La sécurité des données est un enjeu majeur. En effet, il est essentiel de garantir que les données ne soient ni corrompues, ni supprimées à la suite d’un incident physique, ni compromises par une attaque malveillante.

Cette page décrit comment la sécurité est des données mise en œuvre au sein du SEDOO.

Sécurité physique

L’infrastructure matérielle du SEDOO est hébergée au sein du DROCC dont les salles hébergeant les serveurs sont équipées de plusieurs dispositifs de sécurité physique.

1. Le principal est le contrôle d’accès par badge, qui limite l’accès au personnel autorisé et permet d’en assurer la traçabilité.
2. Les salles sont également équipées de dispositifs visant à limiter les risques d’incident physique, avec des installations électriques adaptées et des systèmes de sécurité incendie régulièrement contrôlés par des prestataires externes.

Enfin, à partir de 2026, la sécurité physique sera renforcée par le déplacement du serveur de sauvegarde dans une seconde salle répondant aux mêmes exigences de sécurité.

Sécurité logique

Sécurité générale au niveau de l’infrastructure

La sécurité de l’infrastructure repose sur une architecture en couches, construite autour d’un cœur réseau redondant, basé sur des commutateurs haute disponibilité supportant l’agrégation multi-châssis (MAGAX) et une convergence rapide.

En périphérie, la sécurité est assurée par deux pare-feu Stormshield SN520 configurés en haute disponibilité (HA actif/passif). Ceux-ci offrent un filtrage de paquets avec état, des fonctions de détection et de prévention d’intrusion (IPS), ainsi qu’une inspection approfondie au niveau applicatif (couche 7).

Le trafic web entrant est routé via un reverse proxy situé en DMZ, permettant la terminaison TLS (HTTPS), la réécriture d’URL, l’isolation des serveurs backend, ainsi qu’une protection contre les attaques de type DoS et les tentatives d’injection HTTP.

La sécurité interne est renforcée par une segmentation réseau stricte reposant sur une architecture VLAN dédiée : les services backend (bases de données, stockage, services internes) sont isolés du trafic utilisateur, de la DMZ et des accès d’administration.

Le routage inter-VLAN est géré par les pare-feu, permettant un filtrage explicite des flux et réduisant drastiquement la surface d’attaque.

Cette combinaison de segmentation logique, de redondance active, d’inspection applicative et d’isolation des flux garantit un haut niveau de sécurité et de résilience, tout en maintenant les performances et la disponibilité des services.

Authentification et autorisation des utilisateurs

Pour la gestion des données et des métadonnées, certaines opérations nécessitent des droits d’accès appropriés. Ces droits reposent sur les mécanismes suivants :

1. Authentification
   L’authentification est assurée par le système de Single Sign-On (SSO) de l’infrastructure de recherche française DataTerra (https://www.data-terra.org/).
   Ce SSO est connecté à plusieurs fournisseurs d’identité externes :
   • EduGAIN (https://edugain.org/), qui fédère les institutions scientifiques à l’échelle mondiale
   • ORCID (https://orcid.org/)
   Ce dispositif permet à la majorité des utilisateurs de s’authentifier avec leurs identifiants institutionnels habituels, sans avoir à créer de compte dédié. Toutefois, la création d’un compte local (login/mot de passe) reste possible si nécessaire.
2. Autorisation
   L’autorisation repose sur un mécanisme de contrôle d’accès basé sur les rôles (RBAC).
   La gestion des rôles est assurée via le portail EQUIP-G. En pratique, ces rôles sont associés de manière transparente aux utilisateurs via le SSO. Le SSO émet des jetons sécurisés et infalsifiables (technologie JWT), permettant de vérifier de manière fiable la légitimité d’un utilisateur à effectuer des actions spécifiques.

Intégrité et authenticité des données

Transferts vers et depuis le centre de données

Les transferts de données vers et depuis l’infrastructure de stockage du SEDOO sont actuellement réalisés via SFTP (SSH) et HTTPS garantissant chiffrement et authentification.

Trafic interne au centre de données

L’ensemble des mécanismes de stockage et de transfert de fichiers au sein du centre de données intègre des fonctionnalités de vérification d’intégrité.

C’est notamment le cas du système de stockage CEPH ainsi que des processus de transfert basés sur rsync.

Ces mécanismes garantissent que les fichiers ne sont pas altérés tout au long de leur cycle de vie au sein du centre de données.