Actualités

Cloud : Nouveaux usages, nouveaux dangers

Adoption du cloud : Nouvelles problématiques pour les entreprises

30/10/2017

Cloud : nouveaux usages, nouveaux dangers

De bonne grâce ou par obligation, les entreprises sont de plus en plus nombreuses à adopter le cloud. Une pratique qui les oblige à une très grande vigilance vis-à-vis des dangers qu’elle induit.

Que ce soit pour des motifs économiques, pratiques ou les deux à la fois, le cloud gagne peu à peu sa place dans toutes les entreprises. Pour des raisons de mobilité accrue, notamment, il sera demain encore plus indispensable. Mais avec ce mode d’hébergement en ligne de données, d’applications ou de logiciels, apparaissent des menaces inhérentes et relativement nouvelles, même si elles ne sont souvent, au fond, que la transposition d’attaques qui existaient avant l’arrivée du cloud. En 2016, la Cloud Security Alliance, association qui regroupe les acteurs majeurs du secteur, a recensé les principaux dangers.

La mauvaise gestion des accès

La mobilité oblige les DSI à mettre en ligne un certain nombre de données ; ils doivent d’abord veiller à compartimenter, c’est-à-dire d’une part à ne pas diffuser ce qui ne servira pas aux collaborateurs à distance, et surtout à individualiser. Tel type de données servira à tel collaborateur, tel type à tel autre, etc. Ainsi, si un intrus arrive à accéder au cloud par le biais d’un identifiant volé, il n’aura pas accès à tout. Mais il y a aussi des précautions à prendre pour s’assurer, précisément, que celui qui accède au cloud est bien celui qu’il prétend être. Identifiant et mot de passe ne suffisent plus, on peut y ajouter des smartcards, sortes de carte à puces à intégrer dans des petits terminaux dédiés. On peut aussi penser à une authentification doublée par l’envoi d’un SMS, par exemple, autre outil bien connu des utilisateurs des banques en ligne.

Les brèches de sécurité

Aucun spécialiste du cloud ne peut garantir le risque zéro dans son datacenter. Mais tous peuvent prendre un maximum de précautions pour limiter les dangers. À commencer par le chiffrement des données, base indispensable. La plupart des fournisseurs de cloud sont assez transparents sur leur sécurité, c’est ensuite aux DSI de définir le niveau dont ils ont besoin, et accessoirement le prix qu’ils souhaitent y mettre.

L’utilisation de logiciels ou d’applications non sécurisés

Tous les logiciels et toutes les applications n’ont pas vocation à aller sur le cloud. Certains sont mal sécurisés, ou pas du tout, et mettent en danger l’ensemble du système. Il faut donc se tourner vers des solutions dédiées, et les mettre à jour très régulièrement.

L’incident dans le datacenter

Une action malveillante peut toujours survenir chez le fournisseur, mais ce sont surtout les incidents qui ne sont pas de sa responsabilité directe qui inquiètent. Une attaque, virtuelle ou physique, occasionnant un vol, une inondation par exemple peuvent entraîner une perte de données pour l’entreprise. La parade, que la plupart des DSI peuvent mettre en place, est très simple : il convient de copier les données les plus sensibles sur un support « physique » en sécurité à l’intérieur de sa propre entreprise.

Le déni de service

Là encore, cette attaque est vieille comme le net — ou presque. Elle consiste à rendre indisponible un service en surchargeant ses ressources. Et là encore, seule une sauvegarde des données et des applications et logiciels dans l’entreprise peuvent permettre d’attendre la résolution de l’attaque, mais en ne permettant, du coup, qu’un accès « physique ». Ce qui peut très handicapant pour une entreprise à un moment précis, qui pourrait justement être ciblé en amont par des pirates.