IBM a récemment annoncé les résultats d’une étude mondiale, selon laquelle les violations de données en 2021 ont coûté en moyenne 4,24 millions de dollars US par incident aux entreprises étudiées. Pour ceux qui suivent ces chiffres, il s’agit du coût le plus élevé en 17 ans d’existence du rapport.
Ces individus malveillants en sweat à capuche sont-ils assis dans quelque pays hostile, à travailler sans relâche pour pirater les défenses de nos systèmes et s’emparer de nos données ? Dans de nombreux cas, ce sont les employés installés dans le bureau voisin qui laissent par inadvertance les portes grandes ouvertes aux intrusions.
La plupart des scénarios à l’origine des violations de données sont de simples erreurs de configuration ou des erreurs humaines. Cela se produit lorsqu’un administrateur de la sécurité ou un utilisateur final ne configure pas correctement certains paramètres de sécurité. L’accès à un serveur de calcul ou de stockage dans le cloud reste alors entièrement ouvert et vulnérable à une intrusion, sans qu’aucune compétence particulière ne soit nécessaire pour faire sauter les protections.
Dans un rapport récent, McAfee a établi un lien entre la hausse des violations dans le cloud et l’état de l’adoption du multicloud. Selon son rapport, ces dernières années, près de 70 % des enregistrements exposés — soit 5,4 milliards au total — l’ont été à la suite d’une exposition involontaire sur Internet due à des services cloud mal configurés.
Plus inquiétant encore, McAfee a constaté que la plupart de ces erreurs de configuration ne sont pas signalées et, dans bien des cas, passent inaperçues. Nous touchons ici au cœur du problème : ce sont des humains qui, en faisant quelque chose de stupide, permettent facilement aux acteurs malveillants d’agir. Qui plus est, lorsque les erreurs sont découvertes, elles sont souvent ignorées ou dissimulées par crainte des conséquences négatives pour les relations publiques, ou pour éviter des mesures disciplinaires contre les employés.
À lire également : Le CISO performant : comment gagner la confiance des parties prenantes
Les causes des erreurs humaines dans la sécurité du cloud
Alors, quelles erreurs les humains commettent-ils lorsqu’ils configurent la sécurité de leur cloud ? Les raisons de ces erreurs sont nombreuses, mais voici les deux plus courantes :
Manque de formation et/ou d’expérience
C’est évident, je sais. La plupart des erreurs de configuration et autres erreurs qui exposent involontairement les systèmes de traitement et les données trouvent leur origine dans une mauvaise compréhension du fonctionnement des paramètres de sécurité. Cela inclut même l’ignorance de la manière de reconfigurer les paramètres de sécurité par défaut, qui suffiraient généralement à tenir les intrus extérieurs à distance.
Autrement dit, les pirates peuvent généralement contourner les paramètres de sécurité par défaut définis par le fournisseur cloud afin d’exposer les données et/ou les capacités de traitement. Conserver les paramètres de sécurité par défaut revient à peu près — parfois littéralement — à utiliser « admin » comme mot de passe.
Ce problème est appelé à perdurer, car trop de postes exigeant des compétences en sécurité du cloud se disputent trop peu de candidats qualifiés. Dans bien des cas, les entreprises recrutent du personnel moins expérimenté et non formé, simplement pour occuper les postes vacants et progresser tant bien que mal. Résultat : ce type d’erreurs deviendra de plus en plus courant.
Les fournisseurs cloud vont trop vite
Comme l’informatique en cloud fonctionne à la demande et que les fournisseurs améliorent continuellement leurs services cloud, notamment en matière de sécurité, le fonctionnement des paramètres de sécurité change souvent. Certes, des notes de version accompagnent les mises à jour, mais les équipes négligent souvent d’actualiser leurs connaissances, généralement parce qu’elles ont trop de travail et pas assez de temps.
Lorsqu’un changement intervient et que les paramètres doivent être mis à jour, ils ne le sont pas. Il en résulte des expositions dues à l’incapacité des clients à suivre les mises à jour des fonctionnalités et des paramètres de sécurité des fournisseurs cloud.
Dans un cas de violation, les clients d’un fournisseur ont été automatiquement désinscrits du chiffrementchiffrement jusqu’à ce qu’un accord soit lu et accepté. Les pirates ont exploité le fait que la plupart des clients avaient initialement laissé le chiffrement désactivé, ce qui leur a permis d’accéder facilement aux données hébergées dans le cloud.
On avance alors que les fournisseurs cloud devraient ralentir suffisamment pour permettre à leurs équipes de sécurité clientes de suivre le rythme. Cette approche crée son propre lot de problèmes, notamment si les fournisseurs cloud hésitent à corriger des vulnérabilités connues. Les utilisateurs et les fournisseurs cloud doivent plutôt mieux se coordonner afin de mieux s’adapter à ces changements.
À lire également : Secure Access Service Edge : grands avantages, grands défis
Se prémunir contre les brèches de sécurité du cloud
Pour éviter les erreurs de configuration de la sécurité du cloud et autres erreurs susceptibles de favoriser les intrusions, la responsabilité incombe au client.
Cependant, les fournisseurs cloud doivent également comprendre qu’ils jouent un rôle dans la solution. En fin de compte, une coordination plus étroite est nécessaire pour combattre ce problème.
Voici quelques pistes sur lesquelles les entreprises peuvent se concentrer :
Des configurations approuvées par les pairs
Demandez à des pairs de vérifier les paramètres de sécurité et de confirmer leur exactitude. Oui, cela signifie trouver un autre administrateur de la sécurité du cloud pour examiner votre travail et s’assurer que rien n’a été oublié.
Parmi les problèmes possibles, les pairs peuvent devenir trop proches et négliger ainsi de vérifier réellement les paramètres. D’autres pourraient instrumentaliser cette position dans le cadre de la politique interne, par exemple en cherchant délibérément à faire mauvaise figure à un collègue.
Vérifications et tests automatisés de la configuration
Une solution bien plus efficace consisterait à retirer complètement les humains du processus en utilisant des contrôles et des audits de sécurité automatisés pour détecter les problèmes liés aux paramètres et autres configurations.
L’avantage est que ces contrôles peuvent être effectués en moins d’une minute et transmettre directement un rapport aux personnes à l’origine de l’erreur de configuration. Elles peuvent alors corriger rapidement le problème sans avoir à en informer d’autres personnes.
Vous trouverez bon nombre de ces outils dans l’univers du DevOps, où les tests de sécurité sont courants. Il s’agit simplement d’étendre l’approche de test du DevOps aux configurations de sécurité, ainsi qu’aux applications et aux données, afin de supprimer autant de vulnérabilités que possible. Il faut toutefois investir dans les outils, mais aussi dans les compétences et la formation. Sinon, vous vous retrouverez avec les mêmes problèmes que ces outils étaient censés résoudre.
À lire également : Les meilleurs scanners de sites web
Le plus grand défi de la sécurité du cloud ?
Les directeurs de la sécurité et des systèmes d’information des entreprises ont déjà suffisamment de préoccupations ces jours-ci. Pourtant, les erreurs humaines liées à la sécurité des systèmes constituent un problème plus important que la plupart ne le pensent. C’est un secret de sécurité bien gardé dans la plupart des entreprises, en raison du refus d’admettre les erreurs et de l’absence de signalement lorsqu’elles sont découvertes. C’est ce que révèle l’enquête citée plus haut.
La première étape consiste donc à admettre que vous avez un problème. Ensuite, prenez des mesures pour corriger la situation en identifiant et en comprenant les problèmes fondamentaux, ainsi que la manière de les résoudre correctement. À moins que vous ne souhaitiez voir votre entreprise faire la une des journaux du matin pour toutes les mauvaises raisons, aujourd’hui serait un bon jour pour revoir les processus et procédures actuels de votre système de sécurité.