Durant la pandémie de Covid-19, l’adoption du Cloud Computing a fait l’objet d’une accélération et d’une évolution considérables, tout comme les menaces de sécurité auxquelles les entreprises sont confrontées.De nos jours, la plupart des organisations utilisent différents types de Cloud Computing. Les entreprises exploitent des infrastructures de Clouds privées et des Clouds publics (qu’elles partagent entre elles), puis combinent ces technologies avec des solutions sur site plus traditionnelles.

Selon le cabinet d’études Gartner, les environnements hybrides, multiclouds et Edge Computing se développent et préparent le terrain aux nouveaux modèles de Cloud distribué.

D’après les prévisions, les dépenses des utilisateurs finaux pour les services Cloud publics ont atteint 396 milliards de dollars en 2021 et devraient augmenter de 22 % pour atteindre 482 milliards de dollars en 2022.

D’ici 2026, les dépenses pour le Cloud public devraient dépasser 45 % des dépenses IT de l’entreprise, contre moins de 17 % en 2021.

D’après l’étude européenne réalisée à la demande de Dell Technologies et de VMware, l’adoption d’une approche hybride du Cloud Computing peut présenter de nombreux avantages, y compris l’amélioration de l’expérience client, l’optimisation de la maîtrise du coût de possession technologique et le renforcement de la croissance.

Pour Bart Mellenbergh, EMEA Director, Customer Centric Cloud & Containers chez Dell Technologies, le multicloud permet aux sociétés d’accéder facilement à l’intégralité des services disponibles dans un ensemble de Clouds publics tout en leur laissant le choix d’utiliser des fonctions sur site pour l’exécution de services spécifiques.

Et d’affirmer : « Il est réellement question d’utiliser des plates-formes correctement gérées de sorte à bénéficier d’un large éventail de choix et d’opportunités pour innover plus rapidement et plus efficacement, sans renoncer au contrôle des niveaux de service ou, par suite logique, des données. »

La sécurisation d’un ensemble disparate de technologies Cloud peut toutefois s’avérer épineuse.

• Attaques par déni de service distribué
• Fuite de données
• Collaborateurs malveillants
• Chiffrement insuffisant (lors des transferts de données entre différents Clouds)
• Protection du périmètre

Les risques de sécurité liés au Cloud Computing hybride englobent les « attaques par déni de service distribué » (lorsque le cybercriminel inonde le système IT de cyberattaques et le submerge), les fuites de données, les collaborateurs malveillants, le chiffrement insuffisant (lors des transferts de données entre différents Clouds) et la protection peu regardante du périmètre.

Le coût des failles de sécurité ne cesse d’augmenter, tant en matière de finances que de réputation.

L’étude révèle également que ce coût augmente de 19 % lorsque la violation de données cible un projet de migration vers le Cloud.

Comment les DSI peuvent-ils réduire les risques de sécurité liés au Cloud hybride ?

Défi numéro un : évaluer les risques de cybersécurité

Identifiez les risques inconnus ou non détectés des charges applicatives et accélérez la récupération en consolidant la résilience des charges applicatives Cloud. Unifiez l’atténuation des risques au niveau des charges applicatives, des points de terminaison et des conteneurs de sorte à simplifier la sécurité. Efforcez-vous d’identifier l’intégralité des risques liés aux charges applicatives Cloud (pour tous les angles et tous les vecteurs d’attaque) et utilisez un système d’enregistrement commun pour assurer leur gestion.

Pour Bart Mellenbergh, « dans le Cloud hybride, la surface d’attaque potentielle s’élargit ». « Dans le cas tout simple d’une infrastructure sur site qui utilise un ou plusieurs services Cloud publics, un composant de gestion réseau supplémentaire est utilisé pour connecter le système sur site aux Clouds publics. »

« Les composantes et la surface d’exposition aux cyberattaques correspondante ne diffèrent pas de celles d’un système local, mais comportent davantage de points d’entrée ».

Et d’ajouter, « ainsi, la connexion WAN aujourd’hui nécessaire pour exécuter le système logiciel d’un Cloud hybride permet d’attaquer l’installation sur site depuis l’extérieur du pare-feu d’entreprise. En outre, la simple sécurisation des composantes ne suffit pas à protéger l’intégralité de l’installation lorsque celles-ci sont connectées à un système qui nécessite toujours des connexions (et, en général, des composants de gestion réseau WAN « invisibles ») pour déployer l’installation à partir des éléments constitutifs, lesquels doivent également être sécurisés ».

Défi numéro deux : rationaliser la sécurité du Cloud

Restez simple. Il s’agit de déployer une sécurité unifiée conçue pour le Cloud avec mise en œuvre uniforme, indépendamment de l’emplacement des charges applicatives. L’adoption d’une gestion unifiée du cycle de vie au niveau des Clouds, des charges applicatives et des conteneurs permet de déployer une politique de sécurité et une stratégie d’atténuation des risques à la fois homogènes et étendues.

Pour Bill Roth, Director, Cloud Economics chez VMware, « le principal enjeu de cybersécurité en lien avec l’adoption d’une approche de Cloud hybride consiste à s’assurer que toutes les composantes sont sur la même longueur d’onde et respectent les mêmes procédures. La moindre divergence entre méthodes et procédures de sécurité ouvre la voie aux pirates ».

Utiliser une plate-forme unifiée pour la gestion des failles de sécurité, l’audit et les mesures correctives, ou encore la détection et la réponse au niveau des points de terminaison (EDR), c’est simplifier la sécurité des charges applicatives et encourager la collaboration entre IT Ops, SecOps et DevOps.

Il est également possible de sous-traiter la gestion et la sécurité de votre infrastructure Cloud hybride.

Défi numéro trois : se préparer au pire

Pour Garry Owen, Senior Solution Product Manager chez Vmware, la sécurité ne doit pas constituer un simple ajout à un périmètre réseau théorique, mais plutôt s’inscrire comme une composante intrinsèque de tous les éléments de l’infrastructure IT (y compris du Cloud).

Les sociétés doivent revoir leur approche de la cybersécurité.

Et d’ajouter, « elle ne doit plus porter sur une exclusion des menaces coûte que coûte. En effet, la nature de l’environnement des menaces modernes implique une violation quasi systématique. À l’ère du Cloud et alors qu’elle tend vers la prévention des violations, la sécurité moderne doit avant tout porter sur une détection rapide, en temps réel, des violations et des attaques, et l’atténuation quasi instantanée des menaces ».

Défi numéro quatre : renforcer la résilience de l’IT

Les modèles traditionnels de sécurité des informations utilisent une architecture de sécurisation du périmètre (dite « castle-and-moat ») où le réseau et le datacenter de l’entreprise se trouvent derrière les pare-feu qui protègent l’enceinte.

Comme Gartner le souligne, « tout élément situé à l’extérieur est jugé non fiable ; tout élément situé à l’intérieur est jugé fiable ».

Une autre approche de la sécurité IT gagne en popularité. Connue sous le nom de « Zero-Trust », elle consiste à faire uniquement confiance aux utilisateurs ou aux appareils qui ont été vérifiés. L’organisation peut dans un premier temps appliquer ce modèle « Zero-Trust » au réseau d’entreprise, puis l’étendre au Cloud hybride.

« Commencez par un modèle Zero-Trust, puis déployez uniquement les accès nécessaires », poursuit Garry Owen.

À l’heure où les organisations qui choisissent une approche flexible et pragmatique de l’infrastructure IT se multiplient, le marché du Cloud hybride devrait continuer à se développer. Repenser la sécurité Cloud, appliquer les pratiques d’excellence du secteur et sous-traiter une partie de la gestion et de la sécurité Cloud à des fournisseurs privilégiés : autant de procédés qui permettent aux organisations d’optimiser les avantages de leur Cloud tout en réduisant les perturbations.

En savoir plus sur la façon dont Dell et VMware allient la simplicité et l’agilité du Cloud public avec la sécurité des infrastructures sur site.