La sécurité de l'informatique en nuage consiste à protéger les données, les applications et l'infrastructure basées sur l'informatique en nuage contre les accès non autorisés, les cyberattaques et les menaces internes et externes. Elle comprend la sécurisation des environnements en nuage contre les attaques par déni de service distribué (DDoS), les pirates informatiques, les logiciels malveillants et d'autres risques.
Afin de stimuler la collaboration et l'innovation, de plus en plus d'entreprises placent leurs applications et leurs données critiques dans le nuage. Les avantages du transfert des opérations vers le nuage comprennent le déploiement rapide, la flexibilité, les faibles coûts initiaux et l'évolutivité. Alors que la plupart des fournisseurs de services en nuage utilisent des outils standard pour surveiller l'utilisation et signaler les activités suspectes, les experts internes en sécurité informatique peuvent trouver ces outils insuffisants. En outre, les équipes internes sont généralement chargées de configurer et de gérer la sécurité des charges de travail dans le nuage. Lors du transfert des actifs vers le cloud, chaque organisation doit peser les avantages et les risques, y compris l'exposition accrue des données et des applications.
La sécurité de l'informatique dématérialisée est conçue pour protéger les données et les applications qui résident dans l'informatique dématérialisée, assurer la conformité aux réglementations et protéger la vie privée des clients. De l'authentification de l'accès pour les individus et les appareils à l'équilibre entre la facilité d'accès et la sécurité de l'organisation, la sécurité du cloud doit s'adapter aux besoins particuliers de chaque organisation. Les entreprises ont tout intérêt à travailler avec des conseillers de confiance pour les aider à gérer ces facteurs et à maximiser le retour sur investissement. Les fournisseurs de sécurité dans le nuage peuvent aider les entreprises à configurer et à gérer de manière centralisée les charges de travail dans le nuage, ce qui réduit les frais généraux et permet aux équipes informatiques de se concentrer sur d'autres domaines de l'entreprise.
La responsabilité de la sécurité des nuages est partagée entre les fournisseurs de nuages et les clients. Le modèle de responsabilité partagée divise les responsabilités en trois catégories : les responsabilités qui sont toujours du fournisseur, ceux qui sont toujours du client, et celles qui varient en fonction du modèle de service, Il s'agit de l'infrastructure en tant que service (IaaS), de la plateforme en tant que service (PaaS) ou du logiciel en tant que service (SaaS).
Prestataires (comme Amazon, Google, Microsoft ou Oracle) sont responsables des éléments suivants la protection de l'infrastructure - y compris l'accès au réseau physique sur lequel l'ordinateur et le stockage fonctionnent et résident, ainsi que l'application de correctifs et la configuration de ce réseau.
Clients sont responsables de la gestion des utilisateurs et de leurs privilèges d'accès (y compris la gestion des identités et des accès), de la protection des comptes en nuage contre les accès non autorisés, du cryptage et de la protection des données en nuage, de la gestion de la posture de sécurité en nuage (conformité), de la détection des menaces et de la réponse aux incidents dans leurs environnements en nuage.
De nombreux défis traditionnels en matière de cybersécurité se posent également dans l'informatique dématérialisée, notamment :
- Les cyberattaques. Les infrastructures en nuage sont directement accessibles depuis l'internet public et sont souvent mal configurées, ce qui les rend peu sûres. Nombre d'entre elles contiennent des données sensibles ou précieuses, ce qui fait des déploiements en nuage une cible populaire (et rentable) pour les cybercriminels.
- Accès non autorisé. Contrairement à l'infrastructure sur site, les déploiements basés sur l'informatique en nuage se situent au-delà du périmètre du réseau d'une organisation, ce qui les rend beaucoup plus faciles d'accès à partir de l'internet public. Ils sont donc pratiques pour les employés et les clients, mais aussi plus faciles d'accès pour les cybercriminels.
- Détournement de compte. Les mots de passe faibles ou réutilisés exacerbent l'impact du piratage, de l'hameçonnage et des violations de données, permettant à un pirate de déverrouiller plusieurs comptes avec un seul mot de passe d'employé volé.
- Visibilité réduite. Les ressources basées sur l'informatique en nuage fonctionnent sur une infrastructure tierce, ce qui limite la capacité d'une organisation à les surveiller et à les protéger, et ralentit la détection et la réponse aux menaces. Les équipes informatiques devraient demander aux fournisseurs de services en nuage d'avoir une visibilité sur le plus grand nombre possible de données d'application "en tant que service" afin d'informer leurs opérations de sécurité.
- Perte ou fuite de données. Les environnements basés sur le cloud facilitent le partage des données et rendent plus difficile leur sécurisation. Le fait de rendre les informations accessibles à toute personne disposant d'un lien peut ouvrir la porte à la perte ou à la fuite de données.
- Les initiés malveillants. Dans l'informatique dématérialisée, de nombreuses solutions de sécurité traditionnelles sont moins efficaces pour détecter les menaces internes malveillantes.
- Attaques DoS. Les attaques par déni de service - qui sont souvent associées à des demandes de rançon - peuvent ralentir ou arrêter les systèmes ciblés, ce qui a un impact majeur sur les opérations quotidiennes, les systèmes d'entreprise critiques ou les applications orientées vers la clientèle.
- Protection de la vie privée et confidentialité des données. Les réglementations en matière de protection des données, notamment le règlement général sur la protection des données (RGPD) de l'UE, la loi sur la portabilité et l'accessibilité de l'assurance maladie (HIPAA) et la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) s'appliquent aux données stockées dans le nuage, bien que de nombreuses organisations n'aient pas les moyens de sécuriser l'accès des employés à ces données.
La meilleure solution pour la sécurité dans le nuage dépend du type et de la sensibilité des données, du nombre et du type d'utilisateurs, de l'architecture du nuage et de la disponibilité des outils intégrés. Quelques bonnes pratiques :
- Contrôler l'accès et l'utilisation. Utiliser une gestion des identités et des accès (IAM) granulaire et basée sur des règles. Accorder les privilèges d'accès minimaux aux actifs et aux API. Utiliser l'authentification à deux facteurs (2FA) ou l'authentification par mot de passe. l'authentification multifactorielle (AMF) pour vérifier l'identité de l'utilisateur. Enregistrer et surveiller tous les accès aux données et toutes les mises à jour. Adopter une confiance zéro de sécurité pour vérifier en permanence l'ensemble des utilisateurs, des ressources et des applications.
- Détecter les menaces au fur et à mesure qu'elles se produisent. Utiliser des règles, des alertes et des renseignements sur les menaces pour détecter les menaces connues et inconnues et y remédier en temps réel, en croisant les données internes (systèmes de gestion des actifs et de la configuration, analyses de vulnérabilité) et les données externes (flux publics de renseignements sur les menaces, géolocalisation).
- Renforcer la protection des données. Chiffrer les données au repos, en cours d'utilisation et en transit. Sécuriser les partages de fichiers et les communications. Utiliser la gestion des informations et des événements de sécurité (SIEM) et Détection et réponse étendues (XDR) pour analyser l'authentification, les événements, les performances, l'utilisation des données et les anomalies, et en rendre compte. Maintenir de bonnes pratiques de stockage des données, notamment en détectant les buckets mal configurés et en mettant fin aux ressources orphelines.
- Protéger les applications avec des pare-feu. Utiliser des protections de sécurité à la périphérie du nuage, notamment des pare-feu d'application web de nouvelle génération, pour inspecter et contrôler l'ensemble du trafic à destination et en provenance des serveurs d'application.
- Assurer la visibilité et le contrôle de l'emplacement des données. L'emplacement permet de déterminer si des données données peuvent être copiées à l'intérieur ou à l'extérieur du nuage.
Les entreprises peuvent sécuriser les données basées sur l'informatique en nuage à l'aide d'outils de cybersécurité pour gestion des identités et des accès (y compris l'authentification multifactorielle) et détection des menaces et réaction. Pour celles qui disposent d'une gestion efficace des identités et des accès et de contrôles des menaces sur site, l'étape suivante consiste à étendre ces solutions à l'informatique dématérialisée. Les nouvelles entreprises, ou celles qui ont besoin d'une mise à niveau, devraient rechercher des outils de sécurité qui protègent les données où qu'elles se trouvent, que ce soit sur site ou dans le nuage.
