La mission des équipes de sécurité s’étend : il leur faut désormais déployer les nouvelles technologies de sécurisation des environnements de cloud public. 

Plus de sécurité, impérativement ! Devenu une extension du réseau de l’entreprise, le cloud public présente une exposition très large. Comme le note Christophe Levier, Director BU Cloud & Security, Micropole, «la cybercriminalité n’a pas de frontière». De là, une augmentation mécanique des risques de vulnérabilité. Et cela malgré le niveau de sécurité des opérateurs eux-mêmes.

Cette urgence est d’autant plus impérieuse que la demande pour le cloud public est des plus soutenues. Gartner l’estime proche des 20% jusqu’en 2021. De la même façon, le nombre de cyber-attaques explose. Entre 2017 et 2018, la progression a été de 42%. Enfin, a chiffré Check Point Software, une attaque sur trois (34%) se déroule dans les environnements de cloud public…

«Cette révolution rapide de la consommation informatique bouleverse les organisations et les modèles de cybersécurité en place. Les directions commerciales, par exemple, contractent directement des solutions SaaS. Les directions financières ou le marketing managent des projets Big Data, Data Lake ou Analytics. Au final, beaucoup de CSO ont perdu la visibilité. Et, par là-même ,le contrôle des opérations», observe encore Christophe Levier.

Nouveau périmètre de production

Pour Micropole, nos entreprises doivent se doter d’une nouvelle gouvernance, de nouveaux outils et services en matière de sécurité. Le modèle doit s’adapter au nouveau périmètre de production informatique -depuis le développement des applications. Le code doit être analysé tout au long du cycle de vie des applications. Et les équipes DevOps doivent être sensibilisées et formées à la détection des vulnérabilités.

«Beaucoup de grandes entreprises migrent vers le cloud public en imaginant que l’infrastructure du cloud provider est plus sécurisée que leur data center. Or, dans un modèle de cloud public, la responsabilité de la sécurité est partagée entre le provider et le client, rappelle Christophe Levier. Ce dernier est toujours responsable de la sécurisation de ses applications, données et workloads. A charge pour l’opérateur de garantir la sécurité et la disponibilité des data center, services et infrastructures.»

Il est donc nécessaire que les entreprises remettent en cause rapidement et globalement leur sécurité défensive et offensive. Et de revoir les outils existants : firewall, Secure Gateway, SOC (Security Operation Center), SIEM (Security Information and Event Management). Et qu’elles intègrent les nouvelles innovations et technologies optimisées pour les environnements cloud, déjà disponibles depuis quelques années. A savoir :

– CASB (Cloud Access Security Broker) : outils déployés dans l’entreprise ou dans le cloud, positionnés entre les utilisateurs et les services du cloud destinés à appliquer les politiques de sécurité de l’entreprise (authentification, autorisation d’accès, SSO, chiffrement…).

– Modules DLP (Data Loss Prevention) optimisés pour les environnements Cloud.

– WAF (Web Application Firewalls) adaptés aux environnements cloud cibles.

– Outils de Patch Management automatisés.

– Logiciels de chiffrement avancés.

– Solutions de protection des accès avec des niveaux d’authentification élevés (à deux facteurs, à base de certificats électroniques ou physiques…). 

– Solutions de SIEM (Security Information and Event Management), d’orchestration et d’automatisation adaptées aux environnements cloud.

Une réforme rapide de la sécurité s’impose

«Une approche essentielle et stratégique consiste à élaborer une sécurité de type Security by Design, estime encore Christophe Levier. Les équipes de sécurité doivent être impliquées dans tous les projets et opérations… Trop souvent encore, les équipes de sécurité sont sollicitées in fine, après mise en production. Ou, pire, après compromission.»

En résumé, pour Micropole, l’adoption du cloud public est une tendance lourde. Elle nécessite une réforme rapide de la stratégie, de la gouvernance de l’organisation, des opérations et des outils de sécurité. Les équipes de sécurité doivent être formées aux nouvelles fonctionnalités, contraintes et menaces de ces environnements. Les équipes de sécurité doivent aussi collaborer avec tous les autres départements de la direction ICT de façon proactive. Leur mission : déployer les nouvelles technologies de sécurisation des environnements cloud public.