<ul><li>DAT211 </li></ul>Regis Mauger, Architecte Patrick Guimonet, Architecte Infrastructure http://blogs.technet.com/pat...
<ul><li>Introduction </li></ul><ul><li>SQL Server 2008 et la conformité  </li></ul><ul><ul><li>Sécurité </li></ul></ul><ul...
<ul><li>Obtenir les résultats désirés et ceci de la bonne manière :  </li></ul><ul><ul><li>Participation </li></ul></ul><u...
Sarbanes-Oxley Fiscal accountability for all public companies Basel II  Capital assessment  and reporting standards  for g...
<ul><li>Les règlementations récentes exigent des processus pas simplement des résultats </li></ul><ul><li>Sarbanes-Oxley: ...
<ul><li>Menaces </li></ul><ul><li>Risque sur le budget IT, si la conformité est traitée en mode réactif </li></ul><ul><li>...
<ul><li>Surface Area Configuration </li></ul><ul><li>Gestion de l’Identité </li></ul><ul><li>Gestion des clés d’encryption...
<ul><li>A partir de SQL Server 2008, l’outil de Configuraion de la Surface d’Exposition est remplacé par un ensemble de rè...
Backup Operator Application Admin Application Admin Auditor User Admin P123#$? securityadmin role manages logins
<ul><li>Audit des changements sur les comptes </li></ul><ul><li>Réduction de l’usage du compte ‘sa’ </li></ul><ul><ul><li>...
Algorithmes disponibles :  AES (128, 192, 256 bits) et3DES Protection Gestion des Clés externe Rotation Serveur de clés Sa...
 
 
<ul><li>Une solution complète en 2008 basée sur les éléments présents en 2005 </li></ul><ul><li>L’audit est un objet serve...
<ul><li>Nouveaux objets pour la configuration de l’audit </li></ul><ul><ul><li>Accessibles en T-SQL </li></ul></ul><ul><li...
Cible Audit Serveur  Audit Base de données CREATE AUDIT HIPAA_Audit     TO FILE ( FILENAME=’RO1AudHIP_ADT.aud’,   MAX_SIZE...
 
 
2008
<ul><li>Réduire ma surface d’attaque </li></ul><ul><ul><li>XPCmdShell == False </li></ul></ul><ul><ul><li>SQLCLR == True <...
Type de cible Facet :  caractériques définissant un type de cibles Politique Etat désiré Quand Quoi Cible Instance de cibl...
MSDB (Policy Store) 2008 Policy Event Handler Policy Invoker SQLCLR Policy Engine SMO Facet SQL Server Database Engine  SQ...
MSDB (Policy Store) Synchronous Events Asynchronous Events 2008 Relational  Engine Eventing Policy Service  Broker Queue P...
 
 
<ul><li>Blog </li></ul><ul><li>2 ensembles d’outils </li></ul><ul><li>Site sur la conformité </li></ul>
 
© 2009 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be...
Prochain SlideShare
Chargement dans…5
×

2009-02-12 DAT211 Prendre ou reprendre le contrôle de vos instances SQL Server - Conformité qualité de service et bonnes pratiques

1 240 vues

Publié le

DAT211 Prendre ou reprendre le contrôle de vos instances SQL Server - Conformité qualité de service et bonnes pratiques

0 commentaire
0 j’aime
Statistiques
Remarques
  • Soyez le premier à commenter

  • Soyez le premier à aimer ceci

Aucun téléchargement
Vues
Nombre de vues
1 240
Sur SlideShare
0
Issues des intégrations
0
Intégrations
42
Actions
Partages
0
Téléchargements
26
Commentaires
0
J’aime
0
Intégrations 0
Aucune incorporation

Aucune remarque pour cette diapositive
  • 06/07/09 22:23 © 2007 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.
  • 2009-02-12 DAT211 Prendre ou reprendre le contrôle de vos instances SQL Server - Conformité qualité de service et bonnes pratiques

    1. 1. <ul><li>DAT211 </li></ul>Regis Mauger, Architecte Patrick Guimonet, Architecte Infrastructure http://blogs.technet.com/patricg Microsoft France
    2. 2. <ul><li>Introduction </li></ul><ul><li>SQL Server 2008 et la conformité </li></ul><ul><ul><li>Sécurité </li></ul></ul><ul><ul><li>Encryptions </li></ul></ul><ul><ul><li>Audit </li></ul></ul><ul><ul><li>Administration par règles (PBM) </li></ul></ul><ul><li>Conclusion </li></ul>
    3. 3. <ul><li>Obtenir les résultats désirés et ceci de la bonne manière : </li></ul><ul><ul><li>Participation </li></ul></ul><ul><ul><li>Transparence </li></ul></ul><ul><ul><li>Réactivité </li></ul></ul><ul><ul><li>Implication </li></ul></ul><ul><ul><li>Décisions et actions consensuelles </li></ul></ul><ul><ul><li>Efficacité </li></ul></ul><ul><ul><li>Responsabilité </li></ul></ul><ul><ul><li>Vision Stratégique </li></ul></ul>‘ The need for governance exists anytime a group of people come together to accomplish an end’’ Source: Institute On Governance
    4. 4. Sarbanes-Oxley Fiscal accountability for all public companies Basel II Capital assessment and reporting standards for global banking USA PATRIOT Act Customer documentation requirements in order to “know your customer” DoD 5015.2 and UK PRO Federal standards of records management Health Insurance Portability and Accountability Act (HIPAA) NASD 3110 Written policies and procedures for review of correspondence with the public All records related to securities transactions to be maintained for 3 years Gramm-Leach Bliley Act (GLBA) Privacy of financial information Right to carry insurance between job; privacy of patient Information SEC Rules 17a-3 & 17a-4
    5. 5. <ul><li>Les règlementations récentes exigent des processus pas simplement des résultats </li></ul><ul><li>Sarbanes-Oxley: </li></ul><ul><ul><li>Documentation des processus de fin de relevés financiers </li></ul></ul><ul><ul><li>Documentation et certification des contrôles </li></ul></ul><ul><ul><li>Audit des environnements d’exécution des processus </li></ul></ul><ul><ul><li>Etat en temps réel des changements financiers </li></ul></ul><ul><li>Bâle II </li></ul><ul><ul><li>Analyse de risque complète </li></ul></ul><ul><li>Règles de confidentialité </li></ul><ul><ul><li>Démonstrations de collaboration et communication sécurisées </li></ul></ul><ul><li>Anti-terrorisme, anti-blanchiment, anti-fraude </li></ul>
    6. 6. <ul><li>Menaces </li></ul><ul><li>Risque sur le budget IT, si la conformité est traitée en mode réactif </li></ul><ul><li>Conformité en “silo” à l’encontre de la flexibilité </li></ul><ul><li>IT devient le bouc émissaire des non-conformités </li></ul><ul><li>Opportunités </li></ul><ul><li>Focus sur l’amélioration des processus </li></ul><ul><li>Les architectures de processus et de conformité d'entreprise améliorent l'agilité de l’organisation </li></ul><ul><li>Accroissement de l’automatisation des contrôles </li></ul><ul><li>IT mieux aligné avec les métiers et délivrant une plus grande valeur à ceux-ci </li></ul>
    7. 7. <ul><li>Surface Area Configuration </li></ul><ul><li>Gestion de l’Identité </li></ul><ul><li>Gestion des clés d’encryptions des données </li></ul><ul><li>Gestion des clés </li></ul><ul><li>Audit SQL Server </li></ul><ul><li>Administration par règles (PBM - Policy Based Management) </li></ul>
    8. 8. <ul><li>A partir de SQL Server 2008, l’outil de Configuraion de la Surface d’Exposition est remplacé par un ensemble de règles/ </li></ul>
    9. 9. Backup Operator Application Admin Application Admin Auditor User Admin P123#$? securityadmin role manages logins
    10. 10. <ul><li>Audit des changements sur les comptes </li></ul><ul><li>Réduction de l’usage du compte ‘sa’ </li></ul><ul><ul><li>Renommer le compte </li></ul></ul><ul><ul><li>Dé-valider le compte </li></ul></ul><ul><ul><li>Restreindre les affectations à ‘sysadmin’ </li></ul></ul><ul><ul><li>Auditer toutes les actions du compte ‘sa’ </li></ul></ul><ul><li>S’assurer que les utilisateurs ne sont pas dans plus d’un rôle </li></ul>Backup Operator Security Admin Application Admin Auditor
    11. 11. Algorithmes disponibles : AES (128, 192, 256 bits) et3DES Protection Gestion des Clés externe Rotation Serveur de clés Sauvegarde db_ddladmin role peut gérer clés et certificats
    12. 14. <ul><li>Une solution complète en 2008 basée sur les éléments présents en 2005 </li></ul><ul><li>L’audit est un objet serveur à part entière </li></ul><ul><li>Granularité des actions auditées : objets bases de données et utilisateurs </li></ul><ul><li>Plusieurs sorties possibles : fichiers, journaux applicatifs ou système </li></ul>2008
    13. 15. <ul><li>Nouveaux objets pour la configuration de l’audit </li></ul><ul><ul><li>Accessibles en T-SQL </li></ul></ul><ul><li>Nouvelles permissions pour contrôler l’accès à l’audit </li></ul><ul><ul><li>i.e. “ ALTER ANY AUDIT ”, “ ALTER ANY AUDIT SPECIFICATION ” </li></ul></ul><ul><li>Filtrage basé sur les actions, les objects et les droits aux niveaux bases et serveur </li></ul><ul><ul><li>Compatibilité avec les groupes d’évènements SQLTrace </li></ul></ul><ul><ul><li>Audit pour les ordres Select, Insert, Update, Delete </li></ul></ul>Audit Audit Specification Locations File Audit Specification App Log Security Log 2008
    14. 16. Cible Audit Serveur Audit Base de données CREATE AUDIT HIPAA_Audit     TO FILE ( FILENAME=’RO1AudHIP_ADT.aud’, MAX_SIZE=100 MB, RESERVE_DISK_SPACE ) WITH (SHUTDOWN_ON_FAILURE = ON); CREATE AUDIT SPECIFICATION SvrAC ON SERVER TO HIPAA_Audit     ADD FAILED_LOGIN_GROUP; CREATE AUDIT SPECIFICATION AuditAC ON DATABASE TO HIPAA_Audit     ADD SELECT ON table::Customers(payment); 2008
    15. 19. 2008
    16. 20. <ul><li>Réduire ma surface d’attaque </li></ul><ul><ul><li>XPCmdShell == False </li></ul></ul><ul><ul><li>SQLCLR == True </li></ul></ul><ul><ul><li>DBMail == False </li></ul></ul><ul><ul><li>RemoteDAC == False </li></ul></ul>Les noms de vues doivent avoir la forme : “%_vw” Seules les versions Express et Developer sont autorisées sur les postes développeurs 2008
    17. 21. Type de cible Facet : caractériques définissant un type de cibles Politique Etat désiré Quand Quoi Cible Instance de cible Bases de données Catégories Catégories Administration des politiques 2008
    18. 22. MSDB (Policy Store) 2008 Policy Event Handler Policy Invoker SQLCLR Policy Engine SMO Facet SQL Server Database Engine SQL Server Agent
    19. 23. MSDB (Policy Store) Synchronous Events Asynchronous Events 2008 Relational Engine Eventing Policy Service Broker Queue Policy Event Handler SQLCLR Policy Engine SMO Facet SQL Server Database Engine
    20. 26. <ul><li>Blog </li></ul><ul><li>2 ensembles d’outils </li></ul><ul><li>Site sur la conformité </li></ul>
    21. 28. © 2009 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION. Votre potentiel, notre passion TM

    ×