Outils collaboratifs, analytics, digitalisation et automatisation des processus : les entreprises sont nombreuses à s’engager sur la voie de la modernité. L’an dernier 67% d’entre elles déclaraient avoir lancé un plan de transformation. Pourtant, lorsqu’il s’agit de sécuriser ces nouveaux processus et les données sensibles (sur site ou dans le cloud), ces dernières ont encore souvent un train de retard sur les pirates et les réglementations.
Nicolas Fischbach, Global CTO de Forcepoint
Cela fait plus de dix ans que l’on parle de la transition vers le cloud. Aujourd’hui, les entreprises n’ont jamais été aussi nombreuses à utiliser des environnements multicloud pour prendre en charge un nombre croissant de tâches et d’applications SaaS (Software as a Service) pour leurs processus métier. En conséquence, la sécurité du cloud se retrouve au premier plan et il est temps de porter un regard neuf sur cette dernière.
Du point de vue de la sécurité, cette architecture IT hybride rend plus complexe la gestion de collaborateurs de plus en plus mobiles et exigeants. Dresser un rempart autour de nos ressources informatiques sur site ne fonctionne pas pour le cloud, dont la sécurisation requiert une approche beaucoup plus holistique.
Après avoir échangé avec des responsables sécurité (RSSI, CTO, CDO) de différentes entreprises, il est clair qu’en matière de sécurité du cloud, la coordination fait défaut. Dans un tel contexte, il est parfois compliqué de savoir qui est responsable de tel ou tel aspect de la sécurité et qui s’occupe de cette dernière à l’échelle de l’entreprise. De plus, nous ne sommes pas aidés par la complexité cachée voire abstraite de certaines plates-formes cloud, et si l’on y ajoute la rapidité des évolutions technologiques en général ainsi que la pression de la « mise en production » dans une entreprise type, le risque global auquel nous sommes confrontés dans le cloud est accentué.
Aussi, il vous faudra envisager trois étapes pour que votre sécurité dans le cloud devienne aussi moderne que votre entreprise :
Vos décideurs et votre organisation informatiques doivent être alignés sur une vision complète de la sécurité de l’infrastructure et de la protection de l’information, englobant les environnements cloud. Commencez par adopter un langage commun standard pour parler de la sécurité du cloud et des données.
La formation continue va également jouer un rôle considérable. Des utilisateurs correctement formés sont essentiels à votre dispositif de sécurité car ils constituent souvent la première ligne de défense. Il est important de leur inculquer l’idée que chacun a un rôle à jouer dans la chaîne de sécurité car toute rupture d’un maillon risque de créer des failles exploitables.
2. Convergence de vos services et outils
Les RSSI s’efforcent de réduire le nombre d’outils qu’ils ont à gérer. Or pour le développement cloud, nous assistons à une explosion quant aux outils et services conçus pour des usages spécifiques. Tandis que bon nombre d’entre eux sont consommés sous forme de services managés, ils créent une pression supplémentaire pour la DSI et peuvent potentiellement accroître le risque.
C’est pourquoi la plupart des RSSI cherchent à remplacer des solutions mono-fonctions par des plates-formes de sécurité intégrées et convergées. Recherchez par conséquent des plates-formes qui assurent la sécurité dans les domaines suivants :
· Prévention de perte de données (DLP)
· Protection des postes de travail · Sécurité des réseaux (Firewall as a Service et Secure SD-WAN)
· Sécurité du cloud (CASB (Cloud Access Security Broker) ou CSPM (Cloud Security Posture Management) si vous déployez votre propre code)
Une plate-forme convergée permet d’appliquer des règles de sécurité homogènes à tous les niveaux sur tous les sites de votre entreprise et pour tous vos utilisateurs, simplifie la gestion de la sécurité et apporte de la visibilité sur la circulation des données (des postes de travail au cloud via le réseau). Elle permet également de réaliser les mises à jour en temps réel, d’être réactif aux changements dans l’entreprise et de respecter un cadre réglementaire qui sera encore amené à évoluer dans un futur proche.
La sécurité moderne du cloud englobe des solutions répondant à une liste croissante de besoins. Celles-ci doivent être complétées par l’analyse comportementale afin d’appliquer le niveau approprié de contrôles d’accès entre des systèmes changeants et hétérogènes. Avec les indicateurs de comportement (IoB, Indicators of Behavior), il est désormais possible d’effectuer un examen des interactions des utilisateurs avec les données, systèmes et applications de l’entreprise.
3. Approche centrée sur vos données
Adopter le cloud signifie que les données de votre entreprise circulent de façon plus dynamique entre les utilisateurs, les applications et les environnements cloud. Tout cela exige une approche sécurité et gestion du risque centrée sur les données. Décider de faire migrer les applications ou d’en adopter de nouvelles dans le cloud est simple. En revanche, le maintien du niveau adéquat d’autorisations et de règles correspondantes requiert une stratégie claire de sécurité du cloud et de protection de l’information.
Il n’existe pas de solution miracle : adopter une approche complète vous permettra de mieux protéger votre entreprise. Si l’hygiène sécurité, tout particulièrement au niveau de l’infrastructure est indispensable, il vous faut aussi examiner votre exposition aux risques sous l’angle de la protection des données et mettre en œuvre des solutions DLP basées sur l’analyse comportementale. Efforcez-vous de donner à tous ceux qui sont en contact avec les données et le cloud un langage commun concernant la sécurité du cloud, compréhensible de chacun. Et restez sur vos gardes car l’avenir est au cloud. i D’après l’étude « Le pouvoir de transformer » EY, 2019