Qu'est-ce que la sécurité dans le cloud d'entreprise ?

La sécurité dans le cloud d'entreprise est l'ensemble des pratiques, protocoles, stratégies et contrôles mis en place par les entreprises pour sécuriser leurs ressources digitales dans le cloud. La sécurité dans le cloud d'entreprise est conçue pour protéger les environnements cloud, les données qui résident dans le cloud, les applications qui s'exécutent dans le cloud et les utilisateurs qui interagissent avec les ressources cloud. Dans la plupart des environnements cloud, la sécurité est une responsabilité partagée entre le fournisseur de cloud et le client.

Les services de cloud public sont fournis par un fournisseur tiers à partir d'un pool virtualisé de ressources où plusieurs clients ou locataires peuvent louer des ressources informatiques sur le même serveur physique. Cela peut ajouter un léger risque de sécurité pour les ressources d'un client s'exécutant dans le cloud. En outre, les équipes de sécurité disposent d'une visibilité limitée sur les charges de travail exécutées sur les offres de cloud public, ce qui rend la protection plus difficile. Un cloud privé peut offrir un meilleur contrôle et une sécurité accrue, car toutes les ressources du cloud sont dédiées à un seul client. Les clients d'un cloud privé ont accès à des serveurs dédiés physiques (bare metal) au sein du cloud, ce qui leur permet de ne pas se disputer la bande passante avec d'autres clients et d'éviter les risques de sécurité que d'autres clients peuvent représenter. Les équipes de sécurité bénéficient par ailleurs d'une meilleure visibilité sur l'infrastructure sous-jacente d'un cloud privé.

Les environnements de cloud d'entreprise font face à un vaste éventail de problèmes de sécurité et de menaces potentielles.

• Mauvaise configuration. Lorsque les paramètres de sécurité sont mal configurés ou ne sont pas mis en œuvre, ils peuvent permettre à des acteurs malveillants d'exploiter des vulnérabilités et d'accéder facilement à des données, applications et systèmes non autorisés.
• Attaques par déni de service (DoS). Les attaques par déni de service (DoS) et les attaques par déni de service distribué (DDoS) sont conçues pour ralentir ou bloquer une machine ou un réseau. Les attaques DoS sont souvent un préambule à des attaques plus dévastatrices.
• Cyberattaques. Les menaces de cybersécurité comme les ransomwares, les programmes malveillants et les violations de données sont courantes et puissantes, entraînant souvent des millions de dollars de dommages pour les entreprises.
• API non protégées. Lorsque les API qui permettent aux logiciels de communiquer entre eux sont laissées sans protection, elles constituent un point d'entrée facile pour les acteurs malveillants.
• Piratage de comptes. Les acteurs malveillants peuvent utiliser des informations d'identification volées pour accéder à un compte d'utilisateur et le détourner, en usurpant l'identité de l'utilisateur pour voler de l'argent ou accéder à des données sensibles.
• Fuites de données. Des fuites de données malveillantes ou accidentelles peuvent menacer la sécurité des données et exposer des informations sensibles ou des données de clients stockées dans le cloud.
• Erreur humaine. Les études montrent que la plupart des défaillances de sécurité dans le cloud sont le résultat d'erreurs humaines telles que la consultation d'un site Web malveillant, le partage d'identifiants de connexion, une escroquerie par hameçonnage ou le non-respect des bonnes pratiques en matière de sécurité.

• Environnements cloud multilocataires. Les clients dans les environnements de cloud public utilisent des ressources cloud qui peuvent partager un serveur physique avec d'autres clients ou locataires. La sécurité des ressources d'un client peut ainsi être compromise par le biais d'attaques malveillantes sur un autre locataire.
• Manque de visibilité. La visibilité peut être un problème pour les entreprises utilisant plusieurs fournisseurs de cloud. Cette approche décentralisée de la gestion du cloud peut créer des angles morts tels que des terminaux, des charges de travail et du trafic qui ne sont pas correctement gérés ou sécurisés.
• Shadow IT. Avec la tendance liée aux lieux de travail hybrides et distants et à l'utilisation de terminaux personnels, les utilisateurs risquent davantage d'utiliser des instances de Shadow IT ou des ressources cloud non autorisées en cherchant à accéder aux données et ressources dont ils ont besoin pour rester productifs.
• Charges de travail dynamiques. Les charges de travail dans le cloud impliquent une variété de processus et de ressources, notamment des machines virtuelles, des conteneurs, des bases de données, etc. S'assurer que chaque partie de la charge de travail est sécurisée peut s'avérer complexe.
• Conformité réglementaire. Les cadres réglementaires tels que l'HIPAA et la norme PCI DSS imposent des exigences strictes quant à la façon dont les entreprises doivent stocker, utiliser et protéger les données des clients et les informations des patients. Lorsque les données sont stockées dans le cloud, il peut être difficile pour les entreprises d'assurer la conformité aux exigences en matière de lieu de stockage et de souveraineté des données.

La plupart des fournisseurs de services cloud abordent la sécurité dans le cloud d'entreprise avec un modèle de responsabilité partagée. Dans le cadre de cet accord, le fournisseur de services cloud est responsable de la sécurisation de l'infrastructure sous-jacente qu'il met à la disposition des clients en tant que services cloud, et le client est responsable de la sécurisation de toute partie de l'environnement cloud qu'il contrôle. Si le rôle des équipes informatiques et des organisations n'est pas clair dans le cadre de ce modèle, cela risque d'entraîner des lacunes dans les contrôles de sécurité et les programmes qui peuvent être facilement exploitées par des acteurs malveillants.

Le niveau de responsabilité que les entreprises doivent assumer pour protéger leurs ressources cloud dépend du type de modèle de prestation de services cloud. Dans les solutions d'infrastructure en tant que service (IaaS), le fournisseur de cloud est responsable de la sécurisation de l'infrastructure, comme les serveurs, le stockage et les composants réseau, tandis que le client est responsable de la sécurisation des applications, des terminaux, des charges de travail et des données. Dans les offres de plateforme en tant que service (PaaS), le fournisseur de cloud sécurise l'ensemble du matériel et des logiciels, tandis que le client est responsable de la sécurisation de toutes les applications développées sur la plateforme, ainsi que des terminaux, des charges de travail et de la sécurité des utilisateurs et du réseau. Dans les solutions de logiciel en tant que service (SaaS), le fournisseur de services cloud sécurise l'ensemble de l'infrastructure et des applications, tandis que le client est responsable de la sécurisation des terminaux, des charges de travail, des données et de la sécurité des utilisateurs et du réseau uniquement.

Pour maintenir un haut niveau de sécurité, la sécurité dans le cloud d'entreprise nécessite une approche multicouche de la stratégie de sécurité. Les solutions de sécurité basées dans le cloud les plus courantes incluent les éléments suivants :

• Gestion des identités et des accès. Avec un contrôle d'accès robuste, des autorisations strictes et des solutions d'authentification multifactorielle, il est plus difficile pour les acteurs malveillants d'utiliser des informations d'identification volées pour accéder aux environnements cloud.
• Surveillance continue. Les solutions de sécurité qui permettent aux équipes informatiques de surveiller en permanence les plateformes et services cloud peuvent aider à identifier et à résoudre rapidement les menaces potentielles.
• Sécurité du réseau cloud. Les solutions de segmentation des ressources cloud peuvent réduire l'impact d'une violation. Une technologie de sécurité du réseau cloud peut également surveiller le trafic et protéger les données et les ressources digitales contre l'exploitation et les mouvements latéraux.
• Protection des données. Le chiffrement des données en transit et au repos peut protéger les données stockées dans le cloud et simplifier la conformité à un vaste éventail de lois et de réglementations.
• Informations sur les menaces. L'accès à des informations actualisées sur les menaces peut aider les entreprises à identifier les cybermenaces émergentes et à se défendre contre elles.
• Courtiers de sécurité d'accès au cloud (CASB). Un CASB se situe entre les clients et leurs services cloud pour aider à appliquer les stratégies de sécurité et ajouter une couche de sécurité.
• Accès réseau Zero Trust (ZTNA). Les solutions ZTNA garantissent un accès distant sécurisé aux ressources cloud à chaque demande, pour une authentification permanente des utilisateurs ou des applications.

Les solutions de sécurité basées dans le cloud fournissent des services de sécurité à partir de serveurs dans des centres de données distants via une connexion Internet. Grâce aux solutions basées dans le cloud, les entreprises peuvent éviter les coûts et les efforts liés au déploiement d'équipements sur site. Les équipes de sécurité peuvent gérer les programmes de sécurité à distance à partir d'un tableau de bord unique, partout dans le monde. Les solutions de sécurité basées dans le cloud offrent une évolutivité bien supérieure à celle des technologies sur site, et le choix de solutions basées dans le cloud contribue à la pérennité des systèmes de sécurité.