![\"Risques](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/202307-cyber-risks-and-cloud-stormshield-300x100.jpg\" "\\"Contributeur")
<\/p>\n<\/p>\n
Gartner pr\u00e9voyait fin 2022 une augmentation de 20% des d\u00e9penses mondiales dans le cloud public pour cette ann\u00e9e 2023. Une croissance qui interroge, lorsque de plus en plus de voix remettent en cause publiquement la philosophie du \u201ctout cloud\u201d. Car, oui, les sujets de gouvernance des donn\u00e9es, de conformit\u00e9 et plus g\u00e9n\u00e9ralement de s\u00e9curit\u00e9 des donn\u00e9es soul\u00e8vent toujours autant d\u2019interrogations face \u00e0 des cyber risques croissants. Des risques entre chim\u00e8re et r\u00e9alit\u00e9\u00a0?<\/strong><\/p>\n Une \u00e9tude de 451 Research<\/a>, dat\u00e9e de fin 2022, avan\u00e7ait m\u00eame le chiffre de 54% des r\u00e9pondants qui auraient retir\u00e9 leurs donn\u00e9es du cloud public dans l\u2019ann\u00e9e \u00e9coul\u00e9e. Mais ces risques sont-ils fond\u00e9s\u00a0? Faut-il envisager de repasser au mod\u00e8le traditionnel de l\u2019on premise<\/em>\u00a0? Une s\u00e9curisation plus efficace du cloud<\/a> peut-elle \u00eatre la cl\u00e9\u00a0? Explications et r\u00e9ponses.<\/p>\n <\/p>\n Qu\u2019il soit question d\u2019infrastructure, de logiciel ou encore de plateforme, le monde du as-a-service<\/em> est devenu incontournable pour de nombreuses entreprises et institutions. Ses avantages sont ind\u00e9niables tels que la flexibilit\u00e9, la scalabilit\u00e9, la haute disponibilit\u00e9, l\u2019accessibilit\u00e9 des donn\u00e9es ou encore le paiement \u00e0 la consommation. Mais lorsqu'il est question de cloud, se m\u00e9langent les notions de cloud public et de cloud priv\u00e9, mais aussi de SaaS (Software-as-a-Service<\/em>), d'IaaS (Infrastructure-as-a-Service<\/em>) et de PaaS (Platform-as-a-Service<\/em>). Autant de clouds diff\u00e9rents en mati\u00e8re d\u2019\u00e9conomie mais aussi de risques.<\/p>\n Malgr\u00e9 ce caract\u00e8re incontournable, les pr\u00e9occupations autour de la s\u00e9curit\u00e9 des donn\u00e9es dans le cloud se font davantage entendre. Une certaine sensation de perte de contr\u00f4le<\/a> associe cloud et fragilit\u00e9 des donn\u00e9es. D\u2019un c\u00f4t\u00e9, certaines inqui\u00e9tudes concernent la confidentialit\u00e9 des donn\u00e9es stock\u00e9es via des plateformes am\u00e9ricaines<\/strong>, suite \u00e0 l\u2019adoption du Cloud Act par les \u00c9tats-Unis en 2018. De l\u2019autre, les risques d\u2019erreurs humaines font peur,\u00a0puisqu\u2019une mauvaise configuration des param\u00e8tres de s\u00e9curit\u00e9<\/a> peut occasionner une fuite massive de donn\u00e9es.<\/p>\n Deuxi\u00e8me crainte r\u00e9pandue\u00a0: les co\u00fbts cach\u00e9s du cloud<\/strong>. Souvent pr\u00e9sent\u00e9 comme une solution moins co\u00fbteuse que les infrastructures informatiques on premise<\/em>, le cloud conna\u00eet une r\u00e9alit\u00e9 plus nuanc\u00e9e. Lors d\u2019un \u00e9v\u00e9nement, le PDG de Computacenter, Mike Norris, avan\u00e7ait une position tranch\u00e9e\u00a0: \u00ab\u00a0le contr\u00f4le des co\u00fbts est <\/em>le plus grand d\u00e9fi<\/em><\/a> (avec le mod\u00e8le) du cloud computing parce que ce n'est pas un logiciel en tant que service, c'est un logiciel en tant qu'otage<\/em> \u00bb. Plusieurs raisons \u00e0 un d\u00e9passement de budget : augmentation du prix du stockage, frais d\u2019exploitation et de suppression des donn\u00e9es plus \u00e9lev\u00e9s ou encore les frais de sortie r\u00e9cemment \u00e9pingl\u00e9s par l'Autorit\u00e9 de la concurrence<\/a> en France\u2026\u200b\u200b En parall\u00e8le, la crise du prix de l\u2019\u00e9nergie ont \u00e9galement permis de (r)ouvrir les yeux sur la consommation \u00e9nerg\u00e9tique d\u2019un datacenter.<\/p>\n Derni\u00e8re crainte derri\u00e8re l\u2019utilisation du cloud\u00a0: la vuln\u00e9rabilit\u00e9 des donn\u00e9es qui y sont stock\u00e9es, cibles de choix pour les cyber-criminels<\/strong>. Car pour atteindre ces donn\u00e9es, les cyber-criminels peuvent attaquer diff\u00e9rents \u00e9l\u00e9ments du cloud, que ce soient les services informatiques, les services de stockage ou encore les applications. En 2021, une \u00e9tude<\/a> annon\u00e7ait par exemple que 90% des buckets S3 de la plateforme Amazon Web Services \u00e9taient vuln\u00e9rables aux ransomwares. La m\u00eame ann\u00e9e, Cognite, Facebook ou encore Kaseya \u00e9taient toutes victimes de cyberattaques sur des bases de donn\u00e9es cloud. En d\u00e9cembre 2022, Rackspace Technology, l\u2019un des plus grands fournisseurs d\u2019h\u00e9bergement cloud aux USA, subissait \u00e9galement une cyberattaque<\/a> entra\u00eenant des pannes de son service h\u00e9berg\u00e9 Microsoft Exchange. Ces quelques exemples d\u2019attaques (parmi tant d\u2019autres) participent au sentiment d\u2019ins\u00e9curit\u00e9 que les entreprises ont vis-\u00e0-vis du cloud. Car m\u00eame des solutions de cybers\u00e9curit\u00e9 se font attaquer dans le cloud \u2013 les moteurs de recherche regorgent par exemple d\u2019articles sur les attaques contre l\u2019entreprise LastPass et ses services de stockage s\u00e9curis\u00e9 de mots de passe. Car m\u00eame si la cybers\u00e9curit\u00e9 n\u2019est pas un frein pour l\u2019adoption du cloud, elle reste une pr\u00e9occupation majeure pour 95% des entreprises, selon l\u2019\u00e9tude<\/a> d\u2019un autre \u00e9diteur.<\/p>\n Et la situation est m\u00eame encore plus complexe, car en plus de les attaquer, les cyber-criminels utilisent les environnements clouds pour certaines de leurs attaques. En effet, les malwares sont de plus en plus diffus\u00e9s via des services clouds\u00a0: dans sa derni\u00e8re \u00e9tude<\/a> Cloud and Threat Report<\/em>, l\u2019\u00e9diteur Netskope relevait que les applications cloud diffusant des malwares auraient\u2026 tripl\u00e9 en 2022.<\/strong><\/p>\n <\/p>\n La remise en question du cloud se pose depuis plusieurs ann\u00e9es. Une action publique pour certaines entreprises\u00a0: parmi elles, France T\u00e9l\u00e9visions Publicit\u00e9<\/a> a rebascul\u00e9 ses sauvegardes cloud sur des infrastructures on-premise<\/em> d\u00e8s 2020. Plus r\u00e9cemment, d\u00e9but 2023, 37signals<\/a>, \u00e9diteur des plateformes collaboratives Hey et Basecamp, a annonc\u00e9 une \u00e9conomie de 7 millions de dollars en se retirant du cloud d\u2019Amazon.<\/p>\n Mais sortir du cloud n'est pas une d\u00e9cision qui se prend \u00e0 la l\u00e9g\u00e8re et implique d\u2019effectuer pr\u00e9alablement une \u00e9tude d'impact.<\/strong> Car les questions \u00e0 se poser et les ressources n\u00e9cessaires sont toutes les deux \u00e0 anticiper. Migration de l\u2019infrastructure, migration des donn\u00e9es et des utilisateurs, adaptation des r\u00e8gles de s\u00e9curit\u00e9, accompagnement aux changements\u2026 autant de probl\u00e9matiques qui peuvent bloquer les entreprises dans leur souhait de partir du cloud. En externalisant les ressources au travers du cloud computing<\/em>, les entreprises se sont coup\u00e9es des comp\u00e9tences humaines et mat\u00e9rielles que l\u2019on-premise<\/em> requiert. Un investissement autant sur le plan mat\u00e9riel qu\u2019humain serait donc \u00e0 pr\u00e9voir.<\/strong> Pour autant, sortir du cloud ne signifie pas n\u00e9cessairement un retour exclusif aux infrastructures on-premise<\/em>. Des solutions interm\u00e9diaires existent avec la location d\u2019espaces (housing<\/em> de baie ou d\u2019une salle enti\u00e8re) dans des datacenters priv\u00e9s ou via la souscription \u00e0 un contrat d\u2019infog\u00e9rance aupr\u00e8s d\u2019un prestataire. Ces deux solutions permettent \u00e0 l\u2019entreprise de s\u2019appuyer sur des infrastructures existantes (peering<\/em>, s\u00e9curit\u00e9 des locaux, infrastructure \u00e9lectrique, climatisation) et de certifications de redondance (Tier I - II - III - IV) dans le but d\u2019\u00e9viter des investissements colossaux.<\/p>\n <\/p>\n Reste une autre optique\u00a0: conjuguer cloud et cybers\u00e9curit\u00e9.<\/strong> Une approche d\u2019autant plus importante que la s\u00e9curit\u00e9 du cloud est souvent en r\u00e9alit\u00e9 la s\u00e9curit\u00e9 des clouds<\/a>. Les briques de s\u00e9curit\u00e9 propres aux diff\u00e9rentes market places<\/em> doivent ainsi \u00eatre renforc\u00e9es ou remplac\u00e9es par les capacit\u00e9s des pure-players de cybers\u00e9curit\u00e9 (segmentation interne, filtrage entre les diff\u00e9rentes ressources, syst\u00e8mes de d\u00e9tection d\u2019intrusion, outils de gestion des identit\u00e9s et des acc\u00e8s, liens VPN de confiance\u2026). Dans cette optique d'un multi-cloud, le choix d\u2019une marque de firewall pure-player \u00e0 d\u00e9ployer dans chaque cloud prend tout son sens en mati\u00e8re d'expertise, de visibilit\u00e9 et de gestion, en comparaison \u00e0 l'administration des diff\u00e9rentes configurations de chacun des firewalls natifs de chaque cloud.<\/p>\n Et comment faire son choix dans les diff\u00e9rentes plateformes cloud\u00a0? Autrement dit\u00a0: comment faire appel \u00e0 un cloud s\u00e9curis\u00e9\u00a0?<\/strong> Pour tenter de r\u00e9pondre \u00e0 cette question, le r\u00e9f\u00e9rentiel fran\u00e7ais SecNumCloud<\/a> permet la qualification de prestataires de services cloud. \u00ab\u00a0Afin de favoriser un environnement num\u00e9rique protecteur et en phase avec les \u00e9volutions technologiques, y compris pour les donn\u00e9es et les applications les plus critiques, l\u2019identification des services cloud de confiance est indispensable<\/em>\u00a0\u00bb, pr\u00e9cisait \u00e0 l'\u00e9poque Guillaume Poupard<\/strong>, ex-directeur g\u00e9n\u00e9ral de l\u2019ANSSI. Un label qui vient attester de la confiance de l\u2019\u00c9tat fran\u00e7ais, en r\u00e9pondant \u00e0 des exigences cyber fortes \u00e9tablies par l\u2019ANSSI. Conformit\u00e9 au plus haut niveau de s\u00e9curit\u00e9 pour la protection des donn\u00e9es, convention de service pr\u00e9cise ou encore localisation des donn\u00e9es garantie\u00a0: les clouds qualifi\u00e9s sont ainsi plus protecteurs face aux lois extra-europ\u00e9ennes.<\/p>\n Mais tout ceci ne doit pas faire oublier l\u2019importance de s\u00e9curiser ses \u00e9changes dans le cloud<\/strong>. Car les cyber-criminels tenteront surtout d\u2019exploiter une faille sur une instance client pour tenter ensuite de p\u00e9n\u00e9trer le syst\u00e8me global, plut\u00f4t que de s\u2019y attaquer de front. \u00c0 l'heure o\u00f9 les outils collaboratifs dans le cloud (type Google Workspace et Microsoft 365) prennent de plus en plus de place dans les organisations, l\u2019information est donc expos\u00e9e aux risques d'interception, de fuite et de vol de donn\u00e9es. Chiffrer ses fichiers permet ainsi d\u2019\u00e9changer ses donn\u00e9es sensibles de mani\u00e8re s\u00e9curis\u00e9e\u00a0: les donn\u00e9es sensibles sont chiffr\u00e9es et d\u00e9chiffr\u00e9es automatiquement pour les personnes autoris\u00e9es. Mais pour \u00eatre efficace, l\u2019action de s\u00e9curiser les donn\u00e9es sensibles doit se conjuguer avec la simplicit\u00e9 d'usage<\/a> apport\u00e9e par les plateformes. Encore un autre sujet\u2026<\/p>\n <\/p>\nLes dangers du cloud<\/h2>\n
Faut-il sortir du cloud\u00a0?<\/h2>\n
Conjuguer cloud et cybers\u00e9curit\u00e9<\/h2>\n