best-practices
Bonnes pratiques
Bonnes pratiques pour la mise en œuvre et la gestion de DuoKey pour Office 365 Customer Key afin de garantir la sécurité, la fiabilité et la conformité.
Bonnes pratiques de sécurité
Sécurité de la gestion des clés
1. Mettre en œuvre un accès au moindre privilège
- N'accordez que les autorisations minimales requises
- Utilisez des principaux de service distincts pour différentes opérations
- Auditez régulièrement les autorisations d'accès
- Mettez en œuvre l'accès juste-à-temps (JIT) pour les tâches administratives
2. Activer l'authentification multifacteur (MFA)
Exigez la MFA pour tous les comptes ayant accès à Key Vault :
- Administrateurs Azure
- Contributeurs Key Vault
- Équipe des opérations de sécurité
- Auditeurs de conformité
3. Sécuriser les sauvegardes de clés
Stockage des sauvegardes
Stockez les sauvegardes sous forme chiffrée, utilisez des clés de chiffrement distinctes, conservez-les dans plusieurs emplacements géographiques et stockez les sauvegardes hors ligne dans des lieux physiques sécurisés.
Contrôle d'accès
Limitez l'accès aux sauvegardes au personnel autorisé, mettez en œuvre une autorisation multipersonne, journalisez toutes les opérations de sauvegarde et de restauration, et testez régulièrement les procédures de restauration.
Surveillance et alertes
Activez toutes les catégories de diagnostic pour Azure Key Vault, notamment AuditEvent, AllMetrics et AllLogs. Configurez des alertes critiques pour les échecs d'accès aux clés et les schémas d'accès inhabituels.
Bonnes pratiques opérationnelles
Rotation des clés
Établir un calendrier de rotation
| Environnement | Fréquence | Déclencheur |
|---|---|---|
| Clés de production | Annuelle | Politique de rotation planifiée |
| Environnements haute sécurité | Trimestrielle | Exigences de sécurité renforcées |
| Après un incident de sécurité | Immédiate | Réponse aux incidents |
| Lors de changements de personnel | Sous 30 jours | Départ d'employé |
Liste de contrôle de la procédure de rotation
Prérequis
- Informer les parties prenantes de la rotation planifiée
- Générer de nouvelles clés à l'aide de DuoKey MPC
- Tester les nouvelles clés dans un environnement hors production
- Planifier la rotation pendant une période de faible utilisation
- Créer une DEP avec les nouvelles clés
- Surveiller la progression du re-chiffrement
- Vérifier que le chiffrement s'est terminé avec succès
- Archiver les anciennes clés (ne pas les supprimer)
- Mettre à jour la documentation
- Réaliser une revue post-rotation
Gestion du changement
Tenez un journal des modifications pour les créations et modifications de DEP, les rotations de clés, les changements de politique d'accès, les mises à jour de configuration et les réponses aux incidents.
Exigez une approbation pour la création de nouvelles DEP, la rotation des clés, les modifications des politiques d'accès et les changements de configuration de Key Vault.
Bonnes pratiques de conformité
Audit et reporting
| Fréquence | Activités |
|---|---|
| Quotidienne | Examiner les journaux d'accès aux clés, vérifier les opérations en échec, surveiller l'état du chiffrement |
| Hebdomadaire | Générer des rapports d'utilisation des clés, examiner les schémas d'accès, valider l'intégrité des sauvegardes |
| Mensuelle | Rapport de conformité complet, examiner et mettre à jour les politiques, réaliser une revue des accès |
| Trimestrielle | Audit interne des procédures, tester la reprise après sinistre, mettre à jour la documentation |
Souveraineté des données
- Stockez les clés dans des régions correspondant aux exigences de résidence des données
- Utilisez Office 365 multi-géo avec des DEP spécifiques à chaque région
- Documentez les emplacements de stockage des clés pour la conformité
Haute disponibilité et reprise après sinistre
Conception de la haute disponibilité
Vaults redondants
Maintenez deux Key Vaults dans des régions Azure différentes.
Synchronisation
Synchronisez les clés entre les vaults.
Basculement automatique
Configurez le basculement automatique lorsque cela est possible.
Reprise après sinistre
| Métrique | Cible | Fréquence de test |
|---|---|---|
| RTO (objectif de temps de reprise) | 4 heures | Trimestrielle |
| RPO (objectif de point de reprise) | 1 heure | Trimestrielle |
Liste de contrôle des tests de reprise après sinistre
Prérequis
- Tester la restauration des clés à partir d'une sauvegarde
- Vérifier le basculement vers le Key Vault secondaire
- S'exercer à la recréation de DEP
- Tester les procédures d'accès d'urgence
- Valider la surveillance et les alertes
- Documenter les enseignements tirés
- Mettre à jour les procédures de reprise après sinistre
Optimisation des performances
Affectez les DEP pendant les heures creuses. Planifiez les affectations en masse pour les soirées ou les week-ends et évitez les heures de pointe. Surveillez les performances du système pendant les affectations.
Dernières versions d'API
Utilisez les dernières versions d'API pour de meilleures performances et fonctionnalités.
Logique de nouvelle tentative
Mettez en œuvre une logique de nouvelle tentative avec backoff exponentiel pour la résilience.
Mise en cache
Mettez en cache les métadonnées de clés lorsque c'est possible pour réduire les appels d'API.
Répartition de la charge
Répartissez la charge entre les Key Vaults pour un débit optimal.
Bonnes pratiques DuoKey MPC
Configuration MPC
| Environnement | Seuil | Pourcentage |
|---|---|---|
| Production | 3 sur 5 | 60 % |
| Haute sécurité | 4 sur 7 | 57 % |
| Standard | 2 sur 3 | 67 % |
Répartissez les nœuds MPC sur différentes régions cloud, centres de données, emplacements physiques et domaines administratifs.
Maintenance des nœuds
Mettez régulièrement à jour le logiciel des nœuds MPC, surveillez la santé et la disponibilité des nœuds, testez les procédures de basculement des nœuds et maintenez des nœuds de secours.
Gestion des parts de clés
Stockez les parts dans des emplacements sécurisés distincts, mettez en œuvre un contrôle multipersonne, vérifiez régulièrement l'intégrité des parts et testez les procédures de reconstruction.
Optimisation des coûts
Considérations relatives aux licences
| Composant | Exigence |
|---|---|
| Office 365 | E5 requis pour Customer Key |
| Azure | Coûts d'abonnement pour les Key Vaults |
| DuoKey | Licences basées sur l'utilisation |
| Croissance | Prévoir la croissance du nombre d'utilisateurs |
- Supprimez les clés inutilisées après la période de conservation
- Consolidez les Key Vaults lorsque cela est approprié
- Utilisez le SKU approprié (Premium pour les clés adossées à un HSM)
- Surveillez les taux de transaction pour éviter les opérations inutiles
Formation et sensibilisation
Formation du personnel
Prérequis
- Concepts de Customer Key
- Procédures de gestion des clés
- Bonnes pratiques de sécurité
- Réponse aux incidents
- Exigences de conformité
- Utilisation des outils (PowerShell, portail Azure, DuoKey)
Calendrier de formation
| Type de formation | Fréquence |
|---|---|
| Formation initiale | Avant la mise en œuvre |
| Formation de remise à niveau | Trimestrielle |
| Procédures d'urgence | Semestrielle |
| Nouvelles fonctionnalités | Au fur et à mesure de leur publication |
| Mises à jour de conformité | Selon les besoins |
Cadres de conformité
- Tenir des registres des traitements de données
- Mettre en œuvre la protection des données dès la conception
- Activer la portabilité des données
- Prendre en charge le droit à l'effacement
- Documenter les transferts transfrontaliers