Les principales fausses hypothèses en matière de sécurité du cloud qui créent des risques inutiles

Cela fait 15 ans qu'Amazon Web Services a lancé la première plateforme d'infrastructure cloud. D'une simple pression sur un interrupteur, vous pouvez démarrer un centre de données sans avoir à acheter de matériel ou à enterrer des capitaux. Mais au départ, de nombreuses entreprises ont considéré le cloud avec méfiance. Inquiètes de perdre le contrôle, elles ont tenu à gérer leurs propres centres de données. Ils pensaient que le cloud était risqué. Et ça l'était.

Dans ce billet de blog, le premier d'une série de deux, nous allons explorer fausses hypothèses concernant la sécurité du cloud qui rendent le cloud plus risqué qu'il ne devrait l'être.

Le cloud : trop captivant pour être ignoré

Malgré les risques, au fil du temps, la valeur du cloud s'est révélée trop convaincante pour être ignorée. Aujourd'hui, presque toutes les entreprises utilisent le cloud à un degré ou à un autre. Et de nombreuses organisations s'appuient sur le cloud pour héberger leurs opérations critiques, ce qui était impensable il y a dix ans.

Bien que le cloud ait apporté des avantages considérables, ses risques et ses défis demeurent. Mettre en œuvre des mesures complètes, Sécurité Zero Trust dans le cloud est tout aussi important que pour tout autre élément de votre infrastructure numérique.

Le plus gros problème ? Les entreprises ne comprennent souvent pas parfaitement à quoi leur infrastructure cloud les expose cyberattaques et ransomware.

Hypothèse #1 : votre fournisseur de cloud est responsable de la sécurité de vos applications.

Si ce n'est pas votre fournisseur de cloud, qui est responsable de sécurité du cloud?

La vérité, c'est que la sécurité est une responsabilité partagée.

Que vous travailliez avec Amazon, Microsoft, Google ou tout autre fournisseur de cloud, si vous regardez les petits caractères, vous verrez que leur responsabilité en matière de sécurité se limite à la protection de la structure du réseau, c'est-à-dire tout ce qui constitue leur environnement d'hébergement.

La sécurité des applications reste votre responsabilité. Dès que vous déployez une instance d'application avec un système d'exploitation au-dessus du réseau cloud, la protéger est votre travail, pas le leur.

En outre, le support de sécurité du cloud fourni par les fournisseurs utilise un modèle de « meilleur effort », et non des accords de niveau de service (SLA). Cela signifie qu'ils n'ont qu'à promettre de faire de leur mieux pour vous protéger contre les menaces liées au réseau, telles que les attaques par déni de service distribué (DDoS). Mais si l'un d'entre eux s'en sort, eh bien, ils ont fait de leur mieux. Pour ce qui est de la protection de vos charges de travail, c'est toujours votre responsabilité.

De plus, même si les fournisseurs de cloud corrigent des systèmes tels que les serveurs Linux qui hébergent des applications, cela ne corrige pas les vulnérabilités potentielles de vos applications. Sans visibilité au niveau de la couche applicative, vous ne pouvez pas savoir si une application a été correctement déployée ou configurée.

Hypothèse #2 : la sécurité du cloud est facile à gérer.

Les avantages du cloud (rapidité, agilité et élasticité) font que sécurité du cloud plus difficile. En effet, le cloud permet à pratiquement tous les membres de votre organisation de créer une nouvelle application ou ressource en quelques clics de souris.

Rendre les choses encore plus difficiles, peu d'organisations gèrent de manière centralisée services cloud au sein de leurs équipes informatiques et de sécurité. Au lieu de cela, différents groupes et unités commerciales peuvent créer indépendamment de nouveaux comptes cloud.

En d'autres termes, tout utilisateur ou développeur disposant de droits d'accès peut créer des applications dotées de ports ouverts vers Internet, où tout peut communiquer avec n'importe quoi. Et tout cela peut se produire sans même que le service informatique ou la sécurité ne sache que ces applications existent, sans parler de leur sécurisation.

De plus, les grandes entreprises possèdent souvent des centaines de comptes cloud sur AWS, Microsoft Azure, Google Cloud et d'autres plateformes cloud. Chacun de ces comptes peut disposer de nombreux clouds privés virtuels dotés de leurs propres groupes de sécurité.

Tout cela rend de plus en plus difficile la gestion de ces groupes et la compréhension de leur exposition à la sécurité. Il serait utile de disposer d'outils permettant de visualiser le trafic des applications à destination et en provenance des environnements cloud, mais généralement, les fournisseurs de cloud ne les proposent pas.

Le cloud est là pour durer, tout comme ses risques de sécurité

Lorsque les entreprises, grandes et petites, envisagent de transférer leurs charges de travail vers le cloud, elles laissent trop souvent la sécurité de côté. Pourquoi ? Parce que certaines équipes peuvent considérer la sécurité comme un frein qui ralentit l'activité, et non comme un facteur susceptible de l'accélérer.

Cela pose un dilemme difficile aux DSI, aux responsables de la sécurité et aux autres leaders technologiques. Si vous ne pouvez pas soutenir les initiatives et les applications qui stimulent l'activité, vous ne l'aidez pas à se développer. Mais si vous ne gérez pas les risques de sécurité potentiels que présente le cloud, vous exposez l'entreprise à de graves menaces.

Restez à l'affût du prochain article de blog dans lequel je vais déballer d'autres hypothèses relatives à la sécurité du cloud cela peut mettre votre entreprise en danger.

En attendant, découvrez comment Illumio peut vous aider à renforcer la sécurité numérique de votre environnements cloud multicloud et cloud hybride. Ou demandez à l'un de nos experts de vous expliquer comment Illumio peut renforcez vos défenses numériques contre les rançongiciels et les cyberattaques.