Les services de cloud public se sont désormais fermement établis en tant que solutions efficaces, efficaces et abordables pour les organisations de tous types. Cela se reflète dans les taux d'adoption récents; cette année, Gartner s'attend à une croissance de 17% du marché du cloud public pour un total de 266,4 milliards de dollars, avec plus des deux cinquièmes des PME en faveur du cloud public et 45% des entreprises en faveur d'une stratégie de cloud hybride (en utilisant les deux cloud public et services sur site).
Cependant, une préoccupation qui empêche souvent les entreprises d'adopter le cloud public – que ce soit en gros ou dans le cadre d'une stratégie de cloud hybride – est la sécurité des informations. Un récent sondage auprès des professionnels de la cybersécurité a révélé que 93% étaient modérément à très préoccupés par la sécurité du cloud public, plus des trois cinquièmes des personnes interrogées étant spécifiquement préoccupées par les fuites et la confidentialité des données. Ces craintes sont particulièrement aiguës lorsqu'il s'agit d'héberger des charges de travail sensibles telles que des informations financières, personnelles ou de paie, où une fuite ou une brèche pourrait causer des dommages majeurs à votre équipe et à l'organisation dans son ensemble.
Nous savons que certaines charges de travail sensibles sont appropriées pour être hébergées sur un cloud public. Cependant, étant donné les dommages qui peuvent être causés en cas d'erreur, vous devez aborder les risques systématiquement avant une migration et tout au long de l'utilisation d'un cloud public pour héberger des informations sensibles. Pour ce faire, une organisation doit effectuer des analyses de risques régulières de son environnement de cloud public.
La nature de votre analyse des risques dépendra fortement de vos charges de travail et de la nature exacte de votre environnement. Cependant, plusieurs problèmes surviennent régulièrement lors de l'examen des risques d'un environnement de cloud public: les contrôles contractuels que vous avez avec un fournisseur, les contrôles architecturaux que vous avez dans votre environnement logiciel et les contrôles techniques que vous avez sur votre matériel.
Sommaire
Contrôles contractuels
Dès le départ, vous devez vous assurer que vous travaillez avec un fournisseur de services de cloud public (CSP) qui peut répondre à vos besoins en matière de sécurité des informations. Cependant, cet examen ne devrait pas prendre fin une fois le processus d'approvisionnement terminé. Au lieu de cela, vous devez évaluer les termes, conditions et conditions contractuelles de votre CSP pour vous assurer que le niveau de sécurité dont vous avez besoin est respecté.
L'une des premières choses à prendre en compte dans votre évaluation des risques sont les normes de sécurité ISO que votre CSP promet de respecter. Vous devrez revoir vos propres risques et obligations et vous assurer que votre CSP est conforme à toutes les normes pertinentes pour votre organisation. Les normes qui reviennent régulièrement dans ces revues incluent ISO 27001, qui est la norme internationale de gestion de la sécurité de l'information; ISO 27701, qui garantit qu'un système conforme à ISO 27001 respecte également les normes de confidentialité des données (comme le RGPD); ISO 27017, qui fournit des contrôles de sécurité des informations spécifiques au cloud; et ISO 27018, qui fournit des pratiques axées sur la protection des données personnelles dans le cloud.
Au-delà de ces normes, vérifiez votre contrat pour voir quelles dispositions votre CSP prend en cas de fuite. Vous devriez examiner les questions concernant la responsabilité en cas de fuite, la réponse recommandée en cas de fuite d'informations et le processus d'examen après une fuite. Au-delà de cela, vous devez également vérifier comment votre CSP gère la sécurité des informations, telles que les politiques de filtrage du personnel, dans le centre de données lui-même.
Contrôles architecturaux
Le domaine dans lequel votre audit a le plus de pouvoir pour enquêter directement et influencer sont vos contrôles architecturaux, c'est-à-dire comment le logiciel est configuré pour réguler et délimiter les données qui vont dans le cloud public. Ceci est particulièrement important dans un environnement de cloud hybride, où les charges de travail s'exécutent à la fois dans le cloud public et serveurs sur site. Dans un environnement de cloud hybride, de bons contrôles architecturaux vous permettront de conserver autant de données et de charges de travail sensibles que possible sur site. Pour évaluer tous les risques pertinents dans ce domaine, vous devez travailler avec vos développeurs et vos équipes d'exploitation pour comprendre votre environnement et son architecture.
L'une des premières considérations à prendre en compte si votre organisation utilise une configuration de cloud hybride est de savoir si l'équipe s'assure que les charges de travail identifiées comme les plus sensibles restent toujours sur site, en utilisant les outils de planification trouvés dans les plates-formes cloud telles qu'Openstack ou Openstack. Pour vous assurer que seules les données pertinentes sont transmises entre votre cloud public et vos serveurs sur site, vous devez également vérifier que l'organisation utilise des contrôles API pour réguler le flux de données, ainsi qu'une stratégie de surveillance claire et un ensemble de contrôles. Dans votre environnement, vous devez également utiliser des outils tels que le réseau local virtuel (VLAN) pour partitionner et contrôler le flux de données sensibles au sein de votre organisation.
Les contrôles architecturaux évoluent constamment à mesure que la technologie et les normes s'améliorent, ce qui démontre la nécessité de réviser fréquemment votre analyse des risques. Pour ce faire, un dialogue permanent avec votre équipe logicielle est absolument essentiel.
Contrôles techniques
Enfin, votre analyse des risques doit également prendre en compte la configuration matérielle des machines de votre organisation. Ces contrôles techniques peuvent fournir une sécurité physique vitale pour les données et charges de travail confidentielles, et fournir une défense efficace contre les attaques malveillantes contre votre organisation – que ces attaques soient menées physiquement ou dans le cyberespace.
Les considérations relatives aux contrôles techniques peuvent inclure l'utilisation de modules de sécurité matériels (HSM), qui sont des appareils qui peuvent réguler l'accès aux données de votre organisation. En particulier, si vous avez des données dans votre cloud public ou hybride auxquelles seule une très petite quantité de personnes de l'organisation a besoin d'accéder, un HSM peut garantir avec une certitude presque à 100% que personne en dehors de ce cercle ne peut accéder à ces informations.
De plus, les fabricants de puces commencent à déployer des environnements d'exécution de confiance (TEE) dans leurs processus informatiques. Les TEE permettent à un appareil d'exécuter du code protégé contre les menaces sur le reste de l'appareil, ce qui signifie que tout logiciel malveillant sur le reste de l'appareil ne devrait pas pouvoir accéder à des informations confidentielles. À l'ère des smartphones, qui fournissent de nombreux nouveaux vecteurs d'attaques, cela est inestimable. Les TEE sont de plus en plus disponibles, même si leur utilisation peut être complexe. Il est logique de garder un œil sur les développements de produits d'AMD et d'Intel et sur les mises à jour du Confidential Computing Consortium, un projet de la Fondation Linux qui suit la technologie dans cet espace et encourage les initiatives et projets open source à utiliser les TEE.
Votre analyse des risques va probablement révéler de nombreuses choses que votre organisation doit surveiller dans votre migration vers le cloud public, y compris et bien au-delà des domaines des contrôles contractuels, architecturaux et techniques. La migration va être le premier et le plus grand obstacle, mais vous ne devez pas considérer l'analyse des risques comme une tâche terminée; votre approche du risque dans votre environnement va évoluer en permanence en fonction des évolutions contractuelles, architecturales et techniques.
- Mike Bursell est l'architecte en chef de la sécurité chez chapeau rouge.
