Idées
La sécurité fixe la règle, l’exploitation l’applique
Gouverner les secrets demande deux rôles qui collaborent étroitement et ne se confondent jamais: la sécurité écrit la politique, l’exploitation fait tourner l’outil, et les deux le choisissent ensemble
Quand une organisation choisit un gestionnaire de secrets, le débat porte sur l’outil: Vault, un service cloud, ce que la chaîne d’intégration propose déjà. Dans le retour d’expérience sur la gestion des secrets que j’ai présenté ce printemps, la comparaison des outils n’en était qu’une partie. La dernière section portait sur la gouvernance, car c’est d’elle que dépend la réussite du déploiement.
D’abord le périmètre. Un secret n’est pas forcément un mot de passe: identifiants, clés de chiffrement, clés privées et certificats, jetons entre services, toute donnée sensible en est un. Et du développement à la production, il passe entre les mains de plusieurs personnes aux niveaux d’accès différents.
Ensuite, deux rôles.
La sécurité définit et maintient les politiques. Elle gère les accès et les autorisations, fixe la fréquence de rotation de chaque type de clé, décide de la distribution et du stockage des clés de descellement (unseal keys) et de la révocation du root token, que Vault recommande dès qu’il n’est plus nécessaire.
L’exploitation met en place et déploie l’outil, le fait tourner et le supervise, automatise les accès et les autorisations, et l’améliore en continu.
Les deux participent au choix de l’outil, et deux liens les tiennent ensemble: la collaboration et la communication.
La sécurité écrit la règle. L’exploitation la fait vivre chaque jour, sans qu’on ait à le lui demander
Pourquoi ne pas fusionner les deux? Quand la sécurité exploite aussi la plateforme, chaque accès devient une demande adressée à une équipe qui n’est pas faite pour automatiser, et les autres équipes finissent par la contourner. Quand l’exploitation écrit aussi les règles, la fréquence de rotation glisse vers ce qui est simple à automatiser, et celui qui garde les clés décide de la façon dont elles sont gardées. Dans les deux cas, la séparation que l’outil devait garantir se dissout dans l’équipe qui le fait tourner.
Le test, avant tout choix d’outil: pour chaque ligne de la politique, savoir nommer qui l’écrit et qui l’applique. Si le même nom apparaît des deux côtés, c’est par là qu’il faut commencer.