à remplacer et faire évoluer, du support et des experts qui ont les connaissances nécessaires pour faire fonctionner ces systèmes. Si vous analysez plus précisément le coût de reviens de vos infrastructures informatiques en y intégrant ces éléments, vous verrez que la colocation est bien souvent le moyen le plus économique de sécuriser les données informatiques de votre entreprise.

Au fur et à mesure que les technologies liées à la sécurité des data centers évolue, de nouvelles mesures de sécurité physique seront certainement intégrées à ces pratiques. Les normes de sécurité physique des data centers ne sont pas forcément évidentes à voir car beaucoup d’entre elles sont destinées à rester hors de vue.

Chez Euclyde Data Centers, nos centres de données bénéficient des dernières technologies pour sécuriser nos infrastructures présentes en France.

Si vous souhaitez en savoir plus, n’hésitez pas à nous contacter. Nous serons ravis de vous expliquer les différentes stratégies que nous mettons en place pour sécuriser vos données informatiques et de vous exposer les différentes solutions que nous proposons pour que vous puissiez externaliser votre environnement IT.