Déploiement d'une infrastructure de certificats (PKI)
Une solution installée selon vos règles de sécurité, exploitable par vos équipes dès la fin de la mission.
En bref
- Résultat
- Une solution installée selon vos règles de sécurité, exploitable par vos équipes dès la fin de la mission.
- Idéal pour
- Responsable de la sécurité des systèmes d'information (RSSI), responsable de l'exploitation et de la production informatique ou directeur des systèmes d'information.
- Ce que vous obtenez
- Solution paramétrée sur un périmètre pilote, dossier d'architecture, procédures d'exploitation et plan de généralisation.
- Prérequis de votre côté
- Environnements de qualification disponibles, licences et accès techniques fournis par l'établissement, équipe d'exploitation désignée, comptes d'administration créés et tracés par vos soins.
- Durée et charge
- 10 à 30 jours
- Format
- Forfait
Exemple de situation
Déployer une authentification forte pour les administrateurs. Une banque de réseau met en place, sur le thème PKI (Public Key Infrastructure, infrastructure à clés publiques), une authentification forte pour ses administrateurs. Le pilote porte sur une équipe d'exploitation, la recette vérifie les accès d'urgence, puis la généralisation suit le calendrier validé par le responsable de la sécurité.
Nous déployons avec vous les solutions retenues sur le thème PKI : annuaire et gestion des identités, gestion des accès à privilèges, authentification forte, supervision et corrélation des événements, chiffrement et gestion des clés. Le déploiement suit un ordre simple : cadrage des cas d'usage et des flux, installation en environnement de qualification, paramétrage, recette avec vos équipes, mise en production sur un périmètre pilote, puis généralisation.
Les accès aux environnements et aux données sont ceux que votre établissement définit, avec comptes nominatifs, traçabilité et respect du secret bancaire. Nous remettons le dossier d'architecture, les procédures d'exploitation et un transfert de compétences vers vos équipes, pour que vous puissiez garantir la confidentialité des échanges de courriels professionnels. Nous ne remplaçons pas votre équipe d'exploitation et n'exploitons pas la solution à votre place.
Déroulé de la prestation
État des lieux
Inventaire des données, des interfaces, des utilisateurs et des exigences de sécurité sur le périmètre PKI.
Plan par lots
Chaque lot a ses critères de recette, sa fenêtre d'intervention et son plan de retour arrière, validés avec la sécurité des systèmes d'information de votre organisation.
Préparation et tests
Règles de reprise des données essayées en environnement de test sur des données anonymisées, paramétrage, contrôle par échantillonnage.
Bascule
Procédure de bascule et de retour arrière remise ; la mise en service dans la fenêtre convenue est réalisée par vos équipes d'exploitation, avec appui documentaire et correction des écarts.
Stabilisation et passation
Documentation d'exploitation, formation des administrateurs et des utilisateurs clés, bilan de fin de déploiement.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Solution paramétrée et recettée sur un périmètre pilote
- Dossier d'architecture et procédures d'exploitation
- Plan de généralisation et transfert de compétences vers l'exploitation
Format et charge : forfait, 10 à 30 jours. Idéal pour : responsable de la sécurité des systèmes d'information (RSSI), responsable de l'exploitation et de la production informatique ou directeur des systèmes d'information. Prérequis de votre côté : environnements de qualification disponibles, licences et accès techniques fournis par l'établissement, équipe d'exploitation désignée, comptes d'administration créés et tracés par vos soins.
Exemples d'usage
Deux situations d'exemple, dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Déployer une authentification forte pour les administrateurs
Une banque de réseau met en place, sur le thème PKI, une authentification forte pour ses administrateurs. Le pilote porte sur une équipe d'exploitation, la recette vérifie les accès d'urgence, puis la généralisation suit le calendrier validé par le responsable de la sécurité.
Raccorder les journaux à un outil de supervision
Un établissement de paiement raccorde ses applications critiques à un outil de supervision sur le thème PKI. Nous paramétrons les sources, les règles de corrélation prioritaires et les tableaux de bord, avec l'équipe qui assurera l'exploitation, puis un exercice de détection sur un scénario d'accès anormal.
Questions fréquentes sur cette prestation
Comment limitez-vous les risques pendant le déploiement ?
Le déploiement sur le périmètre PKI est conduit par lots, chacun avec ses critères de recette, sa fenêtre d'intervention et son plan de retour arrière, validés avec la sécurité des systèmes d'information de votre organisation. Les règles de reprise sont essayées en environnement de test sur des données anonymisées et contrôlées par échantillonnage avant la bascule, que vos équipes d'exploitation réalisent avec nos procédures. La charge indicative est de 10 à 30 jours, format forfait. Aucune intervention n'est planifiée pendant les périodes sensibles de votre activité, comme les clôtures, les arrêtés ou les pics de fin de mois.
Quelle différence avec une formation sur ce thème ?
La formation apprend à utiliser ou à administrer un outil ; le déploiement le met en service avec des données fiables. Sur le thème PKI, les deux sont liés : le déploiement inclut la formation des administrateurs et des utilisateurs clés, et une formation plus large des équipes peut suivre la mise en service. Nous les planifions dans le même projet, avec le même chef de projet. Les intervenants sont des praticiens du secteur, tenus par les engagements de confidentialité demandés par le donneur d'ordre.
Réalisez-vous des tests d'intrusion ou des audits de sécurité qualifiés ?
Non. Les audits de la sécurité des systèmes d'information qualifiés par l'ANSSI (Agence nationale de la sécurité des systèmes d'information) relèvent de prestataires qualifiés PASSI (prestataire d'audit de la sécurité des systèmes d'information, qualifié par l'ANSSI), et Optédif n'a pas cette qualification : nous n'exécutons ni test d'intrusion ni audit qualifié. Sur le thème PKI, nous intervenons en amont et en aval : cadrage du périmètre et du cahier des charges, sélection du prestataire qualifié avec vous, lecture critique de son rapport, construction du plan de remédiation et suivi des actions. Nous précisons au devis ce qui se déroule sur site et ce qui se déroule à distance.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous vous répondons sous 48 h ouvrées, puis nous établissons le devis après un échange de cadrage.
Les autres déclinaisons de déploiement et migration sur le thème PKI
- Déploiement pilote sur un périmètre ou une entité restreinte (PKI)
- Plan de migration, règles de reprise et recette (PKI)
Les autres types de prestation sur le thème PKI
- Audit documentaire et d'architecture de sécurité (PKI)
- Conseil en gouvernance de la sécurité et de la résilience (PKI)
- Conception de politiques de certification et d'architectures de confiance (PKI)
- Audit blanc de préparation et évaluation des équipes (PKI)
- Appréhender la confidentialité des informations
