GYCLOUDATA
Aperçu
Le client a subi une cyberattaque sévère qui a compromis les données patients et exposé des vulnérabilités de sécurité critiques. Au-delà de ces enjeux de sécurité, le client souhaitait moderniser ses applications et adopter une architecture cloud évolutive, son infrastructure on-premise existante étant limitée en flexibilité, en performance et en capacités de reprise après sinistre.
Pour remédier à la situation et renforcer la sécurité, nous avons mis en œuvre une stratégie de migration vers AWS, garantissant une sécurité, une résilience et une haute disponibilité robustes pour les applications clés du client, EMED et CEGI. Dans le cadre de cette transformation, l'architecture a été restructurée sur plusieurs zones de disponibilité (Zone 1 et Zone 2) plutôt que de tout conserver on-premise, améliorant considérablement la tolérance aux pannes et la redondance.
Cette migration renforce non seulement la sécurité, mais offre également au client une infrastructure moderne et évolutive, permettant une haute disponibilité, une reprise après sinistre et une meilleure efficacité opérationnelle, le positionnant ainsi comme une référence en matière de technologies de santé numériques sécurisées.
Contexte
La cyberattaque a été identifiée comme faisant partie d'une campagne plus large de rançongiciel ESXiArgs. Cette intrusion menaçait l'intégrité et la disponibilité des applications de santé critiques. Un plan de remédiation de sécurité urgent a donc été nécessaire pour :
- Sécuriser les données sensibles des patients.
- Renforcer l'infrastructure IT de la clinique.
- Migrer les applications critiques vers un cloud AWS évolutif et sécurisé.
L'infrastructure précédente de la clinique reposait largement sur des serveurs VMware ESXi on-premise, aux capacités de sécurité limitées et dépourvus de mécanismes de reprise après sinistre efficaces.
Objectifs
Le projet visait à atteindre les objectifs suivants :
- Sécuriser l'infrastructure IT
- Mettre en œuvre une détection avancée des menaces (AWS GuardDuty, AWS Inspector).
- Appliquer des politiques de sécurité renforcées (AWS WAF, AWS Network Firewall).
- Établir une surveillance et une journalisation continues avec AWS CloudTrail et CloudWatch.
- Migrer vers AWS Cloud pour une sécurité et une scalabilité renforcées
- Déployer une AWS Landing Zone sécurisée et multi-comptes avec une isolation réseau structurée.
- Mettre en œuvre une gouvernance des identités robuste via AWS IAM et AWS Organizations.
- Utiliser AWS Backup pour la reprise après sinistre et la résilience des données.
- Garantir la conformité et la résilience
- Introduire des Service Control Policies (SCP) pour restreindre les actions non autorisées.
- Mettre en œuvre le chiffrement et des contrôles d'accès sécurisés pour toutes les ressources cloud.
Solution d'architecture
Mise en place de l'AWS Landing Zone
Pour fournir un environnement AWS structuré et hautement sécurisé, les comptes AWS suivants ont été mis en place :
- Compte racine de l'organisation — Gouvernance et facturation centralisées.
- Compte d'archivage des logs — Stockage sécurisé des logs AWS (CloudTrail, Config).
- Compte de connectivité — Gestion des VPN, du Transit Gateway et du réseau VPC.
- Compte sécurité — Hébergement des services de sécurité (AWS GuardDuty, AWS Inspector, AWS WAF).
- Compte applicatif — Dédié à l'hébergement des applications EMED et CEGI.
Réseau et sécurité
- Architecture AWS VPC :
- VPC de production avec redondance multi-zone.
- VPC de sécurité dédié pour le pare-feu et l'inspection du trafic.
- AWS Transit Gateway (TGW) pour une connectivité sécurisée entre l'on-premise et AWS.
- Renforcements de sécurité :
- AWS GuardDuty pour la détection des menaces en temps réel.
- AWS WAF pour protéger les applications web contre les injections SQL et les attaques XSS.
- AWS Network Firewall pour filtrer et inspecter tout le trafic entrant/sortant.
Plateforme et services mis en œuvre
- Hébergement des applications
- Applications EMED et CEGI déployées sur des instances Amazon EC2.
- AWS Elastic Load Balancing (ALB/NLB) pour la haute disponibilité.
- Protection des données et conformité
- AWS Backup configuré pour des snapshots quotidiens avec une rétention de 30 jours.
- Les rôles et politiques AWS IAM appliquent le principe du moindre privilège.
- Surveillance et journalisation continues
- AWS CloudTrail pour les journaux d'audit sur l'ensemble des services AWS.
- AWS Config pour la surveillance de la conformité en temps réel.
- AWS SNS (Simple Notification Service) pour les alertes d'incident.
- Stockage sécurisé et migration des données
- Les buckets Amazon S3 stockent de manière sécurisée les sauvegardes et les données applicatives.
- Des politiques d'accès restreintes garantissent que seules les adresses IP autorisées peuvent interagir avec les données stockées.
Conclusion
Le client a réussi à atténuer les risques de sécurité et à moderniser son infrastructure IT en migrant vers AWS Cloud. Ce virage stratégique renforce la sécurité, la scalabilité et la haute disponibilité, permettant au client de fournir des services de santé sans interruption tout en garantissant une protection stricte des données et la conformité.
Principaux bénéfices du projet
Scalabilité et haute disponibilité
- Migration d'une configuration on-premise unique vers une architecture cloud AWS multi-sites et multi-zones (Zone 1 & Zone 2).
- Déploiement de l'Auto Scaling et de l'équilibrage de charge pour garantir des services de santé sans interruption.
- Optimisation des ressources de calcul et de stockage, réduisant les coûts opérationnels tout en améliorant l'efficacité.
Sauvegarde résiliente et reprise après sinistre
- Configuration d'AWS Backup pour des snapshots automatisés quotidiens avec une politique de rétention de 30 jours.
- Mise en œuvre de sauvegardes immuables via AWS Backup Vault Lock pour empêcher toute suppression ou altération.
- Activation de la restauration à un point dans le temps (PITR) pour une restauration rapide des données en cas d'incident.
- Déploiement d'Amazon S3 avec Object Lock pour un stockage immuable, garantissant une protection contre les rançongiciels.
Sécurité et conformité renforcées
- Mise en œuvre d'AWS GuardDuty, AWS WAF et AWS Network Firewall pour la détection et l'atténuation des menaces en temps réel.
- Renforcement de la gestion des identités et des accès (IAM) avec les politiques de sécurité AWS et AWS Identity Center.
- Application du chiffrement des données au repos et en transit via AWS Key Management Service (KMS).
- Adoption d'AWS Organizations et des Service Control Policies (SCP) pour la gouvernance et la conformité.
Connectivité fluide et infrastructure modernisée
- Intégration d'AWS Transit Gateway et d'un VPN Site-to-Site pour une connectivité hybride sécurisée et à haut débit.
- Mise en place d'une AWS Landing Zone dédiée pour segmenter les environnements (Production, Sécurité, Connectivité, Archivage des logs).
- Migration des applications historiques vers une architecture cloud-native, garantissant une évolutivité et une flexibilité futures.
Chiffrement et immuabilité des données
- Mise en œuvre d'un chiffrement de bout en bout pour toutes les données de santé sensibles :
- AWS KMS pour la gestion des clés et le chiffrement automatique des volumes EBS, RDS et du stockage S3.
- Chiffrement TLS pour les données en transit sur l'ensemble des services AWS.
- Des mécanismes de stockage immuable empêchent la suppression accidentelle ou malveillante des dossiers patients critiques.
- Adoption d'AWS CloudTrail et de la journalisation des accès S3 pour l'auditabilité et la conformité réglementaire.
En adoptant les meilleures pratiques AWS, en mettant en œuvre des contrôles de gouvernance solides et en s'appuyant sur les services de sécurité AWS, le client exploite désormais une plateforme de santé cloud résiliente, sécurisée et évolutive — garantissant la continuité d'activité, une meilleure efficacité et une protection renforcée des données patients grâce au chiffrement et à l'immuabilité.