Qu’est-ce que la sécurité du cloud ?

La sécurité du cloud est un ensemble de procédures et de technologies conçues pour faire face aux menaces externes et internes pesant sur la sécurité des entreprises. Les entreprises ont besoin de sécuriser le cloud à mesure qu'elles déploient leur stratégie de transformation numérique et qu'elles intègrent, dans leur infrastructure, des outils et services basés sur le cloud.

Ces dernières années, les expressions « transformation numérique » et « migration vers le cloud » sont entrées dans le vocabulaire courant des entreprises. Si ces deux expressions recouvrent parfois des réalités différentes selon les organisations, elles ont un dénominateur commun : la nécessité de changer.

À mesure que les entreprises adoptent ces concepts et s’engagent dans l’optimisation de leur approche opérationnelle, elles sont confrontées à de nouveaux défis pour équilibrer les niveaux de productivité et la sécurité. Bien que les technologies modernes aident les organisations à développer leurs fonctionnalités en dehors des limites de l'infrastructure sur site, la transition vers des environnements principalement basés sur le cloud peut avoir de lourdes implications si elle ne s'effectue pas en toute sécurité.

Pour trouver le bon équilibre, il faut comprendre comment les entreprises modernes peuvent bénéficier de l’utilisation de technologies cloud interconnectées tout en déployant de bonnes pratiques de sécurité du cloud.

Le "cloud" ou, plus précisément, le "cloud computing", correspond au processus d'accès aux ressources, aux logiciels et aux bases de données par l'intermédiaire d'Internet et en dehors des limites du matériel local. Cette technologie offre aux organisations une certaine souplesse dans la mise à l'échelle de leurs opérations en confiant une partie ou la majeure partie de la gestion de leur infrastructure à des fournisseurs d'hébergement tiers.

Les services de cloud computing les plus courants et les plus largement adoptés sont les suivants :

• IaaS (Infrastructure-as-a-Service) : une solution hybride qui permet aux organisations de gérer certaines de leurs données et applications sur site tout en s'appuyant sur des fournisseurs de cloud computing pour gérer les serveurs, le matériel, la mise en réseau, la virtualisation et les besoins de stockage.
• PaaS (Platform-as-a-Service) : elle donne aux organisations la possibilité de rationaliser le développement et la distribution de leurs applications en fournissant un canevas d'application personnalisé qui gère automatiquement les systèmes d'exploitation, les mises à jour logicielles, le stockage et l'infrastructure de support dans le cloud.
• SaaS (Software-as-a-Service) : il s'agit d'un logiciel basé sur le cloud et hébergé en ligne, généralement disponible sur abonnement. Les fournisseurs tiers gèrent tous les problèmes techniques potentiels, tels que les données, les middlewares, les serveurs et le stockage, en minimisant les dépenses en ressources informatiques et en rationalisant les fonctions de maintenance et de support.

Dans les entreprises modernes, la tendance est à la transition vers des environnements basés sur le cloud et des modèles informatiques IaaS, Paas ou SaaS. La nature dynamique de la gestion de l'infrastructure, en particulier dans la mise à l'échelle des applications et des services, peut présenter un certain nombre de difficultés pour les entreprises lorsqu'elles dotent leurs services en ressources de manière adéquate. Ces modèles en tant que service donnent aux entreprises la possibilité de se décharger de nombreuses tâches chronophages liées à l'informatique.

Alors que les entreprises continuent de migrer vers le cloud, il est devenu essentiel de comprendre les besoins en sécurité pour préserver la sûreté des données. Si les fournisseurs de services de cloud computing tiers se chargent parfois de la gestion de cette infrastructure, la responsabilité de la sécurité des actifs de données et la responsabilisation en général n'évoluent pas nécessairement simultanément.

Par défaut, la plupart des fournisseurs de services cloud appliquent les bonnes pratiques de sécurité et prennent des mesures actives pour protéger l'intégrité de leurs serveurs. Toutefois, les entreprises doivent réfléchir personnellement à la façon de protéger les données, les applications et les processus fonctionnant dans le cloud.

Les menaces pour la sécurité sont devenues plus sophistiquées alors que l'environnement numérique continue d'évoluer. Ces menaces ciblent explicitement les fournisseurs de cloud computing en raison du manque général de visibilité d'une organisation sur l'accès aux données et sur leurs mouvements. Si elles ne prennent pas de mesures actives pour améliorer la sécurité de leur cloud, les organisations peuvent être confrontées à des risques importants de gouvernance et de conformité lorsqu'elles gèrent les informations des clients, quel que soit l'endroit où elles sont stockées.

La sécurité du cloud doit être un sujet de discussion important, quelle que soit la taille de votre entreprise.  L'infrastructure de cloud prend en charge la quasi-totalité des aspects de l'informatique moderne dans tous les secteurs d'activité et sur plusieurs marchés verticaux.

Toutefois, l'adoption réussie du cloud dépend de la mise en place de contre-mesures adéquates pour se protéger contre les cyberattaques modernes. Que votre organisation opère dans un environnement de cloud public, privé ou hybride, les solutions de sécurité du cloud et les bonnes pratiques sont une nécessité pour assurer la continuité des activités.

Manque de visibilité
Il est facile de perdre de vue qui accède à vos données et comment, car de nombreux services dans le cloud sont accessibles en dehors des réseaux d'entreprise et par l'intermédiaire de tiers.

Multilocation
Les environnements de cloud public abritent des infrastructures clientes multiples. Il peut donc arriver que vos services hébergés soient compromis à titre collatéral par des attaquants malveillants ciblant d'autres entreprises.

Gestion des accès et IT cachée
Si les entreprises parviennent à gérer et à restreindre les points d'accès sur les systèmes sur site, l'application de ces mêmes niveaux de restriction peut s'avérer difficile dans les environnements de cloud. Cela peut s'avérer dangereux pour les organisations qui ne déploient pas de politiques BYOD (Bring Your Own Device) et qui autorisent un accès non filtré aux services cloud à partir de n'importe quel(le) appareil ou géolocalisation.

Conformité
La gestion de la conformité aux réglementations est souvent une source de confusion pour les entreprises qui utilisent des déploiements de clouds publics ou hybrides. La responsabilité globale de la confidentialité et de la sécurité des données incombe toujours à l'entreprise, et une forte dépendance à l'égard de solutions tierces pour gérer cet aspect peut entraîner des problèmes de conformité coûteux.

Problèmes de configuration
Les actifs configurés de manière erronée représentaient 86 % des violations en 2019, faisant de l'initié par indavertance un problème majeur pour les environnements de cloud computing. Parmi les problèmes de configuration figurent le fait de conserver des mots de passe administratifs par défaut ou de ne pas créer de paramètres de confidentialité appropriés.

Gestion des identités et des accès (IAM)
Les outils et services de gestion des identités et des accès (IAM) permettent aux entreprises de déployer des protocoles d'application des procédures pour tous les utilisateurs qui tentent d'accéder à des services sur site et dans le cloud. La fonction principale de l'IAM est de créer des identités numériques pour tous les utilisateurs afin de les surveiller activement et de leur appliquer éventuellement des restrictions pendant toutes les interactions de données.

Prévention de la perte de données (DLP)
Les services de prévention de la perte de données (DLP) offrent un ensemble d'outils et de services conçus pour garantir la sécurité des données cloud réglementées. Les solutions DLP utilisent une combinaison d'alertes de résolution, de chiffrement des données et d'autres mesures préventives pour protéger toutes les données stockées, qu'elles soient au repos ou en mouvement.

Gestion des informations et des événements liés à la sécurité (SIEM)
La gestion des informations et des événements liés à la sécurité (SIEM) est une solution complète d'orchestration de la sécurité qui automatise la surveillance et la détection des menaces dans les environnements de cloud, ainsi que la réponse à ces menaces. En utilisant des technologies basées sur l'intelligence artificielle (IA) pour mettre en corrélation les données des journaux sur plusieurs plateformes et actifs numériques, la technologie SIEM donne aux équipes informatiques la possibilité d'appliquer leurs protocoles de sécurité réseau tout en étant capables de réagir rapidement à toute menace potentielle.

Planification de la continuité des opérations et de la reprise après incident
Quelles que soient les mesures préventives mises en place par les organisations pour leurs infrastructures sur site et dans le cloud, des violations de données et des indisponibilités perturbatrices peuvent toujours se produire. Les entreprises doivent être en mesure de réagir rapidement aux vulnérabilités nouvellement découvertes ou aux indisponibilités système importantes dans les meilleurs délais. Les solutions de reprise après incident sont un élément essentiel de la sécurité du cloud et fournissent aux organisations les outils, services et protocoles nécessaires pour accélérer la récupération des données perdues et reprendre le cours normal de leurs activités.

La façon d'aborder la sécurité du cloud est différente pour chaque organisation et peut dépendre de plusieurs variables. Cependant, le National Institute of Standards and Technology (NIST) a dressé une liste des bonnes pratiques à suivre pour établir un canevas de cloud computing sécurisé et durable.

Le NIST a déterminé les étapes nécessaires pour que chaque organisation puisse auto-évaluer sa préparation à la sécurité et appliquer des mesures de sécurité préventives et de reprise adéquates à ses systèmes. Ces principes reposent sur les cinq piliers du canevas de cybersécurité du NIST : Identifier, Protéger, Détecter, Répondre et Récupérer.

La gestion de la posture de sécurité du cloud (CSPM) est une autre technologie émergente de sécurité du cloud qui soutient l'exécution du canevas de cybersécurité du NIST. Les solutions CSPM sont conçues pour remédier à un défaut courant dans de nombreux environnements de cloud, à savoir les problèmes de configuration.

Les infrastructures cloud dont la configuration par les entreprises, ou même par les fournisseurs du cloud, reste inadaptée, peuvent créer plusieurs vulnérabilités qui augmentent considérablement la surface d'attaque dans une organisation. La CSPM résout ces problèmes en contribuant à organiser et à déployer les composants de base de la sécurité du cloud. Ces derniers comprennent la gestion des identités et des accès (IAM), la gestion de la conformité aux réglementations, la surveillance du trafic, la réponse aux menaces, l'atténuation des risques et la gestion des actifs numériques.