La même politique de sécurité est souhaitée pour l'intégralité de votre environnement de cloud et tous vos appareils mobiles.
Les environnements multicloud sont de plus en plus demandés. L'entreprise n'a alors plus seulement à gérer des applications de son propre centre de données, mais aussi trois à quatre environnements de cloud en moyenne, qui viennent aussitôt s'y ajouter. Mohamed El Haddouchi se penche sur l'importante question de leur mode de sécurisation.
Mohamed El Haddouchi, Director Solutions & Innovation chez Infradata, sait qu'il est possible de régler un certain nombre de questions de sécurité dans chaque environnement de cloud. "Le problème est que l'on ne veut pas, du point de vue de la sécurité, gérer trois ou quatre environnements, chacun à sa propre manière. Car pour Amazon Web Services cela fonctionne complètement autrement qu'avec Microsoft Azure et, pour votre propre réseau d'entreprise, la politique de sécurité est également différente. On se retrouve très vite avec quatre ou cinq types différents de politiques de sécurité à faire fonctionner en parallèle et à entretenir techniquement d'une manière ou d'une autre."
Ne pas remplacer mais compléter
Cela devient vite trop complexe et trop coûteux. Explications de Mohamed El Haddouchi : "La complexité est un obstacle à la sécurité. C'est la raison pour laquelle il est nécessaire de bien réfléchir à la manière de protéger votre entreprise aussi efficacement que possible, en utilisant vos processus et systèmes de sécurité existants, complétés par les nouvelles possibilités de sécurité qu'offre le cloud."
Selon Mohamed El Haddouchi, il est important d'étudier comment faire fonctionner ensemble les différents environnements de cloud en toute sécurité, par le biais d'une architecture de sécurité unique pour l'ensemble de l'environnement multicloud. "Il existe par exemple dans AWS certains éléments de sécurité que nous pouvons utiliser depuis Microsoft Azure. De manière à toujours bénéficier exactement de la même politique de sécurité, à pouvoir effectuer les mêmes contrôles et à recevoir les mêmes rapports, qu'une application fonctionne sur le cloud ou qu'elle fonctionne sur le site."
L'objectif est donc de simplifier l'architecture de sécurité, sans plus avoir à considérer si une application fonctionne sur le cloud ou sur le site. Ceci permet également de mieux maîtriser les coûts de la sécurité. En outre, cela offre une amélioration considérable de la sécurité, car vous pouvez tout voir et contrôler et vous pouvez gérer l'intégralité de l'environnement depuis un point central unique.
Point de contrôle central
Parallèlement à la transition vers le multicloud, des entreprises du côté de l'utilisateur connaissent aussi depuis quelques années une transformation qui a un impact sur la sécurité. En effet, la mobilité est devenue très importante. Les employés utilisent des appareils tels que téléphones, tablettes et ordinateurs portables, parfois même une smartwatch.
"Il y a donc plusieurs types d'appareils par employé. À ceci s'ajoute également l'internet des objets, par exemple des imprimantes, caméras, capteurs et alarmes. Il s'agit au total d'un nombre considérable d'appareils, auxquels nous n'étions pas confrontés auparavant."
Réfléchir à partir de l'identité
Tout est connecté au réseau et a de plus en plus souvent besoin de connectivité avec le cloud. "C'est pour cela que nous devons réfléchir autrement que par le passé", souligne Mohamed El Haddouchi. "On ne plus penser : j'ai un périmètre et j'y empile un certain nombre de couches de sécurité. Avec des pare-feux, une sécurité de point final, peut-être un anti-DDoS, un SIEM et cela suffit. Il faut désormais réfléchir beaucoup plus à l'identité d'un utilisateur."
La sécurité doit donc être entièrement indépendante des appareils utilisés. "Il faut savoir exactement qui est connecté. Peu importe qu'il s'agisse d'un ordinateur, d'un téléphone ou d'une tablette. Seule l'identité compte, la personne utilisant l'appareil et ce qu'elle est autorisée à faire au sein de votre réseau ou de votre environnement. Dans ce cadre, l'identité est cruciale."
Ensuite, il faut pouvoir s'assurer que la personne est effectivement celle qu'elle prétend être, car en cas de vol d'identité ou de mot de passe, aucune utilisation abusive ne doit être possible. Commentaire de Mohamed El Haddouchi : "Dans l'architecture de sécurité, on trouve des solutions pour authentification multi-factorielle, contrôle d'identité, accès privilégié et gestion d'identité. En résumé, tout ce qui vous permet de reconnaître et d'identifier l'utilisateur de l'appareil, pour savoir précisément de qui il s'agit."
Identité et cloud
Pour boucler la boucle, la sécurité du cloud fondée sur l'identité doit correspondre à celle du multicloud. On peut songer à des solutions modernes telles que Cloud Access Security Broker (CASB), explique Mohamed El Haddouchi. "C'est une solution grâce à laquelle, quel que soit l'endroit d'où provient une application ou un utilisateur, vous savez toujours qui est l'utilisateur et ce qu'il fait avec des applications sur le cloud. Cela vous permet également de protéger les données sur site, par cryptage par exemple, donc avant leur envoi vers l'environnement de cloud. Elles ne sont ainsi plus utilisables pour personne si, contre toute attente, un vol a lieu. C'est un élément important à prendre en compte, notamment dans le contexte du Règlement général sur la protection des données."
