Stratégies essentielles de sécurité cloud pour minimiser risques, menaces et vulnérabilités

Supposez-vous que vos données dans le cloud sont sauvegardées et à l'abri des menaces ? Pas si vite.

Avec un nombre record d'attaques de cybersécurité survenues en 2018, il est clair que toutes les données sont menacées.

Tout le monde pense toujours « Cela ne m'arrivera pas. » La réalité est qu'aucun réseau n'est 100 % à l'abri des pirates.

Selon Kaspersky Lab, les rançongiciels ont augmenté de plus de 250 % en 2018 et continuent de suivre une direction très inquiétante. Suivre les conseils présentés ici est la police d'assurance ultime contre les effets paralysants d'une perte de données significative dans le cloud.

Comment commencer à sécuriser vos données dans le cloud ? Quelles sont les meilleures pratiques pour garder vos données protégées dans le cloud ? Quelle est la sécurité de l'informatique en nuage ?

Pour vous aider à démarrer votre stratégie de sécurité, nous avons invité des experts à partager leurs conseils sur les Risques et Menaces de Sécurité Cloud.

Points clés de nos experts sur la protection Cloud et les menaces de sécurité

• Acceptez qu'il ne soit peut-être qu'une question de temps avant que quelqu'un ne viole vos défenses, planifiez pour cela.
• Ne supposez pas que vos données dans le cloud sont sauvegardées.
• Activez l'authentification à deux facteurs et la localisation IP pour accéder aux applications cloud.
• Exploitez le chiffrement. Chiffrez les données au repos.
• L'élément humain est parmi les plus grandes menaces pour votre sécurité.
• Implémentez un processus robuste de contrôle des changements, avec un cycle de gestion des correctifs hebdomadaire.
• Maintenez des copies hors ligne de vos données au cas où vos données cloud seraient détruites ou retenues en otage.
• Contractez avec un service de surveillance de sécurité 24×7.
• Ayez un plan de réponse aux incidents de sécurité.
• Utilisez une technologie de pare-feu avancée incluant les WAF (Web Application Firewalls).
• Profitez des services d'applications, de la stratification et de la micro-segmentation.

1. Maintenir la disponibilité dans le cloud

Dustin Albertson, Architecte Senior Solutions Cloud chez Veeam

Quand la plupart des gens pensent au sujet de la sécurité basée sur le cloud, ils ont tendance à penser au Réseau, Pare-feu, Sécurité des terminaux, etc. Amazon définit la sécurité cloud comme :

La sécurité dans le cloud ressemble beaucoup à la sécurité dans vos centres de données sur site — seulement sans les coûts de maintenance des installations et du matériel. Dans le cloud, vous n'avez pas à gérer les serveurs physiques ou les dispositifs de stockage. Au lieu de cela, vous utilisez des outils de sécurité basés sur logiciel pour surveiller et protéger le flux d'informations entrant et sortant de vos ressources cloud.

Mais un risque souvent négligé est le maintien de la disponibilité. Ce que je veux dire par là, c'est plus que la simple géo-redondance ou la redondance matérielle, je fais référence à s'assurer que vos données et applications sont couvertes. Le cloud n'est pas un endroit magique où tous vos soucis disparaissent ; un cloud est un endroit où toutes vos peurs sont souvent plus faciles et moins chères à multiplier. Avoir une stratégie robuste de protection des données est essentiel. Veeam a souvent prêché la « Règle 3-2-1 » qui a été inventée par Peter Krogh.

La règle stipule que vous devriez avoir trois copies de vos données, les stocker sur deux supports différents, et en conserver une hors site. Celle hors site est généralement dans le « cloud », mais qu'en est-il quand vous êtes déjà dans le cloud ?

C'est là que je vois la plupart des problèmes cloud surgir, quand les gens sont déjà dans le cloud, ils ont tendance à stocker les données dans le même cloud. C'est pourquoi il est important de se rappeler d'avoir une stratégie détaillée lors du passage au cloud. En tirant parti de choses comme les agents Veeam pour protéger les charges de travail cloud et Cloud Connect pour envoyer les sauvegardes hors site afin de maintenir cette disponibilité en dehors du même centre de données ou cloud. N'assumez pas que c'est le travail du fournisseur de protéger vos données car ce n'est pas le cas.

2. La migration vers le cloud dépasse l'évolution des contrôles de sécurité

Salvatore Stolfo, CTO d'Allure Security

Selon une nouvelle enquête menée par ESG, 75 % des organisations ont déclaré qu'au moins 20 % de leurs données sensibles stockées dans les clouds publics sont insuffisamment sécurisées. De plus, 81 % de ceux interrogés pensent que la sécurité des données sur site est plus mature que celle du cloud public.

Pourtant, les entreprises migrent vers le cloud plus vite que jamais pour maximiser les avantages organisationnels : on estime que 83 % des charges de travail d'entreprise seront dans le cloud d'ici 2020, selon le rapport Cloud Vision 2020 de LogicMonitor. Ce que nous avons, c'est une situation de plus en plus urgente dans laquelle les organisations migrent leurs données sensibles vers le cloud à des fins de productivité à un rythme plus rapide que l'évolution des contrôles de sécurité pour protéger ces données.

Les entreprises doivent examiner des solutions qui contrôlent l'accès aux données dans les partages cloud en fonction du niveau de permission de l'utilisateur, mais elles doivent également avoir les moyens d'être alertées lorsque ces données sont consultées de manière inhabituelle ou suspecte, même par ce qui semble être un utilisateur de confiance.

Rappelez-vous que de nombreux pirates et fuites internes proviennent d'acteurs malveillants avec des identifiants volés, légitimes, qui leur permettent de se déplacer librement dans un partage cloud, à la recherche de données précieuses à voler. Les documents de tromperie, appelés leurres, peuvent également être un excellent outil pour détecter cela. Les leurres peuvent alerter les équipes de sécurité au stade initial d'une violation de sécurité cloud sur des comportements inhabituels, et peuvent même tromper un cyber-voleur potentiel en lui faisant croire qu'il a volé quelque chose de valeur alors qu'en réalité, c'est un document factice très convaincant. Ensuite, il y a la question d'avoir le contrôle sur les documents même après qu'ils ont été extraits du partage cloud.

C'est là que de nombreuses solutions de sécurité commencent à se décomposer. Une fois qu'un fichier a été téléchargé depuis un référentiel cloud, comment pouvez-vous suivre où il voyage et qui le regarde ? Il doit y avoir plus d'investissement dans des technologies telles que le géorepérage (geofencing) et la télémétrie pour résoudre ce problème.

3. Minimiser les menaces et vulnérabilités du Cloud Computing avec un plan de sécurité

Nic O'Donovan, Architecte Solutions et Spécialiste Cloud chez VMware

Le cloud hybride continue de gagner en popularité auprès des entreprises — principalement parce que la vitesse de déploiement, l'évolutivité et les économies de coûts deviennent plus attrayantes pour les entreprises. Nous continuons à voir l'infrastructure évoluer rapidement vers le cloud, ce qui signifie que la sécurité doit se développer à un rythme similaire. Il est essentiel pour l'entreprise de travailler avec un Fournisseur de Services Cloud qui a une approche fiable de la sécurité dans le cloud.

Cela signifie que le partenariat avec votre Fournisseur Cloud devient de plus en plus important alors que vous travaillez ensemble pour comprendre et mettre en œuvre un plan de sécurité pour garder vos données sécurisées.

Les contrôles de sécurité comme l'authentification multifactorielle, le chiffrement des données ainsi que le niveau de conformité que vous exigez sont tous des domaines sur lesquels se concentrer lors de la construction de votre plan de sécurité.

4. Ne jamais cesser d'apprendre sur vos plus grandes vulnérabilités

Isaac Kohen, CEO de Teramind

De plus en plus d'entreprises sont victimes du cloud, et cela a à voir avec la mauvaise configuration du cloud et la négligence des employés.

1. Les plus grandes menaces pour la sécurité des données sont vos employés. Négligents ou malveillants, les employés sont l'une des principales raisons des infections par logiciels malveillants et de la perte de données. Les raisons pour lesquelles les attaques par logiciels malveillants et les emails de phishing sont des mots courants dans l'actualité est parce qu'ils sont des moyens « faciles » pour les pirates d'accéder aux données. Grâce à l'ingénierie sociale, les criminels malveillants peuvent « tromper » les employés pour qu'ils donnent des mots de passe et des identifiants sur des systèmes de données critiques pour l'entreprise. Façons de prévenir cela : un programme de formation efficace des employés et une surveillance des employés qui sonde activement le système.

2. Ne cessez jamais d'apprendre. Dans une industrie qui change et s'adapte continuellement, il est important d'être à jour sur les dernières tendances et vulnérabilités. Par exemple avec l'Internet des Objets (IoT), nous ne faisons qu'entrevoir « le bout de l'iceberg » en matière de protection des données sur les connexions Wi-Fi accrues et les services de stockage de données en ligne. Il y a plus à développer avec cette histoire, et cela aura un impact direct sur les petites entreprises à l'avenir.

3. Faites des recherches et comprenez comment le stockage fonctionne, puis éduquez. Nous avons entendu les histoires — lorsque les données sont exposées via le cloud, souvent c'est en raison de la mauvaise configuration des paramètres du cloud. Les employés doivent comprendre la nature de sécurité de l'application et que les paramètres peuvent être facilement modifiés et activés, exposant les données externement. Éduquez la sensibilisation à la sécurité via des programmes de formation.

4. Limitez vos points d'accès. Un moyen facile d'atténuer cela, limitez vos points d'accès. Une erreur courante avec l'exposition cloud est due au fait que les employés avec accès activent par erreur des permissions globales permettant aux données d'être exposées à une connexion ouverte. Pour atténuer, comprenez qui et quoi a accès aux données cloud — tous les points d'accès — et surveillez ces connexions de manière approfondie.

5. Surveiller les systèmes. Progressif et approfondi. Pour la protection à long terme des données sur le cloud, utilisez une plateforme d'analyse et de surveillance des utilisateurs pour détecter les violations plus rapidement. La surveillance et l'analyse des utilisateurs rationalisent les données et créent un « profil » standard de l'utilisateur — employé et ordinateur. Ces analyses sont intégrées et suivent vos dépôts de données les plus cruciaux, que vous, en tant qu'administrateur, avez indiqués dans le logiciel de détection. Lorsque des données cloud spécifiques sont modifiées, déplacées ou violées, le système « ping » immédiatement un administrateur indiquant un changement de caractère.

5. Envisager des solutions hybrides

Michael V.N. Hall, Directeur des Opérations pour Turbot

Il y a plusieurs choses vitales à comprendre sur la sécurité dans le cloud :

1. Les mots de passe sont le pouvoir — 80 % de toutes les violations de mots de passe auraient pu être évitées par l'identification multifactorielle : en vérifiant votre identité personnelle via un texte sur votre téléphone ou un email sur votre compte, vous pouvez maintenant être alerté quand quelqu'un essaie d'accéder à vos coordonnées.

L'un des plus grands coupables du moment est l'affaiblissement des identifiants. Cela signifie que les mots de passe, les clés d'accès et les phrases de passe sont volés par le biais d'arnaques au phishing, de keylogging et d'attaques par force brute.

Les phrases de passe sont les nouveaux mots de passe. Les phrases de passe aléatoires, faciles à retenir, sont bien meilleures que les mots de passe, car elles ont tendance à être plus longues et plus complexes.

MesAnesMangentDuFromage47 est une phrase de passe complexe et à moins que vous soyez propriétaire d'ânes ou fabricant de fromage, sans rapport avec vous. N'oubliez pas d'utiliser des lettres majuscules et minuscules ainsi que toute la gamme de ponctuation.

2. Restez en contact avec votre fournisseur d'hébergement. Choisissez le bon fournisseur d'hébergement — une entreprise réputée avec des normes de sécurité élevées en place. Communiquez avec eux régulièrement car une interaction fréquente vous permet de rester au courant de tout changement ou problème en développement.

3. Envisagez une solution hybride. Les solutions hybrides permettent des systèmes statiques sécurisés pour stocker des données critiques en interne tout en ouvrant simultanément des données de priorité inférieure à la plus grande polyvalence du cloud.

6. Apprendre comment fonctionnent les systèmes de sécurité cloud

Tom DeSot, CIO de Digital Defense, Inc.

Les entreprises doivent s'assurer qu'elles évaluent les risques et avantages de la sécurité de l'informatique en nuage. C'est pour s'assurer qu'elles s'éduquent sur ce que signifie passer dans le cloud avant de faire ce grand saut de l'exécution de systèmes dans leur propre centre de données.

Bien trop souvent, j'ai vu une entreprise migrer vers le cloud sans plan ni connaissance de ce que cela signifie pour eux et la sécurité de leurs systèmes. Ils doivent reconnaître que leur logiciel sera « vivant » sur des systèmes partagés avec d'autres clients, donc s'il y a une violation de la plateforme d'un autre client, il est possible que l'attaquant compromette leur système également.

De même, les clients cloud doivent comprendre où leurs données seront stockées, qu'elles seront uniquement aux États-Unis, ou que le fournisseur réplique vers d'autres systèmes sur différents continents. Cela peut causer un vrai problème si l'information est quelque chose de sensible comme des PII ou des informations protégées sous HIPAA ou quelque autre statut réglementaire. Enfin, le client cloud doit prêter une attention particulière aux Accords de Niveau de Service (SLA) que le fournisseur cloud respecte et s'assurer qu'ils reflètent les leurs.

Passer au cloud est un excellent moyen de libérer des ressources informatiques et d'assurer la disponibilité, mais je conseille toujours à mes clients de faire le mouvement par petites étapes afin qu'ils aient le temps d'acquérir une appréciation de ce que signifie être « dans le cloud ».

7. Faire votre due diligence pour sécuriser le cloud

Ken Stasiak, CEO de SecureState

Comprenez le type de données que vous mettez dans le cloud et les exigences de sécurité obligatoires autour de ces données.

Une fois qu'une entreprise a une idée du type de données qu'elle cherche à stocker dans le cloud, elle devrait avoir une compréhension ferme du niveau de due diligence requis lors de l'évaluation de différents fournisseurs cloud. Par exemple, si vous choisissez un fournisseur de services cloud pour héberger vos Informations de Santé Protégées (PHI), vous devriez exiger une évaluation des normes de sécurité et de la conformité HIPAA avant de déplacer des données dans le cloud.

Quelques bonnes questions à poser lors de l'évaluation de l'adéquation d'un fournisseur de services cloud pour une organisation soucieuse de sécuriser ces données incluent : Effectuez-vous des audits et évaluations SOC réguliers ? Comment protégez-vous contre l'activité malveillante ? Effectuez-vous des vérifications d'antécédents sur tous les employés ? Quels types de systèmes avez-vous en place pour la surveillance des employés, la détermination des accès et les pistes d'audit ?

8. Configurer les contrôles d'accès et les permissions de sécurité

Michael R. Durante, Président de Tie National, LLC.

Bien que le cloud soit une force croissante dans l'informatique pour sa flexibilité pour s'adapter aux besoins d'une entreprise et pour augmenter la collaboration entre les sites, il soulève également des préoccupations de sécurité avec son potentiel d'exposition de vulnérabilités relativement hors de votre contrôle.

Par exemple, BYOD (Bring Your Own Device) peut être un défi à sécuriser si les utilisateurs n'appliquent pas régulièrement les correctifs de sécurité et les mises à jour. Le conseil numéro un que je donnerais est de faire le meilleur usage des contrôles d'accès disponibles.

Les entreprises doivent utiliser les contrôles d'accès pour limiter les permissions de sécurité afin de n'autoriser que les actions liées aux fonctions de travail des employés. En limitant l'accès, les entreprises assurent que les fichiers critiques ne sont disponibles que pour le personnel en ayant besoin, réduisant ainsi les chances de leur exposition aux mauvaises parties. Ce contrôle facilite également la révocation immédiate des droits d'accès lors de la cessation d'emploi pour protéger tout contenu sensible, peu importe d'où l'employé tente d'accéder à distance.

9. Comprendre le pedigree et les processus du fournisseur ou vendeur

Paul Evans, CEO de Redstor

L'utilisation des technologies cloud a permis aux entreprises de toutes tailles d'améliorer les performances et de gagner en efficacité avec plus de travail à distance, une disponibilité plus élevée et plus de flexibilité.

Cependant, avec un nombre croissant de systèmes disparates déployés et tant de fournisseurs cloud et de logiciels à choisir, garder le contrôle sur la sécurité des données peut devenir un défi. Lorsqu'on cherche à implémenter un service cloud, il est essentiel de bien comprendre le pedigree et les processus du fournisseur/vendeur qui fournira le service. Les certifications de sécurité standard de l'industrie sont un excellent point de départ. Les fournisseurs qui ont une certification ISO 27001 ont prouvé qu'ils ont respecté les normes internationales de gestion de la sécurité de l'information et devraient être tenus en plus haute estime que ceux sans.

Acquérir une compréhension complète de l'endroit où vos données iront géographiquement, qui y aura accès, et si elles seront chiffrées est la clé pour pouvoir les protéger. Il est également important de savoir quels sont les processus du fournisseur en cas de violation ou perte de données ou s'il y a une indisponibilité. Une indisponibilité acceptable devrait être définie dans les Accords de Niveau de Service (SLA) contractuels, qui devraient être financièrement soutenus par eux pour fournir une assurance.

Pour les organisations cherchant à utiliser des plateformes cloud, il y a des menaces de sécurité cloud dont il faut être conscient : qui aura accès aux données ? Où les données sont-elles stockées ? Mes données sont-elles chiffrées ? Mais pour la plupart, les plateformes cloud peuvent répondre à ces questions et ont des niveaux de sécurité élevés. Les organisations utilisant les clouds doivent s'assurer qu'elles sont conscientes des lois et réglementations de protection des données qui affectent les données et acquièrent également une compréhension précise des accords contractuels avec les fournisseurs cloud. Comment les données sont-elles protégées ? De nombreuses réglementations et normes de l'industrie donneront des conseils sur la meilleure façon de stocker les données sensibles.

Garder des copies non sécurisées ou non chiffrées de données peut les mettre à plus haut risque. Acquérir la connaissance des niveaux de sécurité des services cloud est vital.

Quelles sont les politiques de rétention, et ai-je une sauvegarde ? Les plateformes cloud peuvent avoir des utilisations très variées, et cela peut causer (ou prévenir) des problèmes. Si des données sont stockées dans une plateforme cloud, elles pourraient être vulnérables aux risques de sécurité cloud tels que les rançongiciels ou la corruption, donc s'assurer que plusieurs copies de données sont conservées ou sauvegardées peut prévenir cela. Garantir que ces processus ont été effectués améliore les niveaux de sécurité des plateformes cloud d'une organisation et donne une compréhension d'où pourrait venir tout risque.

10. Utiliser des mots de passe forts et l'authentification multifactorielle

Fred Reck, InnoTek Computer Consulting

Assurez-vous d'exiger des mots de passe forts pour tous les utilisateurs cloud, et de préférence utilisez l'authentification multifactorielle.

Selon le Rapport d'Investigation sur les Violations de Données 2017 de Verizon, 81 % de toutes les violations liées au piratage ont exploité soit des mots de passe volés et/ou faibles. L'un des avantages les plus significatifs du Cloud est la capacité d'accéder aux données de l'entreprise de n'importe où dans le monde sur n'importe quel appareil. Du côté de la sécurité, n'importe qui (alias « les méchants ») avec un nom d'utilisateur et un mot de passe peut potentiellement accéder aux données de l'entreprise. Forcer les utilisateurs à créer des mots de passe forts rend beaucoup plus difficile pour les pirates d'utiliser une attaque par force brute (deviner le mot de passe à partir de plusieurs caractères aléatoires.)

En plus des mots de passe sécurisés, de nombreux services cloud aujourd'hui peuvent utiliser le téléphone portable d'un employé comme pièce secondaire d'authentification physique de sécurité dans une stratégie multifactorielle, rendant cela accessible et abordable pour une organisation à mettre en œuvre. Les utilisateurs n'auraient pas seulement besoin de connaître le mot de passe mais auraient besoin d'un accès physique à leur téléphone portable pour accéder à leur compte.

Enfin, envisagez d'implémenter une fonctionnalité qui verrouillerait le compte d'un utilisateur après un nombre prédéterminé de tentatives de connexion infructueuses.

11. Activer le verrouillage par localisation IP

Chris Byrne est cofondateur et CEO de Sensorpro

Les entreprises devraient activer l'authentification à deux facteurs et le verrouillage par localisation IP pour accéder aux applications cloud qu'elles utilisent.

Avec 2FA, vous ajoutez un autre défi à la combinaison habituelle email/mot de passe par message texte. Avec le verrouillage IP, vous pouvez clôturer l'accès depuis l'IP de votre bureau ou l'IP des travailleurs à distance. Si la plateforme ne supporte pas cela, envisagez de demander à votre fournisseur de l'activer.

Concernant la fourniture réelle de la plateforme cloud, fournissez une option de chiffrement des données au repos. À un moment donné, cela deviendra aussi omniprésent que https (SSL/TLS). Si l'impensable se produit et que les données se retrouvent entre de mauvaises mains, c'est-à-dire qu'un appareil est volé ou oublié dans un train, alors le chiffrement des données au repos est la dernière ligne de défense pour empêcher quiconque d'accéder à vos données sans les bonnes clés de chiffrement. Même s'ils parviennent à le voler, ils ne peuvent pas l'utiliser. Cela, par exemple, aurait atténué la récente violation d'Equifax.

12. Solutions de sécurité de stockage cloud avec VPN

Eric Schlissel, Président et CEO de GeekTek

Utilisez les VPN (réseaux privés virtuels) chaque fois que vous vous connectez au cloud. Les VPN sont souvent utilisés pour semi-anonymiser le trafic web, généralement par des spectateurs qui sont géobloqués en accédant à des services de streaming tels que Netflix USA ou BBC Player. Ils fournissent également une couche de sécurité cruciale pour tout appareil se connectant à votre cloud. Sans VPN, tout intrus potentiel avec un renifleur de paquets pourrait déterminer quels membres accédaient à votre compte cloud et potentiellement accéder à leurs identifiants de connexion.

Chiffrez les données au repos. Si pour une raison quelconque un compte utilisateur est compromis sur votre cloud public, privé ou hybride, la différence entre les données en texte clair vs format chiffré peut se mesurer en centaines de milliers de dollars — spécifiquement 229 000 $, le coût moyen d'une cyberattaque rapporté par les répondants d'une enquête menée par la compagnie d'assurance Hiscox. Comme les événements récents l'ont montré, le processus de chiffrement et déchiffrement de ces données s'avérera bien moins douloureux que d'endurer son alternative.

Utilisez l'authentification à deux facteurs et l'authentification unique (SSO) pour tous les comptes basés sur le cloud. Google, Facebook et PayPal utilisent tous l'authentification à deux facteurs, qui exige que l'utilisateur saisisse un code unique généré par logiciel dans un formulaire avant de se connecter à son compte. Que votre entreprise aspire à leur stature ou non, elle peut et devrait émuler ce composant central de leur stratégie de sécurité. L'authentification unique simplifie la gestion des accès, donc un seul couple d'identifiants utilisateur connecte l'employé à tous les comptes. Ainsi, les administrateurs système n'ont qu'un seul compte à supprimer plutôt que plusieurs qui peuvent être oubliés et réaccédés plus tard par l'ancien employé.

13. Méfiez-vous du risque de l'élément humain

Steven J.J. Weisman, Avocat et Professeur à l'Université Bentley

Pour paraphraser Shakespeare, la faute n'est pas dans le cloud ; la responsabilité est en nous.

Stocker des données sensibles dans le cloud est une bonne option pour la sécurité des données à bien des niveaux. Cependant, peu importe à quel point une technologie peut être sécurisée, l'élément humain présentera toujours un danger potentiel de sécurité à exploiter par les cybercriminels. De nombreuses violations de sécurité cloud passées ont prouvé ne pas être dues à des failles de sécurité par la technologie cloud, mais plutôt par les actions d'utilisateurs individuels du cloud.

Ils ont sans le savoir fourni leurs noms d'utilisateur et mots de passe à des cybercriminels qui, par le biais d'emails de spear phishing, d'appels téléphoniques ou de messages texte, persuadent les gens de donner les informations critiques nécessaires pour accéder au compte cloud.

La meilleure façon d'éviter ce problème, avec une meilleure éducation des employés pour reconnaître et prévenir le spear phishing, est d'utiliser l'authentification à double facteur telle qu'avoir un code à usage unique envoyé au téléphone portable de l'employé chaque fois que le compte cloud est tenté d'être accédé.

14. Assurer la récupération des données auprès d'un fournisseur cloud

Bob Herman, Cofondateur et Président de IT Tropolis.

1. L'authentification à deux facteurs protège contre la fraude aux comptes. De nombreux utilisateurs sont victimes de tentatives de phishing par email où de mauvais acteurs dupent la victime pour qu'elle entre ses informations de connexion sur un faux site web. Le mauvais acteur peut alors se connecter au vrai site en tant que victime, et faire toutes sortes de dégâts selon l'application du site et l'accès utilisateur. 2FA assure qu'un second code doit être entré lors de la connexion à l'application. Généralement, un code envoyé au téléphone de l'utilisateur.

2. S'assurer que vous possédez vos données et que vous pouvez les récupérer dans l'éventualité où vous ne voudriez plus faire affaire avec le fournisseur cloud est impératif. La plupart des fournisseurs cloud légitimes devraient spécifier dans leurs conditions que le client possède ses données. Ensuite, vous devez confirmer que vous pouvez extraire ou exporter les données dans un format utilisable, ou que le fournisseur cloud vous les fournira sur demande.

15. Surveillance en temps réel et continue

Sam Bisbee, Directeur de la Sécurité chez Threat Stack

1. Créer une observabilité de sécurité en temps réel et une surveillance continue des systèmes

Bien que la surveillance soit essentielle dans tout environnement de données, il est crucial de souligner que les changements dans les environnements cloud modernes, en particulier ceux des environnements SaaS, ont tendance à se produire plus fréquemment ; leurs impacts sont ressentis immédiatement.

Les résultats peuvent être dramatiques en raison de la nature de l'infrastructure élastique. À tout moment, les actions accidentelles ou malveillantes de quelqu'un pourraient gravement affecter la sécurité de vos systèmes de développement, de production ou de test.

Exécuter une infrastructure moderne sans observabilité de sécurité en temps réel et surveillance continue, c'est comme voler à l'aveugle. Vous n'avez aucune idée de ce qui se passe dans votre environnement, et aucun moyen de commencer une atténuation immédiate lorsqu'un problème survient. Vous devez surveiller l'accès basé sur l'application et l'hôte pour comprendre l'état de votre application au fil du temps.

• Surveillance des systèmes pour les actions manuelles des utilisateurs. Cela est particulièrement important dans le monde DevOps actuel où les ingénieurs ont probablement accès à la production. Il est possible qu'ils gèrent les systèmes en utilisant des tâches manuelles, alors utilisez cela comme une opportunité d'identifier les processus qui sont adaptés à l'automatisation.
• Suivi de la performance des applications au fil du temps pour aider à détecter les anomalies. Comprendre « qui a fait quoi et quand » est fondamental pour enquêter sur les changements qui se produisent dans votre environnement.

2. Définir et surveiller en continu les paramètres de configuration

Les configurations de sécurité dans les environnements cloud tels que Amazon Direct Connect peuvent être compliquées, et il est facile de laisser par inadvertance l'accès à vos systèmes et données ouvert au monde, comme l'ont prouvé toutes les récentes histoires sur les fuites S3.

Compte tenu de la nature changeante (et parfois volatile) des environnements SaaS, où les services peuvent être créés et supprimés en temps réel sur une base continue, l'échec de configurer les services de manière appropriée, et l'échec de surveiller les paramètres peuvent compromettre la sécurité. En fin de compte, cela érodera la confiance que les clients placent en vous pour protéger leurs données.

En définissant les configurations par rapport à une base de référence établie et en les surveillant en continu, vous pouvez éviter les problèmes lors de la configuration des services, et vous pouvez détecter et répondre aux problèmes de configuration plus rapidement lorsqu'ils surviennent.

3. Aligner les priorités de sécurité et d'opérations pour les solutions et l'infrastructure de sécurité cloud

Une bonne sécurité est indissociable de bonnes opérations. Trop souvent, ces équipes sont en désaccord au sein d'une organisation. La sécurité est parfois perçue comme ralentissant une entreprise — trop concentrée sur le contrôle des activités des équipes Dev et Ops. Mais la sécurité peut être un levier pour l'entreprise.

La sécurité devrait tirer parti des outils de test d'automatisation, des contrôles de sécurité et de la surveillance au sein d'une organisation — à travers la gestion réseau, l'accès utilisateur, la configuration de l'infrastructure et la gestion des vulnérabilités au niveau de la couche application — fera avancer l'entreprise, réduisant les risques sur la surface d'attaque et maintenant la disponibilité opérationnelle.

16. Utiliser des outils d'audit pour sécuriser les données dans le cloud

Jeremey Vance, US Cloud

1. Utilisez un outil d'audit pour que vous sachiez tout ce que vous avez dans le cloud et ce que tous vos utilisateurs utilisent dans le cloud. Vous ne pouvez pas sécuriser des données que vous ne connaissez pas.

2. En plus de découvrir quels services sont exécutés sur votre réseau, découvrez comment et pourquoi ces services sont utilisés, par qui et quand.

3. Faites de ce processus d'audit une partie routine de votre surveillance réseau, pas seulement un événement ponctuel. De plus, si vous n'avez pas la bande passante pour cela, externalisez cette routine d'audit à un tiers qualifié comme US Cloud.

17. La plupart des violations commencent par des points non sécurisés simples

Marcus Turner, Architecte en Chef & CTO chez Enola Labs

Le cloud est très sécurisé, mais pour vous assurer de garder les données de l'entreprise sécurisées, il est important de configurer le cloud correctement.

Pour AWS spécifiquement, AWS Config est l'outil le mieux utilisé pour cela. AWS, lorsqu'il est configuré correctement, est l'un des environnements de cloud computing les plus sécurisés au monde. Cependant, la plupart des violations de données ne sont pas des pirates exploitant des programmes complexes pour accéder à des données critiques, mais plutôt ce sont les points non sécurisés simples, les fruits à portée de main, qui rendent les données de l'entreprise vulnérables.

Même avec la meilleure sécurité cloud, l'erreur humaine est souvent à blâmer pour l'écart ou la violation la plus critique dans la protection. Avoir des routines pour valider la précision continue de la configuration est la métrique la plus sous-utilisée et sous-estimée pour garder les données de l'entreprise sécurisées dans le cloud.

18. Poser des questions clés de sécurité à votre fournisseur cloud

Brandan Keaveny, Ed.D., Fondateur de Data Ethics LLC

Lors de l'exploration des possibilités de passer à une solution basée sur le cloud, vous devriez vous assurer que des soutiens adéquats sont en place au cas où une violation se produirait. Assurez-vous de poser les questions suivantes avant de signer un accord avec un fournisseur basé sur le cloud :

Question : Combien de tiers le fournisseur utilise-t-il pour faciliter son service ?

Raison de la question (Raison) : Les processus et la documentation devront être mis à jour pour inclure les garanties procédurales et la coordination avec la solution basée sur le cloud. De plus, le niveau de sécurité fourni par le fournisseur basé sur le cloud devrait être clairement compris. Des niveaux de sécurité accrus pourraient devoir être ajoutés pour répondre aux exigences de confidentialité et de sécurité pour les données stockées.

Question : Comment serez-vous notifié si une violation de leurs systèmes se produit et vous aideront-ils à notifier vos clients/consommateurs ?

Raison : En ajoutant une solution basée sur le cloud au stockage de vos données, cela ajoute une nouvelle dimension de temps à prendre en compte dans les exigences de notification qui peuvent s'appliquer à vos données en cas de violation. Ces facteurs de temps devraient être incorporés dans les procédures de notification de violation et les politiques de confidentialité.

Lors du passage au cloud depuis une solution hébergée localement, votre processus d'évaluation des risques de sécurité doit être mis à jour. Avant de faire le changement, une évaluation des risques devrait avoir lieu pour comprendre l'état actuel de l'intégrité des données qui seront migrées.

De plus, des recherches devraient être menées pour examiner comment les données seront transférées vers l'environnement cloud. Questions à considérer :

Question : Vos données sont-elles prêtes pour le transport ?

Raison : Le moment pour effectuer une évaluation de la qualité des données est avant de migrer les données vers une solution basée sur le cloud plutôt qu'après coup.

Question : Ce transfert sera-t-il facilité par le fournisseur cloud ?

Raison : Il est important de comprendre les paramètres de sécurité en place pour le transfert de données vers le fournisseur cloud, surtout lors de la considération de grands ensembles de données.

19. Sécuriser votre compte cloud au-delà du mot de passe

Contribué par l'équipe de Dexter Edward

Sécurisez le compte cloud lui-même. Toute la protection sur un serveur/os/application n'aidera pas si n'importe qui peut prendre le contrôle.

• Utilisez un mot de passe fort et sécurisé sur le compte et l'authentification à 2 facteurs.
• Faites tourner les clés/identifiants cloud régulièrement.
• Utilisez des listes blanches IP.
• Utilisez tout accès basé sur les rôles sur les clés/identifiants cloud associés.

Sécurisez l'accès aux instances de calcul dans le cloud.

• Utilisez les pare-feu fournis par les fournisseurs cloud.
• Utilisez des clés SSH sécurisées pour tout appareil nécessitant un accès de connexion.
• Exigez un mot de passe pour les tâches administratives.
• Construisez votre application pour fonctionner sans privilège root.
• Assurez-vous que vos applications utilisent le chiffrement pour toute communication en dehors du cloud.
• Utilisez l'authentification avant d'établir des communications publiques.

Utilisez autant que possible le réseau cloud privé.

• Évitez de lier les services à tous les réseaux publics.
• Utilisez le réseau privé pour isoler même votre accès de connexion (VPN est une option).

Profitez de la surveillance, de l'audit de fichiers et de la détection d'intrusion lorsque proposés par les fournisseurs cloud.

• Le cloud est fait pour bouger — utilisez cette fonctionnalité pour changer l'emplacement réseau.
• Éteignez les instances quand elles ne sont pas utilisées. b. Gardez des images quotidiennes pour pouvoir déplacer les serveurs/applications sur Internet plus fréquemment.

20. Envisager la mise en œuvre de bureaux virtuels gérés

Michael Abboud, CEO et Fondateur de TetherView

Les catastrophes naturelles mélangées aux cybermenaces, violations de données, problèmes matériels et le facteur humain, augmentent le risque qu'une entreprise subisse un type de panne ou perturbation coûteuse.

Se diriger vers des bureaux virtuels gérés fournis via un cloud privé, offre une opportunité unique aux organisations de réduire les coûts et de fournir un accès distant sécurisé au personnel tout en soutenant les initiatives de continuité d'activité et en atténuant le risque d'indisponibilité.

Tirer parti des bureaux virtuels en veille, une solution de continuité d'activité appropriée fournit aux entreprises la base pour la sécurité et la conformité.

Le déploiement de bureaux virtuels offre aux utilisateurs la flexibilité de travailler à distance via un environnement entièrement fonctionnel basé sur navigateur tout en permettant simultanément aux départements IT de gérer centralement les terminaux et de verrouiller les données critiques de l'entreprise. Performance, sécurité et conformité sont inchangées.

Les bureaux virtuels en veille sont préconfigurés et prêts à être déployés instantanément, permettant à votre équipe de rester « business as usual » pendant une catastrophe soudaine.

En plus de cela, vous devriez assurer des audits et sauvegardes de données réguliers

Si vous ne savez pas ce qui se trouve dans votre cloud, c'est le moment de le découvrir. Il est essentiel d'auditer fréquemment vos données et de s'assurer que tout est sauvegardé. Vous voudrez également considérer qui a accès à ces données. Les anciens employés ou ceux qui n'ont plus besoin d'accès devraient avoir leurs permissions révoquées.

Il est important d'utiliser également les dernières mesures de sécurité, telles que l'authentification multifactorielle et le chiffrement par défaut. Tenez toujours vos employés au courant de ces mesures et formez-les pour repérer les menaces potentielles afin qu'ils sachent comment y faire face immédiatement.

21. Être conscient des politiques de sécurité d'un fournisseur

Jeff Bittner, Fondateur et Président d'Exit Technologies

Beaucoup, sinon la plupart, des entreprises continueront à se développer dans le cloud, tout en s'appuyant sur l'infrastructure sur site pour une variété de raisons, allant des simples avantages coût/bénéfice à la réticence à confier des données ou systèmes critiques de mission entre les mains de fournisseurs de services cloud tiers. Garder la trace de quels actifs sont où dans cet environnement hybride peut être délicat et entraîner des lacunes de sécurité.

La responsabilité de la sécurité dans le cloud est partagée entre le fournisseur de services et l'abonné. Donc, l'abonné doit être conscient non seulement des politiques de sécurité du fournisseur de services, mais aussi de questions aussi banales que les cycles de rafraîchissement du matériel.

Les cyberattaquants sont devenus habiles à trouver et exploiter les lacunes dans les systèmes d'exploitation et applications plus anciens qui peuvent être obsolètes, ou qui ne sont plus mis à jour. Maintenant, avec la divulgation des vulnérabilités Spectre et Meltdown, nous devons également nous inquiéter des menaces qui pourraient exploiter des erreurs ou des oublis codés en dur au niveau de la puce.

Le matériel tel que les serveurs et les PC a un cycle de vie limité, mais souvent les entreprises continueront à exploiter ces systèmes après que les fournisseurs commencent à retirer le support et à interrompre les mises à jour de firmware et logicielles nécessaires pour contrer les nouvelles menaces de sécurité.

En plus d'être conscient de ce que leur fournisseur cloud fait, l'entreprise doit garder la trace de ses propres actifs et les rafraîchir ou les mettre hors service selon les besoins. Lorsque les systèmes informatiques sont réaffectés à des fins non critiques, il est trop facile pour eux de tomber en dehors de la gestion des risques et de la surveillance de sécurité.

22. Chiffrer les sauvegardes avant de les envoyer vers le cloud

Mikkel Wilson, CTO chez Oblivious.io

1. Les métadonnées des fichiers devraient être sécurisées tout aussi vigilamment que les données elles-mêmes. Même si un attaquant ne peut pas accéder aux données que vous avez stockées dans le cloud, s'il peut obtenir, disons, tous les noms de fichiers et tailles, vous avez divulgué des informations importantes. Par exemple, si vous êtes avocat et que vous révélez que vous avez un fichier appelé « michael_cohen_hush_money_payouts.xls » et qu'il fait 15 Mo, cela peut soulever des questions que vous préféreriez ne pas répondre.

2. Chiffrez vos sauvegardes *avant* de les téléverser vers le cloud. Les sauvegardes sont une cible de haute valeur pour les attaquants. De nombreuses entreprises, même celles avec leurs propres centres de données, stockeront les sauvegardes dans des environnements cloud comme Amazon S3. Elles activeront même les fonctionnalités de chiffrement de S3. Malheureusement, Amazon stocke les clés de chiffrement juste à côté des données. C'est comme verrouiller votre voiture et laisser les clés sur le capot.

23. Savoir où résident vos données pour réduire les menaces cloud

Vikas Aditya, Fondateur de QuikFynd Inc,

Soyez conscients de l'endroit où leurs données sont stockées de nos jours afin qu'ils puissent identifier de manière proactive si l'une des données peut être à risque de violation.

De nos jours, les données sont stockées dans de multiples emplacements et applications cloud en plus des dispositifs de stockage dans l'entreprise. Les entreprises adoptent des services de stockage cloud tels que Google Drive, Dropbox, OneDrive, etc. et des services logiciels en ligne pour toutes sortes de processus d'affaires. Cela a conduit à une vaste fragmentation des données de l'entreprise, et souvent les gestionnaires n'ont aucune idée de l'endroit où toutes les données peuvent être.

Par exemple, un rapport financier confidentiel pour l'entreprise peut être stocké dans le stockage cloud car les appareils se synchronisent automatiquement avec le cloud ou une conversation d'affaires sensible peut avoir lieu dans des services de messagerie basés sur le cloud tels que Slack. Bien que les entreprises cloud aient toutes les bonnes intentions de garder les données de leurs clients en sécurité, elles sont aussi la cible principale car les pirates ont un meilleur retour sur investissement en ciblant de tels services où ils peuvent potentiellement accéder aux données de millions d'abonnés.

Alors, que devrait faire une entreprise ?

Bien qu'elles continueront à adopter les services cloud et que leurs données finiront dans de nombreux, de nombreux emplacements, elles peuvent utiliser certains outils de recherche et d'organisation de données qui peuvent leur montrer quelles données existent dans ces services. En utilisant des capacités de recherche en texte intégral, ils peuvent alors découvrir très rapidement si l'une de ces informations est un risque potentiel pour l'entreprise si elle est violée. Vous ne pouvez pas protéger quelque chose si vous ne savez même pas où il est. Et plus important encore, vous ne saurez même pas s'il est volé. Donc, les entreprises cherchant à protéger leurs données d'affaires doivent prendre des mesures au moins pour être conscientes de l'endroit où se trouvent toutes leurs informations.

24. Corriger vos systèmes régulièrement pour éviter les vulnérabilités cloud

Adam Stern, CEO d'Infinitely Virtual

Les utilisateurs d'entreprise ne sont pas sans défense, même dans le sillage des récentes attaques sur le cloud computing comme WannaCry ou Petya/NotPetya.

Le meilleur antidote est la gestion des correctifs. C'est toujours une bonne pratique de maintenir les systèmes et serveurs à jour avec les correctifs — c'est le chemin le plus court vers la tranquillité d'esprit. En effet, la « conscience de la gestion des correctifs » doit faire partie d'une mantra globale selon laquelle la sécurité est un processus, pas un événement — un état d'esprit, pas une question de cocher des cases et passer à autre chose. La vigilance devrait être le mode par défaut de tout le monde.

Le spam n'est l'ami de personne ; méfiez-vous des emails de sources inconnues — et cela signifie ne pas les ouvrir. Chaque petite et moyenne entreprise gagne en plaçant l'accent stratégique sur les protections de sécurité, avec des technologies comme les pare-feu en grappe et les systèmes de détection et de prévention d'intrusion (IDPS).

25. Les processus de sécurité ont besoin d'application car le personnel ne réalise souvent pas le risque

Murad Mordukhay, CEO de Qencode

1. La sécurité comme priorité

L'application des mesures de sécurité peut devenir difficile lorsque l'on travaille avec des délais ou de nouvelles fonctionnalités complexes. Dans une tentative de faire avancer leurs produits, les équipes plient souvent les règles décrites dans leur propre processus de sécurité sans réaliser le risque dans lequel elles mettent leur entreprise. Un processus de sécurité bien pensé doit être bien appliqué pour atteindre son objectif de garder vos données protégées. Les entreprises qui incluent la sécurité cloud comme priorité dans leur processus de développement de produit réduisent drastiquement leur exposition aux données perdues et aux menaces de sécurité.

2. Mots de passe & Chiffrement

Deux parties importantes de la sécurisation de vos données dans le cloud sont les mots de passe et le chiffrement.

La mauvaise gestion des mots de passe est l'opportunité la plus significative pour les mauvais acteurs d'accéder et de prendre le contrôle des données de l'entreprise. Cela est généralement accompli par des techniques d'ingénierie sociale (comme les emails de phishing) principalement dues à une mauvaise éducation des employés. Une formation appropriée des employés et des processus de surveillance des emails vont loin pour aider à exposer les informations de mot de passe. De plus, les mots de passe doivent être longs, inclure des chiffres, des lettres et des symboles. Les mots de passe ne devraient jamais être écrits, partagés par email, ou publiés dans les commentaires de chat et de tickets. Une couche supplémentaire de protection des données est réalisée par le chiffrement. Si vos données sont stockées dans le cloud pour de longues périodes, elles devraient être chiffrées localement avant de les envoyer. Cela rend les données pratiquement inaccessibles dans la faible chance qu'elles soient compromises.

26. Activer l'authentification à deux facteurs

Tim Platt, VP des Services IT Business chez Virtual Operations, LLC

Pour la meilleure sécurité de serveur cloud, nous préférons voir l'Authentification à Deux Facteurs (également connue sous le nom de 2FA, authentification multifactorielle, ou authentification en deux étapes) utilisée partout où c'est possible.

Qu'est-ce que c'est ? 2 Factor combine « quelque chose que vous savez » avec « quelque chose que vous avez ». Si vous devez fournir à la fois un mot de passe et un code unique envoyé à votre smartphone par texte, alors vous avez ces deux choses. Même si quelqu'un connaît votre mot de passe, il ne peut toujours pas accéder à votre compte. Il devrait connaître votre mot de passe et avoir accès à votre téléphone portable. Pas impossible, mais vous avez juste rendu dramatiquement plus difficile pour eux de pirater votre compte. Ils chercheront ailleurs une cible plus facile. Comme exemple, iCloud et Gmail supportent 2FA — deux services très populaires auprès des utilisateurs d'entreprise. Je recommande à tout le monde de l'utiliser.

Pourquoi est-ce important pour la sécurité cloud ?

Parce que les services cloud ne sont souvent pas protégés par un pare-feu ou un autre mécanisme pour contrôler d'où le service peut être accédé. 2FA est une excellente couche supplémentaire à ajouter à la sécurité. Je devrais mentionner aussi que certains services, comme Salesforce, ont une implémentation 2FA très efficace, facile à utiliser, qui n'est pas un fardeau significatif pour l'utilisateur.

27. Ne pas supposer que vos données dans le cloud sont sauvegardées

Mike Potter, CEO & Cofondateur chez Rewind

Sauvegarde des données qui sont dans le cloud : Il y a une grande idée fausse sur la façon dont les plateformes basées sur le cloud (ex. Shopify, QuickBooks Online, Mailchimp, WordPress) sont sauvegardées. Typiquement, les applications basées sur le cloud maintiennent une sauvegarde cloud de reprise d'activité de l'ensemble de la plateforme. Si quelque chose arrivait à leurs serveurs, ils essaieraient de récupérer les données de tout le monde à la dernière sauvegarde. Cependant, en tant qu'utilisateur, vous n'avez pas accès à leur sauvegarde pour restaurer vos données.

Cela signifie que vous risquez de devoir annuler manuellement les changements non désirés ou de perdre définitivement des données si :

• Une application tierce intégrée à votre compte cause des problèmes.
• Vous avez besoin d'annuler une série de changements
• Vous ou quelqu'un de votre équipe fait une erreur
• Un employé ou contractant mécontent supprime des données de manière malveillante

Avoir accès à une sauvegarde secondaire de vos comptes cloud vous donne un plus grand contrôle et liberté sur vos propres données. Si quelque chose arrivait aux serveurs du fournisseur, ou au sein de votre compte individuel, être capable de récupérer rapidement vos données pourrait vous faire économiser des milliers de dollars en revenus perdus, coûts de réparation et temps.

28. Minimiser et vérifier les permissions de fichiers

Randolph Morris, Fondateur & CTO chez Releventure

1. Si vous utilisez un serveur basé sur le cloud, assurez la surveillance et la correction de la vulnérabilité Spectre et de ses variations. Les serveurs cloud sont particulièrement vulnérables. Cette vulnérabilité peut contourner toutes les mesures de sécurité cloud mises en place, y compris le chiffrement pour les données en cours de traitement au moment où la vulnérabilité est utilisée comme exploit.

2. Révisez et renforcez l'accès aux fichiers pour chaque service. Trop souvent, des comptes avec un accès complet sont utilisés pour garantir que le logiciel « fonctionne » car ils avaient des problèmes de permissions dans le passé. Si possible, chaque service devrait utiliser son propre compte et n'avoir que la permission restreinte d'accéder à ce qui est vital et ne donner que les permissions minimales requises.

29. Lors de la sécurisation de fichiers dans le cloud, chiffrez les données localement d'abord

Brandon Ackroyd, Fondateur et Expert en Sécurité Mobile chez Tiger Mobiles

La plupart des utilisateurs de stockage cloud supposent que de tels services utilisent leur propre chiffrement. Ils le font, Dropbox, par exemple, utilise un excellent système de chiffrement pour les fichiers.

Le problème, cependant, est que comme vous n'êtes pas celui qui chiffre, vous n'avez pas la clé de déchiffrement non plus. Dropbox détient la clé de déchiffrement donc quiconque avec cette même clé peut déchiffrer vos données. Le déchiffrement se produit automatiquement lorsque vous êtes connecté au système Dropbox donc quiconque accède à votre compte, par exemple via le piratage, peut également obtenir vos données maintenant non chiffrées.

La solution à cela est que vous chiffriez vos fichiers et données, en utilisant une application ou un logiciel de chiffrement, avant de les envoyer à votre service de stockage cloud choisi.

30. Les buckets exposés dans AWS S3 sont vulnérables

Todd Bernhard, Responsable Marketing Produit chez CloudCheckr

1. Les violations de données les plus courantes et médiatisées au cours de l'année dernière ou environ ont été dues à l'octroi d'un accès en lecture public aux buckets de stockage AWS S3. La configuration par défaut est bien privée, mais les gens ont tendance à faire des changements et à l'oublier, et ensuite mettre des données confidentielles sur ces buckets exposés.

2. Chiffrez les données, tant en transit qu'au repos. Dans le centre de données, où les utilisateurs finaux, les serveurs et les serveurs d'applications peuvent tous être dans le même bâtiment. En revanche, avec le Cloud, tout le trafic passe par Internet, donc vous devez chiffrer les données pendant qu'elles circulent en public. C'est comme la différence entre envoyer une lettre dans une enveloppe ou envoyer une carte postale que quiconque entre en contact avec elle peut lire le contenu.

31. Utiliser le standard d'or du chiffrement

Jeff Capone, CEO de SecureCircle

Il y a un faux sentiment de confidentialité ressenti par les entreprises utilisant des services basés sur le cloud comme Gmail et Dropbox pour communiquer et partager des informations. Parce que ces services sont basés sur le cloud et accessibles par mot de passe, on suppose automatiquement que les communications et fichiers partagés sont sécurisés et privés. La réalité est — ils ne le sont pas.

Une façon dont les organisations peuvent être sûres de sécuriser leurs données est d'utiliser de nouvelles méthodes de chiffrement telles que le chiffrement de bout en bout pour l'envoi d'emails et le partage de fichiers. C'est considéré comme la méthode « standard d'or » sans points centraux d'attaque — ce qui signifie qu'il protège les données utilisateur même lorsque le serveur est violé.

Ces méthodes de chiffrement avancées seront les plus utiles pour les entreprises lorsqu'elles sont utilisées conjointement avec des politiques internes bien alignées. Par exemple, décentraliser l'accès aux données lorsque possible, minimiser ou éliminer les comptes avec accès privilégié, et considérer soigneusement les risques lors de la décision de partager des données ou d'utiliser des services SaaS.

32. Avoir des contrôles d'accès complets en place

Randy Battat, Fondateur et CEO, PreVeil

Tous les fournisseurs cloud ont la capacité d'établir des contrôles d'accès à vos données. C'est essentiellement une liste de ceux qui ont accès aux données. Assurez-vous que l'accès « anonyme » est désactivé et que vous avez fourni l'accès uniquement aux comptes authentifiés qui en ont besoin.

En plus de cela, vous devriez utiliser le chiffrement pour garantir que vos données restent protégées et à l'abri des regards indiscrets. Il y a une multitude d'options disponibles selon votre fournisseur cloud. Équilibrez l'utilité d'accéder aux données avec le besoin de les protéger — certaines méthodes sont plus sécurisées que d'autres, comme l'utilisation d'une clé côté client et d'un processus de chiffrement. Ensuite, même si quelqu'un a accès aux données (voir point #1), il n'a accès qu'à la version chiffrée et doit encore avoir une clé pour la déchiffrer.

Assurez la conformité continue à vos politiques de gouvernance. Une fois que vous avez mis en œuvre les éléments ci-dessus et défini vos myriades d'autres normes de sécurité et de protection, assurez-vous de rester en conformité avec vos politiques. Comme de nombreuses organisations l'ont expérimenté avec les violations de données cloud, le risque n'est pas avec la plateforme du fournisseur cloud. C'est ce que leur personnel fait avec la plateforme. Assurez la conformité en surveillant les changements, ou mieux encore, implémentez des outils pour surveiller le cloud avec des actions correctives automatisées si votre environnement subit une dérive de configuration.

33. 5 fondamentaux pour garder les données sécurisées dans le cloud

David Gugick, VP de la Gestion de Produit chez CloudBerry

• Effectuez des tests de pénétration pour s'assurer que toute vulnérabilité est détectée et corrigée.
• Utilisez un pare-feu pour créer un réseau privé pour garder les utilisateurs non autorisés à l'extérieur.
• Chiffrez les données en utilisant le chiffrement AES et faites tourner les clés pour garantir que les données sont protégées à la fois en transit et au repos.
• Journalisation et surveillance pour suivre qui fait quoi avec les données.
• Identité et contrôle d'accès pour restreindre l'accès et le type d'accès uniquement aux utilisateurs et groupes qui en ont besoin.

34. Assurer un environnement multi-locataire sécurisé

Anthony Dezilva, CISO chez PhoenixNAP

Quand nous pensons au cloud, nous pensons à deux choses. Économies de coûts grâce aux efficacités gagnées en utilisant une infrastructure partagée, et risque de sécurité du stockage cloud.

Bien que de nombreuses violations publiées soient attribuées à une mauvaise configuration d'environnement basé sur le cloud, je serais surpris si ce nombre était plus que les violations signalées d'environnements non basés sur le cloud.

Les meilleurs fournisseurs de services cloud ont un intérêt direct à créer un environnement multi-locataire sécurisé. Leurs dépenses globales pour créer ces environnements sont bien plus importantes que la plupart des budgets IT des entreprises, sans parler de leurs budgets de sécurité. Par conséquent, je soutiens qu'un environnement cloud configuré correctement fournit un niveau de sécurité bien plus élevé que tout ce qu'une petite ou moyenne entreprise peut créer sur site.

De plus, dans un environnement où les talents de sécurité sont en pénurie grave, il n'y a aucun moyen qu'une organisation puisse trouver, sans parler de se permettre, les talents de sécurité dont elle a besoin. Résultant dans la meilleure chose suivante, créer une relation d'associé commercial avec un fournisseur qui non seulement a une infrastructure sécurisée forte mais fournit également des solutions de surveillance de sécurité cloud.

Menaces et vulnérabilités du Cloud Computing : À savoir

• Architecturer la solution comme vous le feriez pour tout processus de conception sur site ;
• Profiter des services d'applications, de la stratification et de la micro-segmentation ;
• Utiliser des couches de traitement de transactions avec des ACL strictes qui contrôlent la communication inter-processus. Utiliser l'infrastructure PKI pour authentifier et chiffrer la communication inter-processus.
• Utiliser une technologie de pare-feu avancée incluant les WAF (Web Application Firewalls) pour les applications web front-end, pour minimiser l'impact des vulnérabilités dans les logiciels sous-jacents ;
• Exploiter le chiffrement jusqu'au niveau de l'enregistrement ;
• Accepter qu'il ne soit qu'une question de temps avant que quelqu'un ne viole vos défenses, planifiez pour cela. Architecturer tous les systèmes pour minimiser l'impact s'il se produit.
• Un réseau plat n'est jamais acceptable !
• Processus robuste de contrôle des changements, avec cycle de gestion des correctifs hebdomadaire ;
• Maintenir des copies hors ligne de vos données, pour atténuer le risque d'effondrement du service cloud, ou d'attaque malveillante qui efface votre environnement cloud ;
• Contracter avec des services de surveillance de sécurité 24×7 qui ont une composante de réponse aux incidents.