Sécurité des données

Accès à la base de données

A travers la console d’administration Sage XRT Common Services, vous définissez le mode de fonctionnement de la gestion des droits d’accès des utilisateurs aux applications Sage XRT.

Les permissions peuvent être affectées selon deux modes distincts :

  • Si vous souhaitez mettre en place une gestion simple des droits d'accès aux applications, qui ne fait intervenir qu'un seul administrateur de sécurité, sélectionnez [Les droits d’accès sont accordés par un administrateur de sécurité].
  • Si vous souhaitez mettre en place une gestion des droits d’accès aux applications dans laquelle toute opération effectuée par un administrateur de sécurité doit être validée par un deuxième administrateur de sécurité, sélectionnez [Les droits d’accès sont accordés par un administrateur de sécurité de niveau 1 puis validés par un administrateur de sécurité de niveau 2].

Suivant le type d’authentification utilisé par le DBA pour se connecter au serveur de bases de données, plusieurs options sont disponibles :

  • Utiliser la sécurité intégrée de Windows NT : le DBA est authentifié grâce à son compte NT (ce niveau d’authentification est préconisé).
  • Utiliser un nom d’utilisateur et un mot de passe : le DBA est authentifié grâce à un nom d’utilisateur et un mot de passe.

Définition d’une politique de sécurité via Sage XRT Common Services

Outre les diverses fonctionnalités qu’elle propose, la gestion des identités et des accès doit apporter la preuve de son bon fonctionnement.

Ces preuves doivent être fournies sur demande à un auditeur, sous forme de trace écrite, afin d’être archivées.

Les preuves fournies doivent porter sur les domaines fréquemment couverts par les audits :

- Activité des administrateurs

  • création d’un utilisateur
  • suppression d’un utilisateur
  • changement du mot de passe d’un utilisateur
  • changement dans la stratégie de gestion des mots de passe
  • changement de la configuration de l’accès à l’annuaire LDAP
  • accès accordé à une fonction ou à un produit
  • accès refusé à une fonction ou à un produit

- Activité des utilisateurs finaux

  • connexion d’un utilisateur (login),
  • déconnexion d’un utilisateur (logoff),
  • messages spécifiques de l’application

- Tests de conformité avec la politique de sécurité

  • compte utilisateur verrouillé après N tentatives infructueuses de connexion.

Le tableau Audit Utilisateurs décrit les actions effectuées par les utilisateurs.

Le tableau de l’Audit Système décrit toutes les actions exécutées à un instant T pour chaque utilisateur.

Reporting de sécurité

La console d’administration Sage XRT Common Services vous permet d’éditer un rapport détaillant les fonctionnalités autorisées / interdites pour chaque profil, pour chacun des produits de la plate-forme.

Conformité avec la loi Sarbanes Oxley

La loi Sarbanes Oxley impose la définition des règles de sécurité d’accès aux applications.

Ce chapitre passe en revue plusieurs points sensibles liés à la sécurité d’accès et d’utilisation des produits Sage XRT pour un utilisateur commun.

La gestion des mots de passe au sein des applications Sage XRT est conforme aux exigences de la loi Sarbanes Oxley.

Point de sécurité Sage XRT Advanced Sage XRT Treasury Sage XRT Comm/Sign Sage XRT Business Exchange (poste lourd) Sage XRT Business Exchange (module Web)
Le système doit gérer des profils
Le mot de passe est obligatoire
Un mot de passe standard est donné à tous ou à un groupe à la création du compte
Le mot de passe doit être changé à la première connexion
paramétrable
paramétrable
paramétrable
paramétrable
paramétrable
Le mot de passe doit avoir 6 caractères minimum, dont 1 majuscule et 1 chiffre
paramétrable
paramétrable
paramétrable
paramétrable
paramétrable
Le mot de passe doit être changé tous les 42 jours
paramétrable
paramétrable
paramétrable
paramétrable
paramétrable
Le système historise les mots de passe. Les 4 derniers ne peuvent être réutilisés
paramétrable
paramétrable
paramétrable
paramétrable
paramétrable
Le mot de passe ne peut pas être enregistré pour qu'il ne soit plus demandé lors des connexions suivantes

 = Dans le cadre d’une sécurité NT totale, le mot de passe utilisé est celui de Windows qui est caché pour permettre des connexions off-line.

 = Dans le cadre de la sécurité standard XRT, le mot de passe applicatif n’est pas enregistré.
Le mot de passe est verrouillé après 3 saisies de mot de passe incorrects. Il est réactivé au bout de 10 minutes
paramétrable
paramétrable
paramétrable
paramétrable
paramétrable
Le compte ne sera pas verrouillé s’il n'est pas utilisé pendant plusieurs jours
La session est verrouillée au bout de dix minutes d'inactivité
temps paramétrable
Les règles de sécurité ne peuvent être modifiés depuis la station de travail de l'utilisateur
Les accès à l'application doivent être loggés
Pour les non CDI, obligation de saisir une date de fin de validité, qui sera en relation avec la date de fin de contrat
paramétrable
paramétrable
paramétrable
paramétrable
paramétrable