Workiva propose une option au niveau de l'organisation permettant d'imposer aux connecteurs l'utilisation d'un système de cryptographie certifié FIPS 140-3 , rendant ainsi la connexion conforme aux exigences du programme américain FedRAMP et du Centre canadien de cybersécurité (CCCS). Cette option peut être activée ou désactivée par les administrateurs de l'organisation. Lorsqu'elle est activée, cette option impose à tous les connecteurs de toutes les chaînes de l'organisation d'utiliser un système de chiffrement certifié FIPS 140-3 pour la connexion.
Responsabilité en matière de conformité : Workiva est chargée de fournir un système de cryptographie certifié FIPS 140-3 de son côté de la connexion ; la capacité d'un système tiers donné à négocier une poignée de main conforme à la norme FIPS échappe au contrôle de Workiva et relève de la responsabilité du client.
Modification du mode FIPS
Seul un administrateur de l'organisation Workiva peut modifier le paramètre du mode FIPS , car celui-ci s'applique à l'ensemble de l'organisation, tous espaces de travail confondus.
Le mode FIPS est désactivé par défaut, et la modification de son état ne nécessite ni modification ni nouvelle publication des chaînes.
Activation du mode FIPS
L'activation du mode FIPS s'applique immédiatement à toutes les chaînes ainsi qu'à toutes les commandes non encore exécutées dans les chaînes en cours d'exécution.
Pour activer le mode FIPS :
- Connectez-vous en tant qu'administrateur de l'organisation.
- Cliquez sur « Chains » dans le menu de navigation de gauche.
-
Dans l'onglet « Chaînes », cliquez sur l'icône « Profil » située dans le coin supérieur droit de l'écran Workiva, puis sélectionnez « Administrateur de l'organisation ».
- Cliquez sur l'onglet « Général ». Dans la section «
Exécution », le menu déroulant « Mode FIPS » affiche l'état FIPS actuel. - Cliquez sur le menu déroulant « Mode FIPS » et sélectionnez « Activé ».
- Dans la boîte de dialogue « Activer le mode FIPS ? », cliquez sur « Activer FIPS ».
La norme FIPS est immédiatement active.
Désactivation du mode FIPS
Pour désactiver le mode FIPS, suivez les étapes indiquées ci-dessus pour l'activer, mais sélectionnez « Désactivé » à la place. Lorsque vous sélectionnez « Désactivé », la modification prend effet immédiatement. Il n'y a pas de boîte de dialogue de confirmation.
Remarque : le menu déroulant est désactivé pendant l'enregistrement de la modification. Si la modification est refusée, le message « Échec de la mise à jour du paramètre FIPS. » s'affiche .
Comment les commandes s'exécutent lorsque le mode FIPS est activé
Lorsque le mode FIPS est activé, les commandes utilisent l'exécutable FIPS correspondant à la commande. Cela se produit à chaque fois qu'une commande est préparée pour un « runner » ; ainsi, si le paramètre est modifié pendant l'exécution d'une chaîne, cette modification s'applique à toutes les commandes de la chaîne qui n'ont pas encore été lancées.
- Les connecteurs basés sur Go utilisent des binaires distincts compatibles FIPS pour Linux, Windows et macOS.
- Les connecteurs basés sur Java utilisent un fichier JAR distinct conforme à la norme FIPS ainsi qu'un fichier JAR de bibliothèque conforme à la norme FIPS.
Comment les commandes s'exécutent lorsque le mode FIPS est désactivé
Lorsque le mode FIPS est désactivé, les commandes utilisent les fichiers binaires standard ou les fichiers JAR.
Ce que montre le journal d'audit
L'activation ou la désactivation du mode FIPS est consignée dans l'emplacement standard du journal d'audit de Workiva, accessible dans Workiva en cliquant sur l'icône « Profil » puis en sélectionnant « Admin » > « Administration de l'organisation » > « Activités » > « Journaux d'audit ». Une entrée du journal d'audit comporte les valeurs suivantes et n'est enregistrée que lorsque la valeur change effectivement ; le fait de resélectionner la valeur actuelle n'entraîne aucun enregistrement.
| Champ | Valeur |
|---|---|
| Résumé | « Mode FIPS activé pour l'entreprise Chains » ou « Mode FIPS désactivé pour l'entreprise Chains » |
| Interprété par | NOM (Nom de l'administrateur qui a modifié le paramètre.) |
| Appliqué à (type) | NOM DE L'ENTREPRISE |
| À l'attention de (nom) | NOM DE L'ORGANISATION |
| Action | METTRE À JOUR |
| Heure | Horodatage indiquant le moment où la modification a été effectuée. |
| Adresse IP | L'adresse IP de l'administrateur au format IP standard. |
Remarque : vous devez être administrateur de l'organisation Chains pour activer FIPS dans Chains, et administrateur de l'organisation Workiva pour accéder aux journaux d'audit. Il s'agit de deux fonctions distinctes.
Dépannage
- Lorsqu'une connexion fonctionne en mode FIPS, la mention
(FIPS)apparaît à côté du nom du connecteur dans le journal d'exécution des commandes. - En cas d'échec d'une connexion, le journal d'exécution des commandes enregistre l'erreur et marque la commande comme ayant échoué. L'échec d'une commande n'entraîne pas nécessairement l'échec de la chaîne.
- Si vous ne parvenez pas à établir une connexion FIPS, trois options s'offrent à vous :
- Corrigez le système source.
- Connectez-vous autrement.
- Désactivez FIPS (la connexion restera cryptée, mais ne sera pas conforme à la norme FIPS 140-3).