Des approches tournées vers l’avenir pour la sécurité dans le cloud

Le changement de paradigme vers le cloud computing a donné naissance à de nouveaux concepts qui prennent en compte le changement d’infrastructure et les besoins de sécurité des entreprises au niveau technique et au niveau des processus, en s’éloignant de la simple protection de périmètre. Ou, comme le résume Raffael Peluso: «dans les environnements multicloud, les processus se concentrent sur les interfaces de la collaboration entre différents domaines.» Voici les principales approches:

• DevSecOps (Development, Security, Operations) associe le développement et la maintenance agiles d’applications à des mesures de sécurité et à l’exploitation. Cela signifie que la sécurité est intégrée à chaque étape du cycle de vie du logiciel et que les tests correspondants sont automatisés dans le pipeline CI/CD. La vérification comprend le code d’application et l’IaC (Infrastructure as Code, configuration automatisée des ressources). Ce processus, également appelé shift left, garantit le respect des consignes de sécurité, même lors de cycles courts de développement et de déploiement. De plus, DevSecOps aide à améliorer la sensibilisation à la sécurité chez les professionnels de l’informatique, car la sécurité informatique fait partie intégrante de chaque étape du processus.
• Cloud Workload Protection (CWP) protège les VM et les containers pendant leur fonctionnement. CWP comprend à la fois la protection contre les cyberattaques et la surveillance visant à détecter d’éventuelles failles de sécurité, assurant ainsi une transparence globale dans le cloud sur l’état de sécurité des charges de travail.
• Cloud Security Posture Management (CSPM) correspond en quelque sorte au niveau de conformité de CWP. Tandis que CWP assure la protection technique, CSPM vérifie les charges de travail pour détecter les erreurs de configuration et s’assurer que les consignes de sécurité (policies) sont respectées. Cela permet de veiller de manière centralisée au respect des directives de conformité.
• Cloud Infrastructure Entitlement Management (CIEM) se charge de la gestion centralisée et uniforme des identités et des autorisations dans les environnements hybrides et multicloud. CIEM simplifie ainsi la gestion complexe de l’Identity et Access Management (IAM) à travers les différents outils des opérateurs de cloud.

Pour les solutions qui combinent de telles fonctionnalités de sécurité, la société d’études de marché Gartner a inventé le terme Cloud Native Application Protection Platform (CNAPP). CNAPP associe des mesures de sécurité traditionnelles, telles que l’analyse des logiciels malveillants et l’analyse des vulnérabilités, à des méthodes qui répondent aux exigences de sécurité spécifiques dans tous les environnements cloud. Les approches mentionnées ci-dessus, telles que DevSecOps, CWP ou CSPM, en font partie.

CNAPP offre ainsi aux entreprises une plateforme leur permettant de mettre en œuvre de manière centralisée des mesures techniques et organisationnelles pour s’assurer du respect des directives de conformité. Cela permet d’obtenir la transparence et la visibilité nécessaires pour exploiter les environnements hybrides et multicloud de manière sécurisée au-delà des frontières des fournisseurs. Puisque les solutions CNAPP sont de toute façon basées sur le cloud, elles sont généralement achetées auprès d’un fournisseur ou d’un MSSP sous forme de service.

En tant que plateforme centrale, CNAPP présente un avantage majeur: tous les groupes d’utilisateurs bénéficient d’une vue d’ensemble uniforme, sont tous au même niveau et à jour. Cela permet par exemple à l’équipe de l’infrastructure cloud ou de DevOps de réagir immédiatement aux erreurs de configuration. Et en cas d’événements de sécurité, le Security Operations Center (SOC) est alerté et prend les mesures appropriées pour réagir à un éventuel incident.

Pour mieux identifier les faiblesses et les erreurs de configuration, les solutions CNAPP misent de plus en plus sur l’apprentissage automatique et d’autres formes d’intelligence artificielle. En raison du dynamisme du marché des solutions basées sur l’IA (générative), les entreprises doivent suivre l’évolution. Et vérifier, avant de prendre une décision, si la fonctionnalité IA proposée répond effectivement à leurs besoins spécifiques.

Quelles mesures de sécurité sont mises en œuvre dans les environnements hybrides et multicloud et comment en déduire quelles sont les bonnes pratiques à adopter en matière de sécurité dans le cloud? En principe, ces bonnes pratiques s’appliquent indépendamment de la complexité du paysage du cloud. Les mesures techniques telles que le cryptage, la classification des données, l’authentification multifactorielle sont de toute façon obligatoires en tant que protection de base. En plus de la protection de base, CNAPP propose des mesures de protection techniques et organisationnelles supplémentaires, qui sont nécessaires dans les environnements cloud complexes. «DevSecOps est décisif pour assurer la sécurité de bout en bout», explique Raffael Peluso. «À cela s’ajoute une formation de sensibilisation à la sécurité qui s’adresse également les spécialistes de l’informatique.»

Ces mesures contribuent à obtenir une vue d’ensemble du paysage informatique de l’entreprise. Pendant son fonctionnement, la surveillance continue permet d’affiner cette vision, par exemple avec Cloud Workload Protection. À cela s’ajoute l’analyse des mesures mises en place, explique Raffael Peluso: «grâce à une surveillance continue et à des audits réguliers, les entreprises identifient les écarts et améliorent la transparence dans l’environnement cloud.» Ainsi, les entreprises ne considèrent pas les différentes structures nuageuses uniquement comme un défi. Elles en tirent aussi les bénéfices souhaités.

Découvrez le premier article sur les défis de la sécurité des données dans les environnements hybrides et multi-cloud auxquels les RSSI doivent faire face. Téléchargez les deux articles maintenant.