IntelyCare

Un pionnier des technologies de santé SaaS utilise Tenable Cloud Security pour automatiser la remédiation du risque et le principe du moindre privilège

Le défi

IntelyCare, une entreprise cloud native dans le secteur des technologies de santé, gère et développe ses activités en utilisant plusieurs comptes AWS. L'expansion rapide récente de sa base de clients et d'utilisateurs, ainsi que l'augmentation de l'utilisation des données médicales, ont rendu sa plateforme cloud vulnérable aux attaques.

Larry Viviano, le directeur de la sécurité de l'information d'IntelyCare, explique : « Nous sommes la cible parfaite pour des voleurs d'identité. En effet, nos employés de téléassistance ont accès à des données sensibles, notamment des informations personnelles protégées comme des tests de dépistage du COVID, des documents de vaccination ou des dossiers médicaux. »

Afin de protéger l'infrastructure cloud de son entreprise, Larry Viviano avait une stratégie clairement établie, dont la première étape était la conformité aux références CIS (Center for Internet Security). « En vue d'obtenir cette conformité, l'une des premières choses à faire est d'inventorier tous nos logiciels et matériels. » Pour cela, Larry Viviano avait besoin de visibilité sur tous les composants de l'inventaire au sein de son environnement cloud complexe. Il souhaitait également automatiser l'atténuation du risque. « L'automatisation, c'est mon truc. Nous sommes une petite équipe de sécurité qui essaie de faire beaucoup de choses, c'est pourquoi j'utilise des outils capables de remplacer certains postes et d'améliorer la productivité. »

Malgré tout, il précise : « Au fil du temps, j'ai été échaudé par de nombreux outils d'automatisation qui prétendaient pouvoir faire des choses dont ils étaient en fait incapables, et qui pouvaient même entraîner une interruption de la production. À cause de tels outils, les équipes DevOps se méfient des praticiens de la sécurité, car ils pensent que ceux-ci vont casser leurs systèmes. » Viviano savait que s'il voulait atteindre ses objectifs, il lui fallait gagner la confiance de tous les acteurs de la sécurité du cloud de son entreprise.

La solution

Il se rappelle d'ailleurs : « J'ai commencé à me pencher sur la solution [Tenable Cloud Security] chez un de mes anciens employeurs. J'ai vu qu'elle offrait la visibilité sur les accès et les privilèges qu'habituellement seules les équipes DevOps, techniques ou infrastructure peuvent voir. [Tenable] m'a offert une grande visibilité et m'a permis de montrer aux équipes concernées comment nous pouvions alléger leurs missions. C'était notre première utilisation de votre solution, et elle a été aussi remarquable que remarquée. »

L'équipe de sécurité d'IntelyCare a d'abord commencé à déployer Tenable Cloud Security dans l'un de ses environnements de pré-production en se concentrant sur les risques les plus élevés, que la plateforme a classé par sévérité. « [Tenable] identifie le risque et vous indique comment y remédier. Cette approche prescriptive est géniale, car elle contribue à expliquer à de nombreux groupes différents ce qu'il faut faire », explique Larry Vivano. « Nous avons redonné confiance en la sécurité, à tel point que nous avons voulu commencer à corriger certains de nos problèmes de risque dans AWS. Grâce à [Tenable Cloud Security], nous avons éliminé toutes les configurations avec des privilèges excessifs pour les utilisateurs IAM, puis de même pour les services. Nous avons effectué toutes les remédiations automatiques possibles, et tout ça en deux mois seulement. N'ayant rien cassé sur notre passage, nous avons poursuivi sur cette lancée, tâche après tâche, éliminant toujours plus de risques. »

Larry Viviano ajoute : « Puisque le personnel de sécurité n'utilise pas AWS à ce niveau, nous utilisons [Tenable] comme un outil de collaboration pour transmettre un playbook de remédiation clair aux parties concernées en vue d'une mise en œuvre facile. Nous ouvrons un ticket de sécurité dans [Tenable Cloud Security], nous l'attribuons à notre workflow Jira, et le tour est joué ».

La plateforme accompagne la stratégie de sécurité d'IntelyCare. « Nous devons maintenir nos références CIS à jour. », déclare Larry Viviano. Et c'est là que [Tenable] entre en jeu, car la solution nous offre plus qu'un simple aperçu de nos identités dans le cloud. Elle nous informe sur les mauvaises configurations qui affectent les références et qui doivent donc être corrigées, et elle nous permet de le faire. » Dans le cadre de ses initiatives de conformité aux références CIS, IntelyCare a également récemment déployé l'authentification multifacteur, un autre des nombreux facteurs de risque suivis par Tenable.

IntelyCare élargit actuellement le déploiement de Tenable Cloud Security à tous ses environnements AWS, y compris Kubernetes et en production. Viviano explique : « [Tenable Cloud Security] nous est indispensable pour savoir comment nos environnements AWS sont utilisés. Sans Tenable, notre approche serait en grande partie manuelle : nous devrions contacter les équipes DevOps pour obtenir les listes de nos machines virtuelles, puis ensuite évaluer le risque de chaque appareil et comment les sécuriser. » Il ajoute : « Grâce à [Tenable], il me suffit de quelques minutes pour afficher des résultats et entreprendre des actions qui auraient pris des mois à deux ou trois personnes chargées de la sécurité. En toute transparence, je pense que c'est cet aspect-là de [Tenable] qui nous assure le meilleur retour sur investissement. Nous pouvons automatiser ces actions et obtenir une visibilité instantanée. »

À cela, Larry Viviano conclut : « La prochaine étape pour nous est de commencer à appliquer les politiques recommandées par [Tenable Cloud Security]. Notre entreprise cherche véritablement à suivre le principe du moindre privilège, et [Tenable] nous aide à y parvenir. [Tenable] répond à une demande à laquelle aucune de nos autres solutions de sécurité du cloud ne répond : nous donner de la visibilité et renforcer la sécurité, tout en gagnant la confiance et en assurant la coopération avec les DevOps et les autres équipes pour atténuer le risque lié à l'identité. C'est ainsi que nous pouvons atteindre les objectifs de sécurité de l'entreprise. »