Architecture de la sécurité

La plupart des plus grandes organisations financières du monde s'appuient sur la plateforme de force de travail numérique sécurisée d'Automation 360 pour automatiser les opérations sensibles du point de vue de la sécurité.

L'architecture de sécurité de la plateforme repose sur les principes du moindre privilège et un modèle strict de séparation des tâches avec 41 contrôles techniques mis en œuvre dans sept familles de contrôle NIST 800-53r4. Les contrôles sont appliqués sur trois composants : la Control Room, les Bot Creators (systèmes de développement) et les Bot Runners (temps d'exécution du robot) au cours du cycle de vie du robot, de la création à la désaffectation. Cette architecture de sécurité et les contrôles sous-jacents respectent les meilleures pratiques du secteur telles que définies par le NIST et peuvent être facilement mappées à d'autres cadres, par exemple CoBIT (SOX) et ISO 27002.

Contrôle d'accès

Automation 360 limite et contrôle l'accès humain et par les robots aux ressources logiques dans les composants.

  • Deux plans de contrôle indépendants imposent le moindre privilège. Seuls les développeurs sont autorisés à lire ou à écrire, tandis que seuls les utilisateurs de la Control Room autorisés peuvent exécuter des automatisations, (la Control Room autorise et exécute) sous réserve de contrôles d'accès en fonction du rôle (RBAC) précis allant jusqu'aux automatisations individuelles (le robot), aux Bot Runners et aux domaines.
  • La séparation des tâches au niveau du robot est appliquée. Chaque robot est masqué et exécuté par son ou ses Bot Runners autorisés correspondants.
  • L'exécution du Robot est contrôlée par le RBAC. Les privilèges de domaine sont définis entre les groupes de robot et de Bot Runners.
  • Sécurité au repos et en transit : Toutes les informations d'identification d'accès sont sécurisées au repos via un Credential Vault central avec prise en charge pour les magasins d'informations identification tiers. Toutes les communications sont sécurisées en transit via SSL et TLS.

Gestion de la configuration

La gestion de la configuration est contrôlée au niveau des robots et des Bot Runner.

  • La Control Room autorise, applique et enregistre les modifications apportées à tous les Bot Creators et Bot Runners.
  • Les Robots sont contrôlés via un système de contrôle de version robuste, pour la restauration et l'enregistrement complet des événements.
  • Le contrôle de modification des Robot sur l'exécution est appliqué par chiffrement et authentification.

Identification et authentification

L'identification et l'authentification sont contrôlées par les services d'authentification Microsoft Windows.

  • Les Bot Creators utilisent Active Directory pour l'authentification
  • Les Bot Runners ont deux niveaux d'authentification, un pour l'authentification de la connexion automatique de l'exécuteur et l'autre pour l'exécution des robots.
  • Les informations d'identification sont sécurisées au repos et en mouvement par le Credential Vault ou l'intégration à des produits tiers.

Évaluation des risques

L'évaluation des risques est effectuée dans le cadre d'évaluations des vulnérabilités statiques, dynamiques et axées sur le réseau. L'audit et la responsabilité sont établis par la capture d'événements, la journalisation et l'audit des trois composants avec capture d'événements granulaires au niveau du robot et la non-répudiation. Les outils d'analyse intégrés Bot Insight fournissent une réponse aux incidents en temps quasi réel et une intégration aux systèmes de gestion de l'information et des événements de sécurité.