Editeur d'une data platform pour développeurs, MongoDB a annoncé la disponibilité générale de sa technologie de chiffrement de bout en bout pour sécuriser les flux de travail des applications sensibles. Selon lui, elle peut réduire le risque d'exposition des données des entreprises et les aide à protéger les informations sensibles quand elles sont interrogées/utilisées sur MongoDB. « Le chiffrement requâtable de MongoDB peut être utilisé avec AWS Key Management Service, Microsoft Azure Key Vault, Google Cloud Key Management Service et d'autres services conformes au protocole d'interopérabilité de gestion de clés (Key Management Interoperability Protocol, KMIP) pour gérer les clés cryptographiques », a déclaré le fournisseur.
« La disponibilité générale inclut la prise en charge des requêtes d'égalité (equality query), avec des types de requêtes supplémentaires (par exemple, plage, préfixe, suffixe et sous-chaîne) disponibles dans les prochaines versions », a ajouté MongoDB. Une version préliminaire de cette technologie de chiffrement a été présentée pour la première fois par le fournisseur lors du MongoDB World 2022. Celle-ci a la capacité de réduire la surface d'attaque des données confidentielles dans plusieurs cas d’usage.
Les champs à chiffrer, choisis en fonction de la sensibilité des données
« Avec la disponibilité générale du chiffrement requêtable, les clients peuvent sécuriser les charges de travail sensibles pour les cas d’usage dans les secteurs hautement réglementés ou sensibles aux données comme ceux des services financiers, de la santé, de l’administration et des infrastructures critiques en chiffrant les données pendant qu'elles sont traitées et utilisées », a déclaré MongoDB. Les utilisateurs peuvent sélectionner les champs des bases de données MongoDB contenant des données sensibles devant être chiffrées. Par exemple, un utilisateur final d'une application autorisée dans une entreprise de services financiers peut avoir besoin d'interroger des données enregistrées à l'aide du numéro de compte épargne d'un client. « Quand il est configuré avec le chiffrement de bout en bout de MongoDB, le contenu de la requête et les données contenues dans le champ du compte épargne restent chiffrés pendant leur transit sur le réseau, leur stockage dans la base de données et quand la requête traite les données pour extraire les informations pertinentes », a expliqué le fournisseur.
« Une fois les données récupérées, elles ne sont visibles que par un utilisateur final de l'application autorisée disposant d'une clé de déchiffrement contrôlée par le client, ce qui permet d'éviter l'exposition involontaire des données ou leur exfiltration par des acteurs malveillants », a ajouté l'entreprise. La protection des données est essentielle pour toutes les entreprises. « Non seulement le volume de données généré prolifère rapidement, mais il en va de même pour les réglementations et les exigences auxquelles les entreprises doivent se conformer », a déclaré Kenn White, chef de produit en charge du chiffrement des requêtes. « Le chiffrement de bout en bout de MongoDB réduira considérablement le risque d'exposition des données pour les entreprises et contribuera à améliorer les postures de sécurité, en répondant aux exigences de conformité les plus strictes », ajoute Kenn White. « Il favorisera également la productivité des développeurs pour les flux d'applications hautement sensibles, car aucune expertise en cryptographie n'est requise ». La technologie de chiffrement sous-jacente a été développée par le groupe de recherche sur la cryptographie de MongoDB. Les entreprises peuvent examiner librement les techniques cryptographiques et le code utilisé.
Régler en amont les problématiques de gouvernance de l'information
« Toute solution qui réduit les vecteurs d'attaque sur les données sensibles tout en permettant de les utiliser en toute sécurité doit être accueillie avec enthousiasme », a déclaré Paul Watts, analyste distingué de l’Information Security Forum. « L'avenir nous dira si les cas d’usage réels présentent des contraintes qui limitent l'efficacité ou l'évolutivité du chiffrement de bout en bout, ou si les frais de stockage supplémentaires associés limitent l'application de la technologie pour certains ». Selon Paul Watts, beaucoup d’entreprises n’en sont qu’aux prémices de la gestion des données, s'efforçant encore de répondre à des questions comme : « Quelle est la nature de nos données ? De quelles données disposons-nous ? Quel est leur degré de sensibilité ? Qui y a accès ? Comment trouver un équilibre entre la sécurité et l'exploitabilité des données ? « La technologie est un étalon-or, mais elle n'est utile que si l'on a d'abord résolu les questions fondamentales de la gouvernance de l'information et de la protection des données ».