Selon Gartner, le marché mondial des services de cloud public a progressé de 40,7 % en 2020. Mais malgré son caractère désormais courant, une migration vers le cloud peut comporter des étapes complexes et souvent difficiles, notamment en matière de sécurité des systèmes et de sécurité des données.
Il est donc essentiel de comprendre comment aborder cette tâche, d’identifier clairement la surface d’attaque et de savoir quelles mesures précises prendre pour mieux sécuriser les données.
Pourtant, trop d’entreprises négligent des étapes cruciales et n’utilisent pas le cadre stratégique approprié dans la précipitation qui accompagne le déploiement de clouds ou l’introduction de solutions. Résultat, elles sont incapables de :
- Distinguer où se trouvent les actifs clés
- Voir quels ensembles de données sont vulnérables
- Comprendre comment tout — des identités à la gouvernance — est transposé des systèmes existants vers le cloud
Il en résulte un profil de risque plus élevé et une surface d’attaque plus vaste à protéger. Examinons les détails.
Crise de l’identité
Pour commencer à migrer vers le cloud en toute sécurité, il faut connaître sa surface d’attaque et les vulnérabilités qu’elle introduit.
Historiquement, les entreprises ont abordé la sécurité en déployant un cloud access security broker (CASB), situé entre les systèmes sur site et le cloud, et faisant office d’agent de circulation pour les données qui transitent sur le réseau. Le CASB contribue à sécuriser l’accès des utilisateurs finaux aux applications SaaS comme Salesforce.com et Microsoft Outlook 365.
Bien entendu, les CASB ne sont pas les seuls outils disponibles. Pour protéger les applications privées exécutées sur AWS, Azure et GCP, les outils de Cloud Security Posture Management (CSPM) sont apparus afin de détecter les mauvaises configurations, comme les bases de données exposées publiquement.
Le CSPM ne traite toutefois pas la surface d’attaque associée aux identités et à leurs droits. Par exemple, environ 80 % des autorisations cloud sont totalement inutiles. Ce problème s’étend fréquemment à plusieurs unités opérationnelles et zones géographiques. En outre, à mesure que le nombre de parties prenantes du cloud augmente, parallèlement à la multiplication des clouds cloisonnés et de l’informatique fantôme, les difficultés et les risques se multiplient — parfois de façon exponentielle.
Il est important de distinguer les applications SaaS de l’infrastructure cloud, à savoir les environnements IaaS et PaaS. En général, les applications SaaS sont considérées comme plus sûres, car le fournisseur de services cloud est responsable de la sécurisation de l’infrastructure et de ses configurations. En revanche, la sécurité des environnements IaaS et PaaS relève de la responsabilité de l’organisation utilisatrice finale.
Examinons les risques et les enjeux de sécurité liés à la protection des infrastructures cloud dans AWS, Google Cloud Platform, Microsoft Azure et d’autres clouds.
Un modèle d’identité à privilèges minimaux
Il est essentiel de reconnaître un fait fondamental : le risque ne se mesure pas à l’aune de la perfection ; il constitue une évaluation pragmatique des dangers réels auxquels une entreprise est confrontée à un moment donné.
Il est impossible d’atteindre un environnement sans aucun risque, à moins de mettre l’entreprise à l’arrêt. Il est également important de comprendre que, si les fournisseurs de services cloud assument une part de la responsabilité en matière de sécurité, l’essentiel de cette responsabilité incombe à l’organisation, qui doit protéger ses systèmes et ses données.
Quelle est la réponse ? Il est essentiel de fonctionner selon un modèle d’identité à privilèges minimaux et d’éliminer les droits superflus et les mauvaises configurations. Cette approche — que l’on peut considérer comme une bonne pratique d’hygiène de sécurité — doit couvrir l’ensemble de l’environnement cloud.
Dans cet environnement, il est possible d’afficher les actifs multicloud et les relations d’accès, de hiérarchiser et de corriger les privilèges à risque, de mettre en place des normes de gouvernance et de conformité plus strictes et, au final, de réduire radicalement la surface d’attaque d’une organisation — ainsi que le risque de propagation latérale des attaques.
Lorsqu’une organisation atteint ce niveau de visibilité et d’automatisation, elle peut passer d’une approche réactive à une approche proactive. Les migrations vers le cloud ne consistent plus uniquement en un ensemble d’outils de sécurité ponctuels, susceptibles ou non de détecter les problèmes. L’organisation peut au contraire automatiser et améliorer la gouvernance des configurations cloud et des identités dans l’ensemble de l’infrastructure.
En définitive, cette approche élimine les deux principaux responsables des failles de sécurité lors d’une migration vers le cloud : les défaillances d’identité et les mauvaises configurations. S’il est impossible d’éliminer le risque, cette attention portée aux identités, à leurs droits et aux configurations offre le niveau de protection maximal possible.
À propos de l’auteur :
Arick Goomanovsky, Chief Business Officer d’Ermetic