Conformité de la sécurité des e-mails pour les secteurs réglementés

Des référentiels tels que DORA, NIS2, le RGPD et KRITIS ont fait de la sécurité des communications professionnelles une responsabilité qui relève du conseil d’administration. Le chiffrement seul ne suffit plus : les organisations doivent être en mesure de montrer comment les messages sont protégés, qui peut y accéder, où les données sont traitées et comment la gouvernance des clés est assurée, y compris pour les échanges transfrontaliers.

Les plateformes de messagerie généralistes offrent rarement ce niveau de preuve. Un service de chiffrement dédié fournit aux équipes chargées de la conformité, de la sécurité et de l’audit un point de contrôle unique et un historique cohérent.

CloudPGP fournit des fonctionnalités de chiffrement, de contrôle d’accès et d’audit qui vous aident à respecter les exigences de ces référentiels en matière de sécurité des communications :

Aucun produit ne rend à lui seul une organisation conforme. Le caractère suffisant de ces mesures dépend de votre secteur, de votre évaluation des risques, de votre configuration et de vos contrats, par exemple un accord de partenaire commercial (Business Associate Agreement) au titre de HIPAA.

Le lieu de traitement et de stockage des e-mails chiffrés relève d’une décision de gouvernance. La plateforme Echoworx exploite des centres de données sécurisés et hautement performants dans cinq régions :

• États-Unis
• Canada
• Royaume-Uni
• Irlande
• Allemagne

Cette implantation régionale maintient les données à proximité des lieux où les organisations et leurs clients exercent leurs activités, et contribue au respect des obligations en matière de résidence des données et de transferts transfrontaliers prévues par le RGPD et les règles nationales.

• Des installations conçues pour la sécurité et la redondance.
• Des certifications SOC 2, PCI DSS et ISO couvrant la sécurité physique, la sécurité des systèmes et la sécurité opérationnelle.
• Des contrôles d’accès stricts, soumis à une revue continue.

Les autorités de régulation et les auditeurs attendent des preuves, pas des assurances. CloudPGP applique le chiffrement au moyen de politiques gérées de manière centralisée et enregistre les principaux événements, notamment la génération des clés, l’émission des certificats, le déclenchement des politiques et l’état de remise des messages.

Ces enregistrements facilitent l’examen interne, l’investigation des incidents et la constitution de preuves d’audit. Consultez la page Contrôles de sécurité pour le détail des contrôles relatifs à l’administration, aux locataires et à la journalisation.

Un chiffrement fort constitue le point de départ. La plateforme s’appuie sur des normes établies et largement étudiées :

• le chiffrement asymétrique RSA 2048 bits ;
• le chiffrement symétrique AES-256 ;
• le hachage SHA-2 pour l’intégrité des messages ;
• les certificats ANSI X.509 et les protocoles de messagerie S/MIME.

La plateforme Echoworx s’intègre à AWS Key Management Service (AWS KMS), qui utilise des modules de sécurité matériels (HSM) résistants aux manipulations et validés FIPS 140-3 Level 3. Les clés servant au traitement du portail sécurisé, de PGP et de S/MIME sont conservées dans la mémoire protégée des HSM et ne sont jamais exposées en dehors de celle-ci.

Cette approche fondée sur des HSM maintient en permanence le matériel cryptographique sous gouvernance et sous-tend les options de contrôle des clés par le client, telles que Manage Your Own Key (MYOK). Consultez la page Gestion des clés.

Les futurs ordinateurs quantiques menacent les algorithmes à clé publique actuels : la préparation doit donc commencer dès maintenant. Echoworx déploie actuellement une cryptographie post-quantique hybride fondée sur des algorithmes recommandés par le NIST. Ce déploiement couvre :

• des algorithmes résistants aux attaques quantiques pour S/MIME, PGP et TLS, en avance sur leur adoption généralisée par le secteur ;
• des clés AES gérées dans AWS KMS pour renforcer les messages du portail sécurisé et les messages PDF ;
• un TLS post-quantique hybride protégeant les appels à l’API AWS KMS.

La résilience découle de l’architecture. La plateforme Echoworx est construite en couches protégées :

• Des zones réseau étagées, l’accès public étant limité à la zone la plus externe.
• Des services frontaux isolés des composants opérationnels et des ressources les plus sensibles, comme les clés privées et les identifiants hachés.
• De multiples pare-feu appliquant des politiques strictes sur chaque segment.
• Une détection des intrusions avec des alertes en temps réel pour une réaction immédiate.

Pour les établissements réglementés, la résilience doit pouvoir être démontrée. La plateforme offre :

• Une redondance régionale complète, avec une réplication des données en temps réel pour la reprise après sinistre.
• Des plans de continuité d’activité et de reprise après sinistre testés au moins une fois par an.
• Une gouvernance continue fondée sur des politiques documentées, des évaluations annuelles des risques et des audits externes.
• Des contrôles relatifs au personnel, notamment des vérifications des antécédents, des accords de confidentialité et des formations adaptées à chaque fonction.

La vérification indépendante compte autant que les contrôles eux-mêmes. La plateforme Echoworx sur laquelle fonctionne CloudPGP détient les certifications et accréditations suivantes :