Lorsque Christina Shannon a pris ses nouvelles fonctions de responsable mondiale de la sécurité de l'information (CISO) chez Catalina USA l'année dernière, elle a été stupéfaite de découvrir une entreprise comptant plus de 40 environnements cloud.
Cette agence de marketing, connue pour créer des bons de réduction en fonction des achats effectués par les clients à la caisse, avait entamé depuis un certain temps déjà sa transition du support papier vers le numérique. Dans le cadre de cette évolution, l'entreprise souhaitait proposer des réductions sur les achats effectués depuis un smartphone, ce qui impliquait de migrer à 100 % vers le cloud.
Du point de vue de Shannon, cela signifiait que l’équipe chargée de la sécurité informatique allait devoir s’atteler à la mise en œuvre d’outils de sécurité natifs du cloud afin d’améliorer sa capacité à identifier, protéger et restaurer les ressources sur plusieurs environnements cloud.
« Je me suis retrouvée confrontée à une situation où nous disposions de tous ces environnements cloud, et où mon équipe de sécurité ne s’occupait d’aucun d’entre eux », se souvient Shannon. « Ils se contentaient d’examiner ce qui se trouvait dans un centre de données, sans disposer de la moitié des informations d’ nécessaires pour quantifier le risque cybernétique. »
Le recours au cloud computing comporte des risques en matière de sécurité
Catalina n'est pas la seule. Alors que les entreprises se précipitent vers le cloud, nombre d'entre elles l'ont fait sans avoir préalablement mis en place des stratégies de sécurité solides pour protéger leurs actifs dans divers environnements cloud.
Il s’agit là d’un problème grave, car 73 % des entreprises, ne souhaitant pas se lier à une seule plateforme de fournisseur de services cloud (CSP), hébergent désormais leurs données sur plusieurs clouds publics, tels qu’Amazon Web Services (AWS), Microsoft Azure et Google Cloud, selon une enquête menée par Splunk intitulée « » (). L'absence de mesures de protection permettant de gérer la multiplication des environnements cloud a contribué à ce qu' , 45 % des entreprises aient été victimes de fuites de données dans le cloud ou aient échoué à des audits au cours des 12 derniers mois, selon la 2022 e étude Thales sur la sécurité dans le cloud.
Une telle complexité non maîtrisée peut être le cauchemar de tout service de sécurité informatique, car elle entraîne des erreurs de configuration du cloud et des pare-feu qui ouvrent la voie à des pirates informatiques opportunistes. En effet, selon Gartner ( ), 99 % des défaillances de sécurité dans le cloud ( à 2025 ) « seront imputables au client ». Twitch, Uber, Imperva, ainsi qu'une multitude d'entreprises dont les environnements cloud ont été piratés en raison d'une mauvaise configuration, comme le montre
, peuvent en témoigner.
Mettre en œuvre de bonnes pratiques en matière de cybersécurité à la fois sur les infrastructures sur site et dans le cloud n'est pas une mince affaire. La mise en œuvre de ce projet peut prendre des années, notamment parce que les environnements numériques évoluent sans cesse. Et même si une entreprise a mis de l'ordre dans ses propres affaires, il se peut que ses partenaires n'aient pas suffisamment sécurisé leurs environnements cloud, leurs réseaux et leurs produits.
[À lire également : Comment lutter contre les risques liés aux tiers]
« À mesure que les entreprises adoptent des environnements multicloud, elles doivent
garder à l’esprit que les cyberattaques aboutissent souvent parce qu’elles
tirent parti d’une vaste chaîne d’approvisionnement de fournisseurs de technologies », explique Nataraj Nagaratnam, directeur technique (CTO) chargé de la sécurité cloud chez IBM. « Compte tenu de cette complexité, les acteurs malveillants peuvent facilement
exploiter les vulnérabilités résultant d’une mauvaise configuration ou
de pratiques non sécurisées. »
Une cybersécurité dédiée est nécessaire pour chaque cloud
Selon les experts, il est important de prendre conscience que chaque cloud est susceptible de présenter ses propres défis et solutions en matière de sécurité. Les approches et les outils standardisés ne fonctionneront donc pas.
«Je me suis retrouvé dans une situation où nous disposions de tous ces environnements cloud, et mon équipe de sécurité ne s’occupait d’aucun d’entre eux. »Christina Shannon, responsable de la sécurité des systèmes d'information (RSSI), Catalina USA
« Le principal défi en matière de sécurisation des environnements multicloud réside dans le fait de prendre conscience que chaque service cloud dispose de méthodes légèrement différentes pour mettre en œuvre et surveiller les fonctions de sécurité de base », explique John Pescatore, directeur chargé des tendances émergentes en matière de sécurité au SANS Institute. « Vos mesures de sécurité devront être adaptées pour fonctionner dans ce contexte. »
En ce qui concerne les clouds publics, les entreprises devraient commencer par utiliser les outils fournis par les fournisseurs de services cloud eux-mêmes. Microsoft Azure, par exemple, propose des contrôles et des services intégrés couvrant les domaines de l'identité, des données, des réseaux et des applications. AWS, quant à elle, propose des services de protection des données de base, de gestion des identités et des accès (IAM), de détection et de réponse gérées (MDR), ainsi que de protection des réseaux et des applications.
Relever les défis liés à la sécurité dans un environnement multicloud grâce à une approche globale
Bien que les outils CSP soient fiables, ils fonctionnent mieux dans leurs propres environnements cloud.
La plupart des entreprises ont besoin d'une combinaison d'outils et de techniques complémentaires pour parvenir à une couverture multicloud complète. Une approche globale prend de plus en plus d'importance en raison de l'essor de l' de la conteneurisation, qui isole les applications, ainsi que de la croissance des microservices qui couplent de manière lâche les éléments d'une application. Ces stratégies permettent aux applications de fonctionner sur différents clouds, et toutes doivent être sécurisées.
Pour optimiser la visibilité et la sécurité dans un environnement multicloud, les experts recommandent de suivre quelques étapes en plus de l'utilisation des outils des fournisseurs de services cloud (CSP).
- Intégrez la sécurité dans le DevOps. Philip Bues, responsable de recherche chez IDC Cloud Security, souligne que de nombreuses entreprises disposent de plusieurs développeurs en interne qui écrivent du code destiné aux clouds privés et publics ; ce code fonctionne parfaitement d'un point de vue fonctionnel, mais n'est pas nécessairement sécurisé par défaut. Il affirme que toute stratégie de sécurité dans le cloud devrait inclure un volet intitulé «shift left », qui consiste à veiller à ce que davantage de tests opérationnels et de sécurité soient effectués dès les premières étapes du développement de tout logiciel ou service basé sur le cloud.
- Mettez en place une plateforme de protection des terminaux. Dans 94 % des entreprises, jusqu'à 20 % des terminaux sont inconnus. De nos jours, chacun de ces terminaux accède à un cloud public ou privé et devient ainsi exposé à des risques liés à des données non sécurisées. Les plateformes de protection des terminaux (EPP) offrent à la fois des solutions de sécurité de type « » (hygiène de sécurité), de détection des menaces ( ), et de réponse aux incidents ( ) , ainsi que des fonctionnalités de gestion des actifs informatiques () et de gestion des opérations.
- Pensez à la technologie MDR. Shannon explique que l'une des premières mesures prises par son équipe de sécurité après son arrivée a été de déterminer lesquels, parmi les 40 clouds de Catalina, contenaient les ressources les plus critiques. « C’est là que les failles étaient les plus susceptibles de se produire », explique-t-elle. Ils ont ensuite déployé une combinaison d'outils de sécurité natifs du cloud afin de mieux surveiller, gérer et sécuriser ces sites. L'équipe de Shannon souhaitait étendre la sécurité du cloud jusqu'aux terminaux ; elle a donc déployé des outils MDR en complément de la solution de protection des terminaux d' .
- Accordez la priorité à la gestion des vulnérabilités. Brian Bobo, responsable de la sécurité des systèmes d'information (RSSI) chez Greenway Health, un éditeur de logiciels de dossiers médicaux électroniques ( ) de taille moyenne , utilise lui aussi les solutions MDR et EPP. Mais il estime que la technologie de gestion des vulnérabilités est également nécessaire pour identifier, classer et corriger les vulnérabilités connues d'un système. « La plupart des organisations ne consacrent pas autant d’efforts à la gestion des vulnérabilités qu’elles le devraient, selon moi », déclare Bobo. « À mon sens, même si vous ne faites rien d’autre, la gestion des vulnérabilités devrait être la priorité absolue. » « Vous pouvez disposer des meilleures technologies au monde, mais une seule faille peut permettre à un pirate de contourner toutes ces protections et de compromettre votre système. »
- Évaluez les solutions de gestion des clés cryptographiques. Afin de garantir le contrôle des personnes autorisées à déchiffrer les données, M. Nagaratnam, d'IBM, souligne qu'il est important de pouvoir consulter, attribuer et gérer les clés de chiffrement à partir d'un seul tableau de bord. Cette vue unifiée peut contribuer à simplifier les opérations et permettre aux entreprises d'exécuter leurs charges de travail en toute sécurité dans divers environnements. Cela peut également aider plus rapidement les services informatiques et juridiques à démontrer leur conformité aux réglementations en matière de souveraineté des données, ajoute-t-il.
[Lire également : « La prolifération réglementaire » met les multinationales sous pression]
- Réalisez des tests d'intrusion. Shannon recommande également de réaliser régulièrement des tests d'intrusion afin d'évaluer l'efficacité des mesures de sécurité en place. « J’identifie certains risques pour l’entreprise qui me préoccupent, puis j’examine quelle pourrait être notre situation à l’issue de tests d’intrusion », explique-t-elle. « Par exemple, je viens d’en réaliser une afin d’évaluer le risque qu’une attaque par le ransomware se produise en raison d’une vulnérabilité dans le cloud. » On avait dit à Shannon que l'entreprise avait segmenté ses sauvegardes en cas d'attaque, mais elle souhaitait s'en assurer. Elle a donc mené un test de vulnérabilité par intrusion afin de déterminer dans quelle mesure il serait facile pour quelqu'un d'étendre ses droits d'accès pour lancer une attaque à l'échelle du système.
En résumé, pour sécuriser une infrastructure multicloud, les entreprises doivent mettre en œuvre les meilleures pratiques et les outils adaptés dès le moment où elles commencent à concevoir et à développer leurs environnements, et ce tout au long de leur cycle de vie. Les nuages ne dorment jamais. Et comme les attaques se produisent 24 heures sur 24 et dans tous les fuseaux horaires, les pirates qui les mènent ne font pas exception.
