Le cloud computing a été la bouée de sauvetage qui a permis à de nombreuses entreprises de fonctionner pendant la pandémie. Mais c’était un cas classique de médecine qui vient avec sérieuse Effets secondaires.
L’accès partout et à tout moment aux données et aux applications offre aux entreprises une flexibilité considérable dans un monde en évolution rapide, ainsi que les moyens d’adapter et de personnaliser l’informatique à volonté. Le cloud est un atout ou une mise à niveau à presque tous les égards.
À une exception près : la cybersécurité.
Le cloud promettait de rendre les entreprises plus sûres et la sécurité plus simple. Pourtant, au cours de la même période où le cloud a pris le dessus sur l’informatique, les cyberattaques n’ont cessé de s’aggraver tandis que les équipes de sécurité se sentaient de plus en plus dépassées.
Pourquoi?
Nous vous expliquerons sous peu. Pour les équipes de sécurité légères, la question la plus importante est de savoir comment faire fonctionner la sécurité du cloud, d’autant plus que l’empreinte du cloud augmente (beaucoup) plus vite que les ressources de sécurité. Le cloud jettera-t-il toujours une ombre sur la cybersécurité ?
Pas avec la stratégie décrite dans un ebook gratuit de Cynet intitulé « Le guide informatique Lean de la sécurité dans le cloud« . Il explique comment les équipes de sécurité de moins de 20, 10 ou même 5 membres peuvent faire fonctionner la sécurité du cloud à partir de maintenant.
Les tempêtes se préparent dans le nuage
La « ruée vers le cloud » provoquée par la pandémie a certainement attiré l’attention des hackers. Attaques sur les services cloud rose 630% en 2020 et a dépassé les attaques sur site pour le première fois. L’augmentation soudaine de l’adoption du cloud explique une partie de cette hausse – le cloud était une cible plus importante qu’auparavant. Mais cela n’avait vraiment rien à voir avec la pandémie.
Ce n’était qu’une question de temps avant que les pirates ne commencent à cibler sans relâche le cloud, ce qui coûte désormais cher aux entreprises 3,8 millions de dollars en moyenne à chaque violation réussie.
Les nuages semblent aux pirates comme des cibles de choix, plus attrayants que presque tous les autres.
D’une part, les nuages hébergent d’énormes réserves de données précieuses ainsi que des applications critiques. Ils sont là où vivent les cibles de valeur, ils sont donc un vecteur d’attaque évident, voire inévitable.
D’autre part, les nuages compliquent ou compromettent bon nombre des cyberdéfenses déjà en place, tout en s’accompagnant d’exigences défensives complexes. De nombreux environnements cloud finissent par ne pas être sécurisés, ce qui en fait également un vecteur d’attaque facile.
Tant que les pirates continueront à considérer les clouds comme tout aussi vulnérables et précieux, l’assaut des attaques ne fera qu’empirer. Les dégâts le seront aussi.
Donner un sens au modèle de responsabilité partagée
L’une des principales raisons pour lesquelles les failles de sécurité dans le cloud sont si courantes (et si béantes) est la manière unique dont nous abordons la cybersécurité dans le cloud.
La plupart des fournisseurs de cloud s’appuient sur le modèle de responsabilité partagée, dans lequel les responsabilités en matière de sécurité sont réparties entre le fournisseur et le client.
En règle générale, les clients gèrent la responsabilité des données, la protection des terminaux et la gestion des identités et des accès. Les fournisseurs s’occupent des contrôles des applications et du réseau, de l’infrastructure hôte et de la sécurité des serveurs physiques (les accords de partage varient).
Les recherches montrent constamment que les clients ne savent pas ce qui relève ou non de leur responsabilité. Mais même parmi ceux qui ne sont pas confus, la ligne de démarcation entre les responsabilités peut (et a) conduit à des différends litigieux ou à des failles de sécurité attendant que les pirates les trouvent.
Aussi problématique que puisse être le modèle de responsabilité partagée, c’est une pratique courante. De plus, cela peut être un atout considérable pour apprendre les équipes de sécurité en particulier, à condition qu’elles connaissent leurs responsabilités… et choisissent le bon partenaire.
La sécurité du cloud commence par la sélection du fournisseur
Pour le meilleur ou pour le pire, le modèle de responsabilité partagée oblige les clients du cloud à former des partenariats de sécurité avec leurs fournisseurs. Et certains vendeurs sont meilleurs que d’autres.
Une vérification approfondie de tout fournisseur de cloud doit être une condition préalable, mais cela prend du temps de la part de l’évaluateur et de la transparence de la part du fournisseur. Des certifications telles que STAR Level 2 vérifient les informations d’identification de sécurité d’un fournisseur, mais certaines entreprises vont plus loin et font appel à des services de gestion des risques pour évaluer un cloud particulier. Dans tous les cas, l’objectif est d’obtenir une preuve indépendante et objective que le fournisseur prend la sécurité au sérieux.
Lors de la sélection d’un fournisseur, suivre ses conseils de sécurité (à la lettre) ne pourrait pas être plus important. Ne pas le faire a causé plus que quelques attaques cloud. Les équipes Lean peuvent apporter des améliorations majeures à la sécurité du cloud, souvent sans aucun frais, en faisant simplement ce que le fournisseur dit de faire.
Les éléments clés pour les équipes de sécurité Lean
Choisir le bon fournisseur/partenaire résout une grande partie du casse-tête de la sécurité du cloud. Cela dit, des responsabilités importantes et continues incombent toujours entièrement dans l’équipe de sécurité. Il peut s’agir des points faibles qui ouvrent la porte aux attaques sur le cloud, mais les bons outils répondent à chacune des principales responsabilités auxquelles sont confrontés les clients du cloud, et les bons fournisseurs intègrent davantage de ces outils sur les plates-formes pour consolider la sécurité du cloud sous une forme gérable.
Dans l’ebook gratuit « Le guide informatique Lean de la sécurité dans le cloud« , Cynet décrit à quoi ressemble la boîte à outils de sécurité cloud optimale, ainsi que la façon dont les équipes de sécurité légères peuvent tirer parti de forces similaires sans augmenter le personnel ni augmenter les dépenses de sécurité.
L’ebook offre un guide efficace de la sécurité du cloud aux de nombreux entreprises luttant pour protéger leur informatique la plus importante. De par sa conception, cependant, il s’agit également d’un cadre pratique et accessible conçu pour aider les équipes de sécurité de toute taille à sécuriser les déploiements cloud de toute taille.
Si la sécurité du cloud vous incombe, utilisez les conseils de Cynet pour avoir un impact maximal pour un investissement minimal.