Principales fausses hypothèses en matière de sécurité de l'informatique dématérialisée qui créent des risques inutiles

Cela fait 15 ans qu'Amazon Web Services a lancé la première plateforme d'infrastructure en nuage. Il suffit d'appuyer sur un interrupteur pour mettre en service un centre de données sans avoir à acheter de matériel ni à engager de capitaux. Mais au départ, de nombreuses entreprises ont regardé le nuage avec méfiance. Craignant de perdre le contrôle, ils se sont accrochés à la gestion de leurs propres centres de données. Ils pensaient que l'informatique dématérialisée était risquée. Et c'est ce qui s'est passé.

Dans ce billet, le premier d'une série de deux, nous allons explorer les fausses hypothèses sur la sécurité du cloud qui rendent le cloud plus risqué qu'il ne devrait l'être.

L'informatique dématérialisée : trop convaincante pour être ignorée

Malgré les risques, la valeur de l'informatique dématérialisée s'est avérée, au fil du temps, trop convaincante pour être ignorée. Aujourd'hui, presque toutes les entreprises utilisent l'informatique dématérialisée à un degré ou à un autre. Et de nombreuses organisations s'appuient sur l'informatique dématérialisée pour héberger des opérations critiques, ce qui était impensable il y a une dizaine d'années.

Si l'informatique dématérialisée a apporté des avantages considérables, les risques et les défis qu'elle comporte demeurent. La mise en œuvred'une sécurité complète et sans confiance dans l'informatique dématérialisée est tout aussi importante que pour n'importe quelle autre partie de votre infrastructure numérique.

Le plus gros problème ? Souvent, les entreprises ne comprennent pas bien comment leur infrastructure en nuage les expose aux cyberattaques et aux ransomwares.

Hypothèse n° 1 : votre fournisseur de services en nuage est responsable de la sécurité de vos applications.

Si ce n'est pas votre fournisseur d'informatique dématérialisée, qui est responsable de la sécurité de l'informatique dématérialisée?

En réalité, la sécurité est une responsabilité partagée.

Que vous travailliez avec Amazon, Microsoft, Google ou tout autre fournisseur de services en ligne, si vous lisez les petits caractères, vous verrez que leur responsabilité en matière de sécurité se limite à la protection de la structure du réseau, c'est-à-dire de tout ce qui compose leur environnement d'hébergement.

La sécurité des applications relève toujours de votre responsabilité. Dès que vous déployez une instance d'application avec un système d'exploitation sur le réseau en nuage, c'est à vous de la protéger, pas à eux.

En outre, l'assistance des fournisseurs en matière de sécurité de l'informatique dématérialisée repose sur un modèle "best effort" et non sur des accords de niveau de service (SLA). Cela signifie qu'ils n'ont qu'à promettre de faire de leur mieux pour vous protéger contre les menaces d'origine réseau telles que les attaques par déni de service distribué (DDoS). Mais si l'un d'entre eux réussit à passer, c'est qu'il a fait de son mieux. Quant à la protection de vos charges de travail, elle vous incombe toujours.

Par ailleurs, même si les fournisseurs de services en nuage corrigent les systèmes tels que les serveurs Linux qui hébergent les applications, cela ne résout pas les vulnérabilités potentielles de vos applications. Sans visibilité au niveau de la couche applicative, vous ne pouvez pas savoir si une application a été déployée ou configurée correctement.

Hypothèse n° 2 : la sécurité de l'informatique dématérialisée est facile à gérer.

Les avantages de l'informatique dématérialisée - rapidité, souplesse et élasticité - rendent en fait la sécurité de l'informatique dématérialisée plus difficile. En effet, l'informatique dématérialisée permet à n'importe quel membre de votre organisation de créer une nouvelle application ou une nouvelle ressource en quelques clics de souris.

Pour compliquer encore les choses, peu d'organisations centralisent la gestion des services en nuage au sein de leurs équipes informatiques et de sécurité. Au lieu de cela, les différentes unités et groupes de l'entreprise peuvent créer indépendamment de nouveaux comptes dans le nuage.

En d'autres termes, tout utilisateur ou développeur disposant de droits d'accès peut créer des applications dotées de ports ouverts vers l'internet, où n'importe quoi peut communiquer avec n'importe quoi. Et tout cela peut se produire sans que les services informatiques ou de sécurité ne soient au courant de l'existence de ces applications, et encore moins qu'ils ne les sécurisent.

En outre, les grandes entreprises possèdent souvent des centaines de comptes cloud sur AWS, Microsoft Azure, Google Cloud et d'autres plateformes cloud. Chacun de ces comptes peut avoir plusieurs nuages privés virtuels avec leurs propres groupes de sécurité.

Tout cela rend la gestion de ces groupes et la compréhension de leur exposition à la sécurité de plus en plus difficiles. Il serait utile de disposer d'outils permettant de visualiser le trafic des applications à destination et en provenance des environnements en nuage, mais en général, les fournisseurs de nuages ne les proposent pas.

L'informatique dématérialisée est là pour durer, et les risques qu'elle présente pour la sécurité aussi.

Lorsque les entreprises, grandes et petites, envisagent de transférer leurs charges de travail dans le nuage, elles négligent trop souvent la question de la sécurité. Pourquoi ? En effet, certaines équipes peuvent considérer la sécurité comme un obstacle qui ralentit l'activité, et non comme un catalyseur qui peut l'accélérer.

Cette situation crée un dilemme difficile pour les DSI, les responsables de la sécurité et les autres responsables technologiques. Si vous ne pouvez pas soutenir les initiatives et les applications qui stimulent l'activité, vous ne contribuez pas à la croissance de l'entreprise. Mais si vous ne gérez pas les risques de sécurité potentiels que présente l'informatique dématérialisée, vous exposez votre entreprise à de graves menaces.

Restez à l'écoute pour le prochain article de blog dans lequel j'analyserai d'autres hypothèses sur la sécurité du cloud qui peuvent mettre votre entreprise en danger.

En attendant, découvrez comment Illumio peut vous aider à renforcer la sécurité numérique de vos environnements multi-cloud et cloud hybride. Ou demandez à l'un de nos experts de vous expliquer comment Illumio peut renforcer vos défenses numériques contre les ransomwares et les cyberattaques.