Les clients constatent des lacunes dans la sécurité cloud et passent à l’action

Alors que les clients du cloud abordent 2023 avec une présence accrue dans le multicloud, ils donnent la priorité aux stratégies visant à combattre les nouvelles lacunes de la sécurité cloud.

La plupart des grandes entreprises accèdent à des services cloud dans plusieurs clouds publics, tout en conservant leurs systèmes d’entreprise et leurs clouds privés dans les centres de données de leur entreprise. Nombre d’entre elles utilisent au moins deux fournisseurs de services cloud (CSP), et certaines en utilisent cinq ou plus à mesure qu’elles développent leur environnement de cloud hybride ou multicloud.

Peu d’entreprises peuvent affirmer être restées à l’écart des cyberattaques et des rançongiciels au cours des deux dernières années. Ces attaques deviennent manifestes — parfois plusieurs mois après leur déclenchement — lorsque l’accès aux données est bloqué ou qu’une perte de données devient évidente.

Les attaques récentes ont touché une grande ville américaine, le district scolaire d’une grande ville et une municipalité de l’État de New York. C’est pourquoi la cyber-résilience est au premier plan des préoccupations des directeurs généraux (CXO) et des professionnels de l’informatique — non seulement dans les plus grandes entreprises, mais aussi au sein des agences gouvernementales et des petites et moyennes entreprises (PME).

Le problème est généralisé : une étude d’IBM menée auprès de plus de 3 000 professionnels de l’informatique et du monde des affaires a révélé que 83 % des clients signalaient des violations de données dans leur organisation et que 45 % de ces violations étaient liées à des déploiements cloud.

Le coût moyen d’une violation de données s’élève à 4,5 millions de dollars, et son coût financier est souvent plus élevé aux États-Unis, atteignant jusqu’à 9 millions de dollars par violation pour les attaques visant les secteurs financier et de la santé, selon les répondants à l’étude d’IBM.

Voir aussi : Les principales entreprises du cloud

Les lacunes de la sécurité cloud ont freiné l’adoption du cloud par les clients

À mesure que les migrations vers le cloud se sont accélérées de 2020 à 2022, sous l’effet du début de la pandémie de COVID-19, les entreprises ont vu apparaître des lacunes dans la sécurité cloud. Désormais, comme de nombreuses organisations disposent de plusieurs déploiements cloud, ce sont ces lacunes qui retiennent de plus en plus l’attention.

Ces lacunes dans la sécurité cloud créent des incohérences au niveau du code de sécurité, de la surveillance et des pratiques de sécurité, et doivent être corrigées pour rendre opérationnel le cloud computing de bout en bout.

« Les entreprises doivent mettre en place une défense en profondeur », a déclaré Cal Braunstein, CEO et directeur exécutif de la recherche au Robert Frances Group. « On ne peut pas compter sur le fait que tout le monde utilise les mêmes pratiques de sécurité, ce qui crée donc des lacunes. »

Comment réduire les lacunes de la sécurité cloud

Dans un monde multicloud, la sécurité au sein d’une grande entreprise peut être améliorée grâce à des consoles intégrées, à l’adoption de normes, à l’utilisation d’outils logiciels de développement fondés sur l’IA et de logiciels de surveillance de la sécurité offrant une visibilité de bout en bout.

La compartimentation, appliquée à l’échelle de l’entreprise, peut constituer une bonne défense de sécurité lorsqu’un réseau d’entreprise applique des politiques de sécurité cloud incohérentes, a indiqué Braunstein.

« Si un incendie se déclare dans une maison, toute la maison peut s’embraser », a expliqué Braunstein, en faisant une analogie avec cette pratique. « Si un incendie se déclare dans un sous-marin, on peut compartimenter, isoler la zone touchée et circonscrire l’incendie afin d’en limiter les dégâts. »

Voir aussi : Les gagnants et les perdants du cloud natif 

Combler le déficit de compétences en sécurité cloud grâce à l’éducation et à la formation

Les facteurs à l’origine des lacunes de sécurité comprennent :

• La dette technique due au vieillissement des systèmes informatiques.
• Une inadéquation entre les applications d’entreprise et une nouvelle génération d’applications cloud natives.
• Des implémentations différentes des politiques de sécurité et de conformité.
• Le manque de compétences en développement d’applications nécessaires pour réécrire l’ancien code qui permettrait de combler certaines lacunes de sécurité.

Pour combler ces lacunes, les stratégies de sécurité doivent être alignées entre les fonctions métier et informatiques de l’entreprise, afin de fournir des solutions de sécurité de bout en bout dans toute l’organisation.

Dans un récent podcast d’eWeek, Varun Bijlani, cadre dirigeant d’IBM, associé directeur mondial et responsable de l’équipe Hybrid Cloud Transformation d’IBM Consulting, a déclaré qu’un déficit de compétences informatiques affectait la migration vers le cloud dans un monde de cloud hybride.

Après la première vague de migrations vers le cloud, de nombreux clients ont commencé à augmenter leur capacité, a expliqué Bijlani, mais ils ont constaté que « la complexité architecturale, le manque de talents et de sécurité, ainsi que les problèmes de conformité commençaient à les freiner ». Selon Bijlani, les principaux postes nécessaires comprennent les architectes cloud, les développeurs de microservices et les ingénieurs data.

« La plupart des entreprises ne disposent tout simplement pas des talents dont elles ont besoin en nombre suffisant », a déclaré Bijlani.

Cette pénurie de compétences informatiques affecte directement la sécurité cloud, comme le montrent les études du secteur. Une étude d’IDC publiée en 2022 a révélé que les clients d’Amérique du Nord et du monde entier prévoient d’améliorer les compétences techniques et opérationnelles de leurs équipes afin de renforcer la protection de la sécurité cloud et la cyber-résilience.

Phil Bues, responsable de recherche pour IDC Cloud Security, a indiqué que de nombreux clients souhaitaient agir rapidement pour réduire les lacunes de la sécurité cloud. Le défi prend de l’ampleur, car les applications cloud natives s’exécutent de plus en plus aux côtés d’applications d’entreprise traditionnelles conçues pour le centre de données, qui doivent être modernisées.

« Le paradoxe actuel de la cybersécurité mondiale, entre complexité et sécurité, est [en train d’être] confronté à l’essor accéléré d’un monde axé d’abord sur le numérique, porté par les approches et les outils “shift left/shift right”, une visibilité enrichie par le contexte, l’accès zero trust et le déficit de talents », a déclaré Bues.

L’étude d’IDC sur la sécurité cloud a révélé que, sur 250 sites clients en Amérique du Nord :

• 35 % des répondants prévoient d’améliorer les compétences internes en sécurité cloud.
• 30 % prévoient d’améliorer les compétences internes en confidentialité des données.
• 28 % souhaitent disposer de meilleures compétences en résilience des données dans le cloud.
• 20 % souhaitent tirer parti de meilleures méthodes DevOps.
• 22 % souhaitent améliorer la gestion des contrats avec les fournisseurs de services cloud (CSP) qui prennent en charge leurs déploiements cloud.

IDC a constaté que la formation, la reconversion et l’éducation permettront de remédier aux pénuries de compétences associées aux lacunes actuelles de la sécurité cloud. L’échantillon mondial d’IDC, composé de 800 sites et publié en juillet 2022, a montré que les clients empruntaient de nombreuses voies pour améliorer la sécurité cloud, en utilisant :

• Des compétences en confidentialité des données (26,7 %)
• Des compétences en résilience des données dans le cloud (25,7 %)
• Des compétences en sécurité cloud (24,1 %)
• Une meilleure connaissance de plusieurs CSP (22,1 %)
• Davantage de développement d’applications cloud natives (20,5 %)

« Les règles du jeu en matière de protection du code logiciel évoluent simultanément à mesure que les applications passent d’une architecture monolithique à une architecture fondée sur les microservices, reliant des centaines, voire des milliers de services faiblement couplés, dynamiques, éphémères et fortement distribués », a déclaré Bues. « Une complexité accrue s’accompagne également d’un contexte de métadonnées plus riche, offrant différentes possibilités de détection des comportements anormaux » dans l’entreprise.

Voir aussi : Comment la virtualisation des bases de données facilite la migration d’un entrepôt de données vers le cloud

Les métiers et l’informatique doivent s’accorder sur le plan de sécurité

L’alignement entre les unités opérationnelles et l’accord sur des objectifs communs entre les dirigeants des métiers et de l’informatique doivent intervenir en premier lorsque les projets multicloud en sont à leurs débuts. Bonnie Titone, DSI de Duke Energy Corp., s’exprimant lors de la conférence AWS re:Invent, a déclaré qu’il était essentiel pour les dirigeants des métiers et de l’informatique d’identifier les priorités en matière de sécurité cloud avant de se lancer dans de grands projets multicloud.

« Il faut ralentir pour aller vite », a conseillé Titone. « Lorsque vous prenez ces décisions pour migrer vers le cloud, il s’agit toujours d’aller vite, et c’est très bien. Mais vous devez prendre le temps, au début, de vous assurer que vous avez établi les bonnes fondations.

« Il existe un socle minimal de sécurité vers lequel vous devez tendre. Mais lorsqu’il s’agit d’infrastructures [énergétiques] critiques, vous devez aller bien au-delà de la conformité. »

Duke Energy et AWS ont récemment annoncé un projet de codéveloppement pour des déploiements cloud de nouvelle génération.

« Étudiez les bonnes pratiques », a déclaré Titone aux participants de la table ronde re:Invent. « Nous utilisons DevSecOps pour avancer dans cette [migration vers le] cloud, afin de pouvoir développer du [code] cloud natif et le sécuriser dès le départ. »

Les clients doivent aller plus loin pour faire progresser le développement cloud et la sécurité cloud, a déclaré Rudy Pawul, vice-président des services d’information et de cybersécurité du groupe de services publics ISO New England.

« Amazon va sécuriser le cloud, mais c’est vous qui êtes responsable de l’ensemble de votre environnement », a déclaré Pawul aux participants de la table ronde re:Invent. « Je ne ferais donc rien dans le cloud que je ne ferais pas dans mon propre environnement sur site, notamment en ce qui concerne l’absence d’outils, d’instrumentation, de visibilité et de principes communs de sécurité réseau. »

La planification et les tests de la sécurité cloud sont essentiels, a indiqué Pawul : « Il est évidemment primordial de prendre le temps de construire votre environnement avant d’en dépendre pour l’un quelconque de vos workloads de production. Sinon, vous vous attirerez des ennuis. »

La cohérence est essentielle pour la sécurité cloud

Pour combler les lacunes de la sécurité cloud, les stratégies et les implémentations de sécurité doivent être alignées entre les fonctions métier et informatiques de l’entreprise, afin d’assurer une cohérence de la sécurité dans toute l’organisation. De nombreuses entreprises prévoient de renforcer la protection des données, d’améliorer le développement d’applications grâce à des logiciels low-code/no-code et d’ajouter des « garde-fous » de sécurité — des pratiques destinées à renforcer la sécurité cloud en 2023.

« Nous avons observé de nombreuses migrations vers le cloud, mais nous allons maintenant voir un recentrage, des migrations [cloud] faciles vers les applications essentielles et les workloads cœur de métier de l’entreprise », a déclaré Bijlani. « Les applications s’étendront sur plusieurs environnements, mais l’architecture sera bien plus efficace à l’avenir. »

De nombreuses entreprises se tournent vers des éditeurs de logiciels et des partenaires de conseil pour accélérer le travail nécessaire à l’amélioration des déploiements cloud destinés aux applications d’entreprise. Il faudra combiner des compétences informatiques, des logiciels, des outils d’IA/ML, l’automatisation de la gestion et des politiques de sécurité renforcées pour améliorer leur cyber-résilience dans un monde de cloud computing multicloud.

Jean S. Bozman est président de Cloud Architects, une société d’études de marché et de conseil basée à Palo Alto, en Californie.