Lorsque Christina Shannon a commencé son nouveau rôle en tant que directrice mondiale de la sécurité de l’information (RSSI) pour Catalina USA l’année dernière, elle a été stupéfaite de trouver une organisation avec plus de 40 environnements cloud.
La société de marketing, connue pour produire des coupons basés sur les achats des acheteurs au comptoir de paiement, est passée du papier au numérique depuis un certain temps. Dans le cadre de ce changement, l’entreprise souhaitait offrir des remises sur les achats de smartphones, ce qui signifiait passer à 100 % sur le cloud.
Du point de vue de Shannon, cela signifiait que l’équipe de sécurité informatique devait s’occuper de mettre en œuvre des outils de sécurité natifs du cloud pour améliorer sa capacité à identifier, protéger et récupérer les actifs sur plusieurs clouds.
« J’ai été confronté à une situation où nous avions tous ces environnements cloud, et où mon équipe de sécurité n’en examinait aucun », se souvient Shannon. « Ils ne faisaient que regarder ce qui vivait dans un datacenter, manquant la moitié de la visibilité requise pour quantifier les cyber-risques. »
L’adoption du cloud computing ouvre des risques de sécurité
Catalina n’est pas seule. Alors que les entreprises se dirigent vers le cloud, beaucoup l’ont fait sans d’abord déployer des stratégies de sécurité robustes pour protéger leurs actifs dans plusieurs environnements cloud.
Il s’agit d’un problème grave, car 73 % des organisations, qui ne souhaitent pas être enfermées dans une seule plateforme de fournisseur de services cloud (CSP), hébergent désormais des données sur plusieurs clouds publics, tels qu’Amazon Web Services (AWS), Microsoft Azure et Google Cloud, selon une enquête de Splunk. L’absence de garde-fous pour gérer la multiplication des environnements cloud a contribué à 45 % des entreprises souffrant de violations de données basées sur le cloud ou d’audits échoués au cours des 12 derniers mois, rapporte l’étude 2022 Thales Cloud Security.
Une telle complexité non contrôlée peut être l’interdiction de l’existence de tout service de sécurité informatique, car elle entraîne des erreurs de configuration du cloud et du pare-feu qui ouvrent des portails aux pirates opportunistes. En effet, selon Gartner, 99 % des défaillances de sécurité du cloud jusqu’à 2025 « seront la faute du client ». Twitch, Uber,
Étendre les bonnes pratiques de cybersécurité à l’infrastructure sur site et dans le cloud n’est pas une tâche facile. Cela peut prendre des années à être réalisé, en partie parce que les environnements numériques changent constamment. Et même si une entreprise a sa propre maison dans l’ordre, les partenaires peuvent ne pas avoir protégé correctement leurs clouds, réseaux et produits.
[Lire également : Comment lutter contre les risques liés aux tiers]
« Alors que les organisations adoptent des environnements multicloud, elles doivent
être conscientes que les cyberattaques sont souvent réussies, car elles
tirent parti d’une vaste chaîne d’approvisionnement de fournisseurs technologiques », déclare Nataraj Nagaratnam, directeur de la technologie (CTO) pour la sécurité du cloud chez IBM. « Avec cette complexité, les acteurs malveillants peuvent facilement
exploiter les vulnérabilités créées par une mauvaise configuration ou des pratiques
non sécurisées. »
Une cybersécurité dédiée est nécessaire pour chaque cloud
Les experts affirment qu’il est important de reconnaître que chaque cloud est susceptible d’avoir son propre ensemble de défis et de solutions de sécurité. Les approches et les outils de l’emporte-pièce ne fonctionneront donc pas.
« J’ai été confronté à une situation où nous avions tous ces environnements cloud, et où mon équipe de sécurité n’en examinait aucun. »Christina Shannon, RSSI, Catalina États-Unis
« Le plus grand problème concernant la sécurisation du multicloud est de réaliser que chaque service cloud dispose de manières légèrement différentes de mettre en œuvre et de surveiller les fonctions de sécurité de base », déclare John Pescatore, directeur des tendances émergentes en matière de sécurité pour l’Institut SANS. « Vos contrôles de sécurité devront être adaptés pour y parvenir. »
Avec les clouds publics, les entreprises doivent commencer par les outils fournis par les CSP eux-mêmes. Microsoft Azure, par exemple, offre des contrôles et des services intégrés sur l’identité, les données, la mise en réseau et les applications. AWS, en attendant, fournit une protection de base des données, une gestion des identités et des accès (IAM), une détection et une réponse gérées (MDR) et une protection du réseau et des applications.
Relever les défis de sécurité multicloud avec une approche complète
Bien que les outils CSP soient solides, ils fonctionnent mieux pour leurs propres environnements cloud.
La plupart des entreprises ont besoin d’un mélange d’outils et de techniques complémentaires pour obtenir une couverture multicloud complète. Une approche à grande échelle prend de l’importance en raison de l’augmentation de la conteneurisation, qui isole les applications, ainsi que de la croissance des microservices qui couplent de manière lâche les éléments d’une application. Ces stratégies aident les applications à s’exécuter sur différents clouds, et toutes doivent être sécurisées.
Pour maîtriser la visibilité et la sécurité multicloud, les experts recommandent quelques étapes en plus de mettre à profit les outils CSP.
- Tisser la sécurité dans DevOps. Philip Bues, directeur de recherche pour IDC Cloud Security, note que de nombreuses organisations ont plusieurs développeurs internes qui écrivent du code pour les clouds privés et publics qui fonctionne très bien d’un point de vue fonctionnel, mais qui n’est pas nécessairement sécurisé par défaut. Il dit que chaque stratégie de sécurité du cloud doit inclure un composant « shift left », qui fait référence à la garantie que davantage de tests opérationnels et de sécurité sont effectués aux premières étapes du développement pour tout logiciel ou service basé sur le cloud.
- Adoptez une plateforme de protection des endpoints. Dans 94 % des entreprises, jusqu’à 20 % des endpoints sont inconnus. De nos jours, chacun de ces endpoints accède à un cloud public ou privé et devient vulnérable aux données qui ne sont pas sécurisées. Les plates-formes de protection des endpoints (EPP) offrent une combinaison d’ hygiène de sécurité, de détection des menaces et de réponse aux incidents , ainsi que des capacités de gestion des actifs informatiques et des opérations.
- Envisagez la technologie MDR. Shannon dit que l’une des premières choses que son équipe de sécurité a faites après son arrivée était de savoir lequel des 40 clouds de Catalina contenait les actifs les plus critiques. « C’est là que les violations étaient les plus susceptibles de se produire », dit-elle. Ils ont ensuite déployé une combinaison d’outils de sécurité natifs du cloud pour mieux surveiller, gérer et sécuriser ces emplacements. L’équipe de Shannon souhaitait étendre la sécurité du cloud à l’appareil, elle a donc déployé des outils MDR en plus de la protection des endpoints.
- Hiérarchisez la gestion des vulnérabilités. Brian Bobo, RSSI pour Greenway Health, un fournisseur de logiciels de dossiers médicaux électroniques de taille moyenne, utilise également le MDR et l’EPP. Mais il pense que la technologie de gestion des vulnérabilités est également nécessaire pour identifier, classer et traiter les vulnérabilités connues dans un système. « La plupart des organisations ne consacrent pas autant d’efforts à la gestion des vulnérabilités que je pense qu’elles le devraient », déclare Bobo. « Pour moi, si vous ne faites rien d’autre, la gestion des vulnérabilités doit être la priorité absolue. Vous pouvez disposer de la meilleure technologie au monde, mais une seule vulnérabilité peut permettre à un pirate informatique de surmonter tout cela et de vous compromettre. »
- Évaluez les solutions de gestion des clés cryptographiques. Pour assurer le contrôle des personnes qui peuvent déchiffrer les données, Nagaratnam d’IBM déclare qu’il est important de pouvoir afficher, provisionner et gérer les clés cryptographiques à partir d’un seul tableau de bord. Cette vue unifiée peut aider à simplifier les opérations et permettre aux entreprises d’exécuter des charges de travail en toute sécurité dans divers environnements. Il peut également aider plus rapidement les services informatiques et juridiques à prouver la conformité aux réglementations sur la souveraineté des données, ajoute-t-il.
[Lire également : « L’expansion de la réglementation » met les multinationales sous pression]
- Effectuer des tests de pénétration. Shannon recommande également d’effectuer des tests d’intrusion périodiques pour voir dans quelle mesure les mesures de sécurité actuelles fonctionnent. « J’identifie certains risques pour l’entreprise qui m’inquiète, puis je cherche à voir quelle pourrait être notre situation avec les tests d’intrusion », dit-elle. « Par exemple, je viens d’en faire une pour comprendre notre probabilité qu’une attaque par ransomware se produise en raison d’une vulnérabilité du cloud. » Shannon avait été informé que l’entreprise avait segmenté les sauvegardes en cas d’attaque, mais voulait le prouver. Elle a donc effectué un test de risque de pénétration pour voir comment quelqu’un pouvait facilement augmenter ses privilèges d’accès pour lancer une attaque à l’échelle du système.
Pour sécuriser l’infrastructure multicloud, les entreprises doivent déployer les meilleures pratiques et les outils dès le moment où elles commencent à concevoir et à coder des environnements et tout au long de leur cycle de vie. Les nuages ne dorment jamais. Et avec les attaques qui se produisent 24 heures sur 24 et à travers les fuseaux horaires, les pirates informatiques qui les attaquent non plus.
Imperva et de nombreuses entreprises dont les clouds ont été violés en raison d’une mauvaise configuration peuvent enattester.
