Les sections ci-après présentent les pratiques conseillées à prendre en compte pour ArcGIS Online. Ces pratiques conseillées impliquent l’authentification, l’autorisation, le chiffrement et les paramètres de sécurité propres à l’application susceptibles de renforcer la posture sécuritaire globale de l’implémentation de ArcGIS Online d’une organisation.
Paramètres de sécurité de l'application
ArcGIS Online permet aux clients de renforcer la posture sécuritaire de leur organisation en appliquant les paramètres de sécurité appropriés. Lorsque cela est possible, il est recommandé aux clients de suivre les pratiques conseillées ci-dessous.
- Autorisez uniquement les requêtes SQL standard.
- Appliquez des requêtes paramétrées par défaut pour réduire la probabilité de vulnérabilité face aux attaques par injection de code SQL.
- Ce comportement contribue au respect des pratiques conseillées du secteur d’activité en matière de sécurité OWASP.
- N’autorisez pas l’accès anonyme à votre organisation sauf si cela est nécessaire.
- N’autorisez pas les membres à partager du contenu en dehors de l’organisation sauf si cela est nécessaire.
- Pour plus d’informations, reportez-vous à la rubrique Configurer les paramètres de sécurité dans l’aide de ArcGIS Online.
Authentification
L’authentification implique la vérification des identifiants de connexion lors d’une tentative de connexion afin de confirmer l’identité du client.
- Configurez des identifiants de connexion d’entreprise avec Security Assertion Markup Language (SAML) 2.0, pour permettre à votre organisation de gérer les identités fédérées. Les utilisateurs peuvent alors se connecter à ArcGIS Online avec les mêmes identifiants de connexion que ceux utilisés pour accéder aux systèmes d’information de l’entreprise et bénéficier de la connexion unique. Ils doivent utiliser un fournisseur d’identités compatible avec SAML. Voici une liste de fournisseurs d’identités qui ont été intégrés grâce à l’utilisation d’identifiants de connexion d’entreprise et les liens associés donnant accès aux instructions d’installation, bien que d’autres fournisseurs d’identités compatibles avec la norme SAML 2.0 puissent être utilisés :
- Si aucun fournisseur d’identités n’est disponible dans l’entreprise, il est vivement recommandé aux organisations d’activer les fonctionnalités suivantes :
- Authentification multifacteur pour ArcGIS Online
- Stratégies de mot de passe sécurisé qui respectent les critères de l’organisation
- Pour plus d’informations, consultez le document Organization-Specific Logins FAQ.
Autorisation
Le processus d’autorisation consiste à vérifier les autorisations client avant l’accès à une ressource. Il se produit après la réussite de l’authentification.
ArcGIS Online permet aux organisations de spécifier des autorisations de sécurité plus granulaires pour les membres à l’aide de rôles personnalisés. Les rôles personnalisés renforcent le contrôle et la flexibilité de l'attribution de privilèges aux membres de votre organisation.
- Utilisez un modèle de moindre privilège pour attribuer des types d’utilisateurs et gérer les rôles dans ArcGIS Online.
- Il existe quatre rôles par défaut : Administration, Publication, Utilisation et Mise à jour.
- Il existe cinq types d’utilisateurs : GIS Professional, Creator, Field Worker, Editor et Viewer.
- ArcGIS Online permet également à l’administrateur de configurer des rôles personnalisés qui peuvent affiner davantage les privilèges en fonction des processus propres à une organisation.
- Pour plus d’informations, reportez-vous à la rubrique Configurer les rôles dans l’aide de ArcGIS Online.
Chiffrement
Le chiffrement consiste à transformer des données afin qu’elles deviennent illisibles à ceux qui ne possèdent pas de clé de déchiffrement. ArcGIS Online permet aux clients de protéger les données en transit en exigeant l’utilisation du protocole HTTPS pour l’accès à leur organisation ArcGIS Online et en obligeant les connexions à utiliser TLS 1.2.
Journalisation et audit
La journalisation consiste à enregistrer des événements présentant un intérêt au sein d’un système. L’audit consiste à inspecter ces journaux pour s’assurer que le système fonctionne correctement ou pour répondre à une question concernant une transaction spécifique qui a été effectuée.
- Utilisez View Status (Consulter le statut) dans votre organisation ArcGIS Online pour afficher l’utilisation des crédits, des informations sur le contenu et des détails sur les membres et les groupes.
- Utilisez Download Activity Log (Télécharger le journal d’activité) pour interroger les événements historiques survenus dans une organisation ArcGIS Online.
- Utilisez ArcGIS Dashboards pour :
- Surveiller les activités et les événements.
- Suivre vos équipes sur le terrain.
- Évaluer le statut et les performances des opérations quotidiennes.
- ArcGIS Online effectue la journalisation et l’audit au niveau du système pour respecter les critères de l’accréditation FedRAMP Tailored de niveau Low (Faible)
Contenu associé
Reportez-vous à la rubrique Documents pour consulter des présentations et des documents de référence concernant la sécurité, la confidentialité et la conformité de la plateforme ArcGIS.
Vous avez un commentaire à formuler concernant cette rubrique ?