Configurations défaillantes, accès non autorisés, données sensibles accessibles… L’explosion de l’Infrastructure-as-a-Service (ou services d’infrastructure cloud), augmente considérablement le risque cyber au sein des entreprises. Comment s’en prémunir ?
Conseil 1 : Les responsabilités doivent être délimitées
En mode IaaS, le provider est responsable de la sécurité du cloud. L’entreprise, quant à elle, est responsable de la sécurité dans le cloud. Le premier sécurise les « couches basses », le client protège les données et charges de travail.
En clair, le fournisseur garantit la sécurité « physique » de l’installation, quand le client doit s’assurer de la sécurité virtuelle des données.
En cas de mauvaise configuration des serveurs virtuels, le provider sera exempt de tout reproche. Il émet bien sûr des recommandations, mais le client reste libre de sa politique de sécurité. C’est lui qui doit correctement paramétrer son firewall.
Conseil 2 : Les accès doivent être limités au strict minimum
L’entreprise doit absolument surveiller qui consulte les données, et qui les édite, et ne surtout pas multiplier les accès admin.
Il est possible d’utiliser un outil de gestion des identités et des accès (IAM) pour calibrer ceux-ci selon les rôles, la géolocalisation ou le type de terminal utilisé. Le collaborateur ne consulte alors que les ressources qui le concernent.
L’authentification MFA est devenu quasiment incontournable pour sécuriser les accès. Nous vous en avions parlé dans cet article concernant notre partenaire InWebo.
Conseil 3 : Le chiffrement doit être assuré de A à Z
C’est un élément essentiel en matière de cybersécurité. C’est la méthode la plus facile et la plus efficace pour garantir que les données du SI ne seront ni volées ni lisibles par le hacker. Le cryptage s’effectue de la création de l’information à sa transmission, jusqu’à son stockage.
Par ailleurs, il représente un grand avantage par son aspect peu coûteux, voire gratuit. De plus, des accélérateurs de chiffrement sont maintenant disponibles sur les dernières générations de serveurs. La diminution des performances, grand problème des générations précédentes, n’est donc plus d’actualité.
Selon les fournisseurs (AWS, Microsoft Azure…), des services de chiffrement complémentaires peuvent être fournis. Par exemple, le BYOK (Bring your own key) donne aux entreprises la liberté de gérer elle-même le chiffrement des informations conservées dans le cloud.
Notre partenaire Prim’X est expert en la matière :
Conseil 4 : La détection des menaces doit être renforcée
L’ensemble des fournisseurs de cloud proposent désormais des outils pour détecter de manière automatique les menaces. GuardDuty pour AWS ou encore Advanced Threat Protection chez Microsoft Azure.
L’IA a permis l’apparition de nouvelles méthodes qui rendent l’authentification plus précise qu’auparavant. Elle se base sur nos habitudes de connexion comme l’heure ou la géolocalisation pour identifier une tentative suspecte.
Conseil 5 : Les équipes IT doivent être formées davantage aux bonnes pratiques
C’est un point essentiel et parfois sous-estimé par les entreprises. C’est souvent l’erreur d’un collaborateur qui est à l’origine des intrusions. Il faut donc sensibiliser les équipes aux risques et aux enjeux en matière de cybersécurité.
Et insister particulièrement sur les questions liées aux technologies cloud, surtout pour les développeurs. Ces derniers doivent manipuler des éléments liés aux infrastructures. Cela, sans même détenir les connaissances cyber de leurs collègues en production IT.
Ils disposent déjà des connaissances de sécurité au sens large du terme, le but, c’est de transposer ce savoir à l’environnement cloud.
Synexie protège votre cloud
Doté de nombreuses casquettes, Synexie intervient sur l’ensemble du processus de défense cyber. La protection par authentification ou encore le chiffrement des données sont des compétences pour lesquelles Synexie brille à l’échelle nationale.
Prestataire référencé du catalogue SCS, nous vous avions détaillé dans l’article à ce propos les moyens que nous mettons en œuvre pour protéger vos données. Si d’aventure, vous aviez besoin de plus amples informations sur nos services et souhaitiez renforcer la cybersécurité de votre entreprise, n’hésitez pas à nous contacter. Nous nous ferons une joie d’échanger sur vos besoins.
