Sécurité de la responsabilité partagée et modèle opérationnel
Adobe Commerce sur l’infrastructure cloud est une offre de plateforme en tant que service (PaaS) qui repose sur une sécurité de responsabilité partagée et un modèle opérationnel. Ces responsabilités sont partagées entre l’Adobe, le commerçant, le fournisseur de services cloud et le fournisseur de réseau de diffusion de contenu (CDN). Chaque partie a une responsabilité distincte pour la sécurisation et l’exploitation de l’application Adobe Commerce ainsi que du code et des extensions spécifiques au marché déployés sur l’infrastructure cloud.
Ce modèle partagé permet aux commerçants de concevoir et de mettre en oeuvre une solution hautement flexible, personnalisable et évolutive pour répondre aux besoins de leur entreprise tout en réduisant au minimum les responsabilités et les coûts opérationnels.
En règle générale, l’Adobe est responsable des éléments suivants :
- Développement et maintenance d’un code d’application principal sécurisé
- Maintenir la sécurité de la plateforme
- S’assurer que la plate-forme est conforme à la norme SOC 2 et PCI et compatible avec les composants de technologie compatibles PCI (par exemple, PHP, Redis)
- Réagir aux problèmes de sécurité de la plateforme principale
- Utilisation des fournisseurs de services cloud et des partenaires CDN pour résoudre les problèmes qui se produisent
Les commerçants sont responsables des éléments suivants :
- Maintenance de la sécurité pour le code personnalisé et les intégrations avec des applications tierces
- Assurer le développement sécurisé des applications
- Obtention de la certification PCI si le responsable du paiement du site commercial le demande
- Réagir et réagir aux incidents de sécurité
Responsabilités d’Adobe
Adobe est responsable de la sécurité et de la disponibilité d’Adobe Commerce dans l’environnement d’infrastructure cloud et du code de la solution principale. En outre, Adobe est responsable des activités et mécanismes nécessaires pour maintenir la sécurité d’Adobe Commerce sur la solution d’infrastructure cloud, notamment :
- Application de correctifs et de sécurité au niveau du serveur pour les applications prises en charge par Adobe Commerce sur l’infrastructure cloud, telles que le stockage des données dans le cloud et les fonctionnalités de recherche
- Test de pénétration et analyse du code d’infrastructure cloud de base d’Adobe Commerce
- Réaliser des révisions et des audits semestriels des solutions de gestion des identités et des accès des fournisseurs de services cloud publics (IAM) et de la gestion des autorisations (exigences de conformité PCI)
- Réaliser des révisions et des audits semestriels des utilisateurs autorisés, y compris les employés et les entrepreneurs Adobes (exigence de conformité PCI)
- Exécution de tests annuels et de documentation sur les fonctionnalités de sauvegarde et de restauration
- Configuration des pare-feu du serveur et du périmètre
- Connexion et configuration d’Adobe Commerce dans le référentiel d’infrastructure cloud
- Définir, tester, mettre en oeuvre et documenter les plans de reprise après sinistre pour les zones relevant de la responsabilité de l'Adobe
- Définition des règles de pare-feu d’application web de plateforme globale (WAF)
- Renforcement du système d’exploitation
- Mise en oeuvre et maintenance de l’intégration des solutions CDN (Content Distribution Network) et de gestion des performances des applications (APM) avec Adobe Commerce sur l’infrastructure cloud
- Emission de mises à jour de sécurité périodiques et autres pour le code principal d’Adobe Commerce sur l’infrastructure cloud (l’application de correctifs est de la responsabilité du commerçant)
- Gestion de l’assistance et des contrôles d’accès du commerce (Zendesk, par exemple)
- Surveillance, journalisation et correction des incidents de sécurité concernant l’infrastructure de la plateforme d’infrastructure cloud d’Adobe Commerce
- Surveillance des opérations de la plateforme et prise en charge 24/7 d’Adobe Commerce sur les marchands d’infrastructure cloud
- Mise en service des environnements de production et d’évaluation
- Évaluation des menaces potentielles pour la sécurité des opérations et de l’infrastructure de la plateforme
- Mise à l’échelle de l’informatique, du stockage, de la grille et d’autres ressources, comme décrit dans l’accord de niveau de service (SLA) avec le marchand
- Configuration du DNS (Adobe Commerce sur l’infrastructure de la plateforme d’infrastructure cloud uniquement)
- Test de la plateforme pour détecter des failles de sécurité
Adobe gère la certification PCI pour l’infrastructure et les services utilisés pour la solution Adobe Commerce. Les commerçants sont responsables de la conformité du code personnalisé, des processus système et réseau, ainsi que de l’organisation.
L'Adobe assure également la disponibilité de l'infrastructure du marchand, comme convenu dans le contrat de niveau de service applicable.
Responsabilités du marché
Le marchand est responsable des bonnes pratiques de sécurité suivantes pour son instance personnalisée spécifique d’Adobe Commerce sur la solution d’infrastructure cloud :
-
Ajout des fichiers de configuration d’Adobe Commerce nécessaires sur l’infrastructure cloud au référentiel
-
Application de correctifs de sécurité et autres à leur Adobe Commerce personnalisé sur la solution d’infrastructure cloud immédiatement après leur publication par Adobe
-
Application de correctifs de sécurité et autres à toutes les extensions et codes personnalisés, immédiatement après leur publication par le fournisseur
-
Création, déploiement et test de fichiers VCL Varnish personnalisés
-
Conception, mise en page, installation, intégration et sécurisation d’Adobe Commerce personnalisé sur la solution d’infrastructure cloud, y compris toutes les extensions personnalisées et le code
-
Octroi et révocation de l’accès de l’utilisateur à l’instance du commerçant d’Adobe Commerce sur la configuration, l’application et la plateforme de l’infrastructure cloud
-
Gestion des problèmes de sécurité liés au réseau interne, aux serveurs, à l’infrastructure et à toute application personnalisée du site commercial créée sur Adobe Commerce sur la plateforme d’infrastructure cloud
-
Installation de l’outil d’intégration de ligne de commande d’Adobe Commerce on Cloud Infrastructure
-
Maintenir le niveau requis de conformité PCI de l’application personnalisée et d’autres processus internes, tel que défini par les directives PCI-DSS
note note NOTE Afin de minimiser les zones à examiner, la conformité PCI du commerçant est basée sur les certifications PCI d’Adobe Commerce et du fournisseur d’hébergement dans le cloud. -
Exécution d’analyses ASV PCI et résolution de problèmes dans le noyau d’Adobe Commerce sur le code et la plateforme d’infrastructure cloud
-
Surveillance de toutes les activités d’application susceptibles de révéler une menace potentielle pour la sécurité, y compris les tests de pénétration, les analyses des vulnérabilités et les journaux
-
Surveillance des incidents de sécurité et intervention en cas d’incident, y compris la médecine légale, la correction et la création de rapports liés à Adobe Commerce du commerçant sur la solution d’infrastructure cloud et les comptes d’utilisateurs
-
Obtention d’un fournisseur DNS et configuration et maintenance de tout enregistrement DNS spécifique au détaillant
-
Exécution de tests de performance sur l’application personnalisée
-
Sécurisation de l’accès aux comptes de la plateforme, à l’accès aux instances et aux applications
-
Test et contrôle qualité de l’application personnalisée
-
Maintien de la sécurité de tous les systèmes ou réseaux que le commerçant se connecte à Adobe Commerce sur l’application d’infrastructure cloud
Responsabilités du fournisseur Cloud Service
Adobe s’appuie sur des fournisseurs de services cloud bien établis pour héberger l’infrastructure de serveur cloud pour Adobe Commerce sur l’infrastructure cloud. Ces fournisseurs sont chargés de la sécurité du réseau, notamment le routage, le changement et la sécurité du réseau de périmètre par le biais de systèmes de pare-feu et de systèmes de détection d’intrusion (IDS). Les fournisseurs de services cloud sont également responsables de la sécurité physique des centres de données qui hébergent Adobe Commerce sur la solution d’infrastructure cloud et de la sécurité environnementale des centres de données.
Les fournisseurs de services cloud sont également responsables des éléments suivants :
- Maintenance des certifications PCI DSS, SOC 2 et ISO 27001 pour leurs services cloud
- Sécurisation de l’hyperviseur
- Sécurisation du centre de données, y compris l’accès physique et réseau
Responsabilités du fournisseur CDN
La solution d’infrastructure cloud d’Adobe Commerce utilise les fournisseurs CDN pour accélérer le temps de chargement des pages, mettre en cache le contenu et purger instantanément le contenu obsolète. Ces fournisseurs sont également responsables des problèmes de sécurité directement liés à leur réseau de diffusion de contenu ou affectant celui-ci, ainsi que de la définition et de la maintenance des règles de diffusion de contenu de contenu de diffusion de contenu.
Résumé des responsabilités de sécurité
Le tableau récapitulatif suivant utilise le modèle RACI pour afficher les responsabilités de sécurité partagées entre l’Adobe, le commerçant et le fournisseur de services Cloud :
R — Responsable
A — Approbateur
C — Consulté
I — Informé
(par exemple, Nginx ou MySQL).
1 Uniquement si le référentiel Adobe Commerce sur l’infrastructure cloud est utilisé comme référentiel principal. L'utilisation d'autres référentiels externes est la seule responsabilité du marchand.
L’Adobe 2 fournit une prise en charge de niveau 1 pour les problèmes avec les fournisseurs de réseau de diffusion de contenu.
3 Le commerçant est responsable de tous les contrôles Ngnix qu’il configure pour ses applications.
4 Pour PCI, les exigences de test de pénétration sont partagées entre l’Adobe et le commerçant.
Résumé des responsabilités opérationnelles
Les tableaux de synthèse ci-après clarifient les responsabilités opérationnelles d’Adobe et de Merchants lors du développement, du déploiement, de la maintenance et de la sécurisation d’Adobe Commerce sur l’infrastructure cloud.
Codage et développement
Code Adobe Commerce principal
Référentiel de code
Cloud Docker
CLI COMMERCE CLOUD
Personnalisations
Déploiements
Synchronisation des environnements
Les commerçants sont chargés de synchroniser les données entre les environnements.
Patching
Disponibilité du site web
Performances
Journaux et surveillance
intégration de l’application et de l’agent APM, application d’infrastructure,
Journalisation et intégration
Débogage et isolation des problèmes
Configuration des applications et des services
application Commerce
Par exemple, différentes versions de Commerce sont compatibles avec des versions spécifiques de PHP, Redis, etc.
Planification des tâches avec des tâches cron
courtier de messages pour la structure de la file d’attente des messages
service PHP
Services de base de données
(indexation et optimisation des tables principales, optimisation des paramètres par défaut de sys-admin)
(configuration des tables normalisées ou plates, indexation et optimisation des tables tierces et personnalisées, archivage ou suppression des données, configuration des paramètres d’administration du système)
Service CDN
Cache Service
Service de recherche
Service Email
Le service ne prend pas en charge l'envoi d'emails marketing.
Services tiers
Extensions Commerce Services
Service de création de rapports avancée
Commerce Intelligence
(API, qualité et formatage des données, réseau commercial,
connexions DB à l’intérieur et à l’extérieur de Adobe Commerce Cloud DB, sur les seuils de données)
(configuration de la base de données Adobe Commerce Cloud)
Recommendations de produit
Services réseau
Optimisation des images
Certificats SSL
Web Application Firewall (WAF)
DDOS
Lien privé
(y compris toute connexion VPN)