Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

Sécurité Discussion :

NextCloud et documents sensibles


Sujet :

Sécurité

  1. #1
    Membre régulier
    Inscrit en
    juillet 2007
    Messages
    199
    Détails du profil
    Informations forums :
    Inscription : juillet 2007
    Messages : 199
    Points : 95
    Points
    95
    Par défaut NextCloud et documents sensibles
    Salut tout le monde !

    Je me tourne vers vous car j'ai un projet en cours dont je souhaiterais gérer la mise en place plutôt que de l'externaliser.
    Le but est de mettre à disposition de nos clients des documents sensibles (bulletins de salaire de leurs salariés et autres documents liés à la paie) dans des espaces sécurisés.
    Nous avons environ 800 clients à gérer et approximativement 40 000 documents PDF (de 20-30 ko) à stocker par an.

    Est-ce que niveau sécurité un NextCloud avec chiffrement activé vous parait adapté à ce genre de projet ?
    NextCloud peut-il gérer autant de clients et de fichiers ?

  2. #2
    Expert confirmé
    Avatar de becket
    Profil pro
    Informaticien multitâches
    Inscrit en
    février 2005
    Messages
    1 922
    Détails du profil
    Informations personnelles :
    Localisation : Belgique

    Informations professionnelles :
    Activité : Informaticien multitâches
    Secteur : Service public

    Informations forums :
    Inscription : février 2005
    Messages : 1 922
    Points : 4 046
    Points
    4 046
    Par défaut
    Salut,

    La sécurité ce n'est pas une mesure que tu mets en place et puis tu n'y penses plus.
    De façon pragmatique, le chiffrement coté serveur est déjà un bon début mais ...

    Tu peux aussi :

    - Ne faire tourner que les services nécessaires
    - Pratiquer la liste blanche jamais la liste noire.
    - Imposer une politique de mots de passe renforcé
    - Imposer une authentification à deux facteurs
    - Utiliser IDS/IPS
    - Faire les mise à jour régulièrement
    - Faire un audit régulièrement
    ... etc etc

  3. #3
    Membre régulier
    Inscrit en
    juillet 2007
    Messages
    199
    Détails du profil
    Informations forums :
    Inscription : juillet 2007
    Messages : 199
    Points : 95
    Points
    95
    Par défaut
    Merci pour tes suggestions becket.

    La sécurité est effectivement un élément qui s'entretient, je ne voyais pas les choses autrement.
    Mes inquiétudes sont surtout liées à NextCloud au final et la montée en charge, sera-t-il capable de gérer des centaines de comptes et des dizaines de milliers de documents ?

    Je me rends que je n'ai peut-être pas posté ma question au bon endroit

  4. #4
    Responsable Systèmes


    Homme Profil pro
    Technicien maintenance
    Inscrit en
    août 2011
    Messages
    12 212
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Paris (Île de France)

    Informations professionnelles :
    Activité : Technicien maintenance
    Secteur : High Tech - Matériel informatique

    Informations forums :
    Inscription : août 2011
    Messages : 12 212
    Points : 27 294
    Points
    27 294
    Par défaut
    Au niveau de la montée en charge, c'est plus ton tuyau Internet qui sera le goulot d'étranglement. Nextcloud tourne sur php/mysql, ça ne demande donc pas de ressources importantes. Par ailleurs, Nextcloud supporte Nginx, serveur web faisant pignon sur rue pour les sites à fort trafic (je pense que tu peux débuter avec Apache).

    Le risque de sécurité se situe au niveau de la fiabilité du code php, il faudra faire une veille au niveau des éventuelles failles découvertes.
    Regardes ceci, je pense que ça peut te donner un avis favorable sur Nextcloud.
    Nextcloud gère l'authentification à 2 facteurs, le cryptage des documents. Essayes de n'autoriser que les ip de tes clients dans la mesure du possible.
    Ma page sur developpez.com : http://chrtophe.developpez.com/ (avec mes articles)
    Mon article sur la création d'un système : http://chrtophe.developpez.com/tutoriels/minisysteme/
    Mon article sur le P2V : http://chrtophe.developpez.com/tutoriels/p2v/
    Consultez nos FAQ : Windows, Linux, Virtualisation

  5. #5
    Membre régulier
    Inscrit en
    juillet 2007
    Messages
    199
    Détails du profil
    Informations forums :
    Inscription : juillet 2007
    Messages : 199
    Points : 95
    Points
    95
    Par défaut
    Merci chrtophe.

    Pour le tuyau je pense que ça devrait aller, on envisage d'héberger tout ça chez OVH sur un de leurs serveurs de stockage (Offre STOR-24T).
    J'y installerai Apache, Nextcloud (chiffrement côté serveur), fail2ban et je n'activerai que les services requis (port exotique pour le SSH, HTTPS, achat et mise en place d'un certificat SSL...).
    Whitelister que les adresses IP de nos clients serait l'idéal mais ça risque d'être compliqué à mettre en place étant donnée la multiplicité des moyens de connexions.

    Tu aurais des adresses de sites qui répertorient les failles php/apache ou autres ?

    Effectivement, si le gouvernement fédéral allemand est parti sur Nextcloud on peut partir du principe que c'est plutôt fiable même si on est jamais à l'abri d'une équipe de bras cassés

  6. #6
    Expert éminent
    Avatar de transgohan
    Homme Profil pro
    Développeur Temps réel Embarqué
    Inscrit en
    janvier 2011
    Messages
    2 940
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Maine et Loire (Pays de la Loire)

    Informations professionnelles :
    Activité : Développeur Temps réel Embarqué

    Informations forums :
    Inscription : janvier 2011
    Messages : 2 940
    Points : 8 675
    Points
    8 675
    Par défaut
    Tu peux faire une veille des CVEs pour être au courant des failles :
    https://cve.mitre.org/
    ou bien
    https://www.cvedetails.com/vulnerabi...45/Apache.html (exemple pour Apache)

    « Toujours se souvenir que la majorité des ennuis viennent de l'espace occupé entre la chaise et l'écran de l'ordinateur. »
    « Le watchdog aboie, les tests passent »

Discussions similaires

  1. Mais où je stock mes documents sensible avec la RGPD
    Par pigpen dans le forum La taverne du Club : Humour et divers
    Réponses: 0
    Dernier message: 15/11/2018, 20h30
  2. Documentation gratuite sur l'API Windows, COM, DCOM, OLE, etc.
    Par Community Management dans le forum Windows
    Réponses: 1
    Dernier message: 16/11/2006, 16h28
  3. Documentation DirectX dans C++Builder 3
    Par srvremi dans le forum DirectX
    Réponses: 1
    Dernier message: 26/04/2002, 10h59
  4. Bibliothèques et documentation
    Par Anonymous dans le forum OpenGL
    Réponses: 4
    Dernier message: 01/04/2002, 13h24
  5. Recherche de documentation complète en algorithmes
    Par Anonymous dans le forum Algorithmes et structures de données
    Réponses: 1
    Dernier message: 29/03/2002, 13h09

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo