La cybersécurité de votre fournisseur de services d'informatique dématérialisée est-elle suffisante ?

L'année dernière, 47% de toutes les atteintes à la sécurité se sont produites dans l'informatique dématérialisée, selon l'Illumio Cloud Security Index 2023. Pourquoi autant ? Probablement parce que les entreprises se fient uniquement à la sécurité de leur fournisseur de services en nuage, alors que les attaquants sont implacables et de plus en plus sophistiqués.

Alors que de plus en plus d'entreprises passent à l'informatique dématérialisée, il est important qu'elles sachent que les services de sécurité de leur fournisseur d'informatique dématérialisée ne sont peut-être pas suffisants. Les fournisseurs d'informatique en nuage sécuriseront le stockage, le calcul, le réseau et l'infrastructure physique. Mais la sécurité de l'informatique dématérialisée a toujours besoin d'un soutien. Il est essentiel d'améliorer la visibilité et le contrôle pour mieux se protéger contre les attaques et assurer la sécurité de vos applications et de vos données.  

Ignorer la sécurité de l'informatique dématérialisée peut vous exposer à des risques d'attaques, de pertes de données et de non-conformité.  

Découvrez pourquoi vous ne pouvez pas compter uniquement sur la sécurité de votre fournisseur de cloud pour protéger votre cloud contre les cyberattaques.

Qu'est-ce que le modèle de responsabilité partagée dans l'informatique dématérialisée ?

Les fournisseurs de services en nuage comme Amazon Web Services (AWS), Microsoft Azure et Google Cloud Platform (GCP) font souvent la promotion de leur sécurité dans le cadre d'un modèle de responsabilité partagée. Ce modèle explique comment les tâches de sécurité sont partagées entre le fournisseur de services en nuage et le client :

• Le fournisseur sécurise l'infrastructure en nuage, y compris les centres de données physiques, le matériel et les logiciels de base.

• Le client sécurise les données et les applications qu'il stocke dans le nuage. Ils sont également responsables de la manière dont ils configurent les paramètres du nuage.

Bien que ce modèle répartisse clairement les tâches, il peut créer un faux sentiment de sécurité. En fait, de nombreux experts en sécurité qualifient ce modèle de "poignée de main inégale". Il est facile de penser que la sécurité de l'infrastructure du fournisseur de services en nuage est suffisante pour protéger tous les actifs de votre organisation dans le nuage.

Mais le fait de se fier uniquement à la sécurité intégrée de l'informatique dématérialisée peut laisser de grandes lacunes et des angles morts. Les équipes de sécurité doivent être conscientes de ces risques et les traiter avec leurs propres solutions de sécurité pour l'informatique en nuage.

Les 5 plus grandes failles de sécurité dans l'informatique dématérialisée

Aujourd'hui, les fournisseurs de services en nuage intègrent à leurs solutions une puissante sécurité de l'infrastructure. Cela permet d'éviter les brèches et les attaques de ransomware, mais cela ne suffit pas à réduire entièrement les risques liés à la sécurité du cloud. Les attaquants peuvent toujours exploiter les lacunes laissées par une sécurité qui se concentre uniquement sur l'infrastructure en nuage.  

Voici cinq des failles de sécurité les plus courantes dans l'informatique dématérialisée :

• ‍Applicationsecurity : Les fournisseurs de services en nuage veillent à ce que l'infrastructure soit sécurisée, mais les clients doivent s'occuper de la sécurité de leurs applications. L'informatique dématérialisée étant en constante évolution, il est difficile de suivre les interactions entre les applications, les utilisateurs et les ressources. Sans ces connaissances, il est pratiquement impossible de protéger pleinement les applications. Cela peut les exposer à des attaques telles que les ransomwares, les injections SQL, les scripts intersites (XSS) et les dénis de service (DoS). ‍
• Sécurité des données : Les fournisseurs d'informatique en nuage chiffrent les données au repos, mais les clients doivent sécuriser les données au repos et en transit. Si la sécurité n'est pas cohérente entre les différents environnements en nuage, il peut y avoir des lacunes. Il est important d'utiliser des solutions de sécurité qui peuvent protéger les données dans le nuage, les terminaux et les centres de données sur une plateforme unique. ‍
• Mauvaise configuration des paramètres de l'informatique en nuage : L'un des principaux problèmes liés à la sécurité du cloud est la mauvaise configuration des paramètres. Il est essentiel de configurer correctement le nuage, en utilisant des paramètres par défaut sécurisés, en effectuant des vérifications régulières et en suivant les meilleures pratiques. Des outils tels que AWS Config, Azure Policy et Google Cloud's Config Validator peuvent vous aider à contrôler et à appliquer ces paramètres. Mais c'est au client qu'il incombe d'utiliser et de gérer correctement ces outils. ‍
• Manque de visibilité : Comme le nuage change très souvent, il est difficile de voir tout ce qui se passe dans l'ensemble du nuage hybride. En raison du manque de visibilité, il est difficile pour les équipes de sécurité de savoir ce qui se passe dans leurs nuages. Les fournisseurs d'informatique en nuage peuvent montrer ce qui se passe sur leur plateforme, mais ils ne peuvent pas tout montrer sur l'ensemble du réseau. Cela laisse des angles morts dans la surveillance du trafic. ‍
• Questions de conformité : Différents secteurs et régions ont des réglementations spécifiques en matière de cybersécurité, comme GDPR, HIPAA, ou des normes de sécurité telles que PCI-DSS. Les fournisseurs d'informatique en nuage disposent de certifications de conformité, mais les organisations doivent s'assurer qu'elles respectent ces règles lorsqu'elles utilisent l'informatique en nuage. Cela signifie qu'il faut gérer l'endroit où les données sont stockées, effectuer des contrôles réguliers et tenir des registres détaillés.

Les approches de la sécurité de l'informatique dématérialisée qui ne fonctionnent pas

De nombreuses équipes de sécurité savent déjà qu'elles ont besoin de couches de sécurité supplémentaires par rapport à ce que les fournisseurs de services en nuage peuvent offrir. Cependant, compte tenu de l'abondance d'informations erronées sur la sécurité dans les nuages, de nombreuses équipes optent pour des approches qui continuent de laisser des failles.

Ne prenez pas de raccourcis lorsqu'il s'agit de mettre en place la sécurité de l'informatique en nuage. Assurez-vous de connaître ces approches courantes de la sécurité des nuages qui ne suffisent pas à sécuriser complètement votre nuage.

Sécurité traditionnelle sur site

Lorsque vous déplacez des actifs des centres de données sur site vers l'informatique dématérialisée, vous ne pouvez pas vous attendre à ce que la cybersécurité traditionnelle suive. Les outils de sécurité qui fonctionnent bien sur site auront du mal à s'adapter à l'informatique dématérialisée.

En effet, les pratiques de sécurité traditionnelles reposent sur le concept de périmètre de réseau. Si le périmètre du réseau est clair, des pare-feu, des systèmes de détection d'intrusion et d'autres mesures de sécurité peuvent le protéger.  

Mais l'informatique dématérialisée est conçue pour être flexible et élastique, ce qui permet d'augmenter ou de diminuer les ressources en fonction des besoins. Les équipes peuvent également désormais créer et exécuter des applications natives du cloud avec des fournisseurs tiers qui gèrent les serveurs et leur sécurité. Auparavant, cela ne se produisait que sur des serveurs physiques dans des centres de données sur site, où tout était géré sur place.

Ces différences essentielles rendent le périmètre du réseau fixe traditionnel beaucoup plus fluide, le rendant souvent flou ou l'effaçant complètement. Sans ce périmètre défini, la sécurité traditionnelle sur site laissera des failles dans la protection.

Outils de gestion de la vulnérabilité

Pour combler les lacunes créées par les solutions de sécurité traditionnelles sur site, de nombreuses organisations ont eu recours à des approches de gestion des vulnérabilités. Ces outils analysent

afin de détecter les vulnérabilités connues des systèmes et des applications et d'appliquer les correctifs.  

Mais ces outils posent d'importants problèmes :

• Ils peuvent passer à côté de vulnérabilités inconnues ou ne pas réussir à suivre les applications ou les charges de travail qui évoluent rapidement.

• S'ils savent analyser les hôtes et les systèmes, ils n'ont pas suffisamment de visibilité sur les flux de trafic complexes dans les environnements en nuage. Il leur est donc difficile de repérer les anomalies et les vulnérabilités potentielles.

• Ils n'offrent pas une sécurité totale car ils se concentrent sur l'identification des problèmes plutôt que sur leur résolution complète.

Plates-formes de sécurité natives de l'informatique en nuage

Les plateformes "cloud-native" telles que CNAPP, CSPM, CWPP et CIEM offrent une sécurité spécifiquement adaptée à l'informatique dématérialisée. Mais ils peuvent manquer de granularité, d'adaptabilité en temps réel et de visibilité complète, ce qui est nécessaire pour sécuriser pleinement les environnements en nuage. Ces outils doivent être associés à des solutions de sécurité qui étendent la visibilité et les contrôles de sécurité à l'ensemble du réseau afin de contenir les attaques.  

Lisez notre guide pour en savoir plus sur les défis liés à la sécurité du cloud.

Segmentation zéro confiance : Sécurité cohérente dans les environnements hybrides multi-cloud

La clé de la sécurité des nuages est la cohérence. De nombreuses approches de la sécurité dans le nuage échouent parce qu'elles créent des lacunes isolées en matière de sécurité et de visibilité. Il est essentiel de voir les flux de trafic de votre réseau en temps réel et d'appliquer une sécurité détaillée et flexible dans tous les environnements et sur toutes les plateformes en nuage.

La meilleure façon d'y parvenir est d'adopter une stratégie de sécurité "zéro confiance", ce qui signifie "ne jamais faire confiance, toujours vérifier." La segmentation zéro confiance (ZTS) est un élément essentiel de la confiance zéro ; vous ne pouvez pas atteindre la confiance zéro sans elle.

Contrairement aux outils de sécurité traditionnels qui ne font que détecter les attaques ou identifier les vulnérabilités potentielles, ZTS offre une approche cohérente de la microsegmentation dans la surface d'attaque hybride et multicloud. Cela vous permet de comprendre les risques, de mettre en place des contrôles de sécurité proactifs et d'arrêter la propagation des ransomwares et des brèches dans vos environnements cloud, endpoint et centre de données.

Créez une sécurité robuste et de bout en bout avec Illumio CloudSecure

Illumio CloudSecure étend la segmentation zéro confiance à l'informatique dématérialisée :

• Visibilité de bout en bout du nuage : Visualisez les flux de trafic, les ressources et les métadonnées du nuage.

• Préparez-vous de manière proactive aux attaques de l'informatique en nuage : Créez et testez des contrôles de sécurité à l'aide d'étiquettes de charge de travail et d'adresses IP. Créer une communication de confiance entre les applications.

• Contenez les attaques dans le nuage : Empêchez les attaquants de se propager sur le réseau en adaptant les politiques de segmentation en temps réel, même dans les environnements en nuage en constante évolution.

Testez Illumio CloudSecure. Commencez dès maintenant votre essai gratuit de 30 jours.