Appian est un leader reconnu dans le domaine des plates-formes logicielles d'entreprise basées sur cloud depuis la sortie du cloud Appian en 2007. Dès le départ, nous avons conçu nos logiciels pour qu'ils s'intègrent et complètent les avantages uniques du cloud, et pour les protéger des vulnérabilités. Dans ce but, nous avons adopté une philosophie de conception unique, en utilisant des cadres de travail cloud-native et mondialement reconnus, comme celui du NIST (Institut national des normes et de la technologie), pour une protection optimale de la sécurité, une continuité des activités et un support amélioré.
Notre stratégie de sécurité repose sur des pratiques de défense en couches, où une architecture cloud-native constitue non seulement le cœur de sa conception, mais facilite également la sécurisation de tous les composants jusqu'à leurs niveaux les plus granulaires.
L'avantage architectural d'Appian.
L'architecture cloud-native constitue la base de la plate-forme Appian et offre de nombreux avantages, notamment en permettant des niveaux élevés de sécurité, d'évolutivité et de résilience.
L'architecture cloud-native utilise une approche en couches. Elle utilise trois « plans » : le plan des données, le plan de contrôle et le plan de gestion, chaque couche étant compartimentée et séparée des autres. Cela permet d'atteindre un niveau de sécurité plus élevé, car les informations de chaque niveau ne se mélangent pas aux autres niveaux, à moins que cela soit spécifiquement demandé.
Isolation de l'instance client.
Un site sur cloud n'est véritablement le vôtre que lorsqu'il offre un traitement et un stockage des données 100 % dédiés qui assure une séparation entre les serveurs ou les dépôts de données et ceux qui traitent et stockent les données de quelqu'un d'autre. Avec Appian, chaque instance client est complètement isolée de celle de tout autre client.
Cette architecture à instance unique est le modèle adéquat pour une mise en œuvre sécurisée du cloud. Elle ne mélange pas les données ou le traitement. Seule cette approche de l'architecture sur cloud permet de réaliser ce qui suit :
- Empêcher les données d'être lues ou écrites par erreur par un autre résident du cloud.
- Veiller à ce que les processus défectueux des autres ne provoquent pas de pannes ou n'affectent pas votre système.
- Limiter tout problème de sécurité ou toute vulnérabilité potentielle de l'instance sur cloud d'un client à cette seule instance, afin qu'elle ne compromette pas les applications ou les données des autres clients d'Appian.
Le cloud Appian fournit à chaque client une instance de machine virtuelle dédiée, unique, pour chaque site, qui isole le traitement et le stockage au niveau du système d'exploitation, de la base de données et des applications. Les ressources ne sont jamais partagées avec d'autres clients, de sorte que la mise en commun ou le traitement des données avec celles d'autres clients n'est jamais un problème.
Avec l'architecture multi-tenant habituelle fournie par la plupart des fournisseurs de services sur cloud, une violation de l'installation d'un seul client est une violation potentielle pour tous les clients. Ce n'est pas le cas avec Appian.
Pare-feux.
Les pare-feux à inspection d'état, tels que les groupes de sécurité, isolent chaque site et fournissent une sécurité au niveau de l'entrée et de la sortie grâce à un contrôle d'accès individuel et de groupe. Ils permettent également à Appian de contrôler précisément les serveurs autorisés à communiquer entre eux et la manière dont ils sont autorisés à communiquer. Tout trafic qui n'est pas explicitement défini n'est pas autorisé et les règles définissent les ports, les protocoles et les autres groupes de sécurité nécessaires, tels que les serveurs, qui sont autorisés à entrer dans ce serveur.
Cryptage de bout en bout et gestion avancée des clés.
Le cloud Appian utilise des algorithmes de cryptage puissants pour sécuriser les données en transit et au repos. Toutes les connexions au cloud Appian sont cryptées à l'aide du protocole TLS 1.2 ou supérieur. Les clients peuvent fournir leurs propres certificats TLS, y compris ceux à validation étendue, établir une liste blanche de plages d'adresses IP ou configurer des tunnels VPN entrants pour limiter les connexions aux utilisateurs de sites de confiance.
Les données au repos (qui comprennent toutes les données d'entreprise, de processus et de journal ainsi que tous les documents et tout ce qui se trouve dans un conteneur de stockage virtuel) sont protégées au niveau du disque virtuel à l'aide des meilleurs algorithmes normés du secteur, comme avec la norme AES, qui utilise des longueurs de clé considérées comme fortes, telles que 128 bits, 256 bits, etc.). Les sauvegardes de données sur les services AWS existants sont cryptées à l'aide d'algorithmes similaires.
Chaque site sur cloud Appian est protégé par des clés de chiffrement (KEK) uniques pour chaque client et chaque environnement client, comme le développement, les tests et la production.
Confiance Appian : programmes de conformité et d'audit.
Le programme complet de conformité à la sécurité du cloud Appian répond à un large éventail de normes industrielles, notamment les suivantes : Service Organization Control 2 (SOC 2), PCI-Data Security Standard (PCI-DSS), International Standard for Assurance Engagements (ISAE) 3402, GxP, Health Insurance Portability and Accountability Act (HIPAA), ISO 27001 et FedRAMP. Chaque certification fixe des exigences rigoureuses et exige des preuves de conformité à ces exigences. Chacune exige la soumission de résultats de tests et des audits sur site pour protéger les données des clients. Pour continuer à répondre aux exigences de certification des cadres de conformité, Appian organise de nombreux audits annuels de tiers pour valider que les contrôles fonctionnent efficacement.
Une liste complète et des détails peuvent être consultés sur trust.appian.com. Une cartographie des contrôles entre les nombreux cadres de conformité différents peut être trouvée en s'inscrivant au registre de la Cloud Security Alliance à l'adresse cloudsecurityalliance.org/registry/appian/.
Résumé
Alors que les grandes entreprises, les organismes réglementés et les agences du secteur public se tournent vers les environnements sur cloud, ils s'inquiètent à juste titre du mélange des données, des données non cryptées, des contrôles d'accès insuffisants et des actifs sur cloud non surveillés. Notre longue histoire a fait de l'architecture de sécurité du cloud Appian l'une des plus matures du marché. Appian s'engage à faire preuve de transparence en matière de sécurité et à aider ses clients à comprendre le cadre de sécurité du cloud Appian, y compris les multiples certifications de sécurité qu'Appian maintient pour valider une plate-forme sûre et fiable.
Pour en savoir plus, consultez le site du centre de Confiance Appian.
