Facebook Google Plus Twitter LinkedIn YouTube RSS Menu Search Resource - BlogResource - WebinarResource - ReportResource - Eventicons_066 icons_067icons_068icons_069icons_070

Blog Tenable

S'abonner

Sécurité du cloud : 3 choses que doivent savoir les responsables InfoSec à propos du modèle de responsabilité partagée

Que vous entamiez tout juste votre transition vers le cloud ou que vous ayez des années de déploiement à votre actif, cela vaut la peine de prendre le temps de vous assurer que vous savez quels aspects de la sécurité du cloud sont du ressort de votre fournisseur de services cloud et lesquels incombent à votre département de sécurité.

Alors que l'année 2020 s'achève, partout dans le monde des entreprises sont forcées de constater que les changements rapides effectués quelques mois plus tôt pour faire face à la pandémie de Covid-19 pourraient bien perdurer. Pour certaines, cela pourrait se traduire par un choix stratégique : miser sur l'utilisation des services cloud, tels que l'infrastructure en tant que service (IaaS), la plateforme en tant que service (PaaS) et le logiciel en tant que service (SaaS). 

Les avantages de la transition vers le cloud sont évidents dans le contexte actuel. En effet, il est essentiel de fournir aux employés un accès à distance aux données et aux outils dont ils ont impérativement besoin pour faire leur travail afin de préserver l'activité de l'entreprise. Plus tôt dans l'année, une étude mondiale menée par Forrester Consulting pour le compte de Tenable a révélé que près des deux tiers des entreprises (64 %) ont recours au télétravail. Cette étude met également en lumière un mélange complexe de technologies et de services gérés par les 416 responsables sécurité interrogés, notamment le cloud public (41 %), le cloud privé (45 %) et un environnement hybride (39 %). Alors qu'il est toujours aussi nécessaire de disposer d'équipes à distance totalement opérationnelles, nous anticipons que davantage d'entreprises compléteront leurs portefeuilles cloud en 2021 et au-delà.

Que vous entamiez tout juste votre transition vers le cloud ou que vous ayez des années de déploiement à votre actif, cela vaut la peine de prendre le temps de vous assurer que vous savez quels aspects de la sécurité du cloud sont du ressort de votre fournisseur de services cloud et lesquels incombent à votre département de sécurité. Comme souvent dans le domaine des technologies de l'information (IT), les réponses peuvent varier considérablement selon le type de technologie cloud que vous déployez. Voici un exemple rapide de ce que peut être un modèle de responsabilité partagée pour trois grands niveaux de cloud computing, d'après les informations de la Cloud Security Alliance :

  • IaaS : dans ce mode, c'est le fournisseur de services cloud qui se charge de la sécurité de la virtualisation et de l'infrastructure. D'autres aspects tels que la sécurité des données, des middlewares et des hôtes, ainsi que la sécurité applicative, incombent au client qui utilise l'IaaS. Pour résumer, les utilisateurs sont responsables du système d'exploitation invité et de tout ce qui s'y trouve. 
  • PaaS : dans ce mode, le fournisseur de services cloud a une responsabilité plus étendue. Il est notamment chargé de la configuration de la sécurité, de sa gestion, de la surveillance opérationnelle et des interventions en cas d'urgence pour l'infrastructure. Il est responsable également de la sécurité des réseaux virtuels, de celle de la couche de la plateforme (ce qui inclut les systèmes d'exploitation et les bases de données par exemple) et de celle des systèmes d'applications. Le client est quant à lui responsable de la sécurité des données et de la sécurité applicative.
  • SaaS : dans ce mode, le fournisseur de services cloud est responsable de la sécurité de l'application et des composants sous-jacents. Le client est quant à lui responsable de la sécurité des données et de la protection des appareils qui constituent des points de terminaison.

L'exemple ci-dessous, provenant de Microsoft, illustre un modèle de responsabilité partagée typique :

sécurité du cloud et modèle de responsabilité partagée

Source de l'image : https://docs.microsoft.com/fr-fr/azure/security/fundamentals/shared-responsibility

Alors qu'à première vue le modèle de responsabilité partagée peut sembler plutôt simple, les professionnels de la sécurité doivent s'attendre à des nuances considérables dans chaque mode. Par exemple, la gestion des vulnérabilités pour des modèles de déploiement IaaS peut se révéler particulièrement difficile et chronophage. Les équipes de sécurité ont besoin d'un inventaire complet des clouds privés virtuels et des pipelines d'images Elastic Compute 2 (EC2) pour commencer. Des scanners et des agents doivent être configurés, installés et gérés en continu pour intégrer les mises à jour. Les détections des nouvelles vulnérabilités peuvent prendre du retard pendant plusieurs semaines. Et comme si ce n'était pas déjà assez difficile, une multitude d'angles morts existent encore en raison de comptes cloud inconnus et d'environnements cloud dynamiques qui changent constamment. 

Autre préoccupation pour les professionnels de la sécurité : ils doivent avoir conscience que la sécurité de l'infrastructure de stockage relève de la responsabilité du fournisseur de services cloud, mais que les utilisateurs ont aussi un impact important. Les mauvaises configurations, qu'elles concernent les compartiments S3 ou les instances EC2, sont la principale cause des failles de sécurité.

D'autre part, les détails de la responsabilité partagée peuvent varier selon que vous utilisez Amazon Web Services (AWS), Google Cloud Platform (GCP) ou Microsoft Azure comme fournisseur de services cloud. Outre les informations fournies par la Cloud Security Alliance (CSA), vous disposez également des ressources du Center for Internet Security (CIS) pour mieux comprendre le rôle de votre équipe de sécurité. 

Responsabilité partagée dans le cloud : 3 choses que doivent savoir les responsables de la cyber-sécurité

D'après l'étude sur le cloud computing menée par IDG en 2020 auprès de 551 décideurs IT, la grande majorité d'entre eux (81 %) utilisent déjà une infrastructure informatique ou des applications dans le cloud, tandis que 12 % prévoient d'adopter des applications basées dans le cloud dans les 12 prochains mois. Si tel est votre cas, voici ce que vous devez retenir à propos du modèle de responsabilité partagée :

  1. Malgré une répartition apparemment égale, une part non négligeable de responsabilités, de mises en œuvre et de tâches liées à la protection de la surface d'attaque incombe toujours au client. Ne sous-estimez pas le temps et les ressources que vous demandera chaque déploiement cloud, sans oublier les formations nécessaires à votre équipe pour être opérationnelle.

  2. Certaines catégories d'audit et de contrôles de conformité sont plus faciles si vous passez au cloud, grâce aux contrôles hérités du fournisseur cloud. Les contrôles en question peuvent inclure la gestion des correctifs et des configurations, et se traduire par des économies appréciables. Alors que votre équipe InfoSec devrait piloter cette stratégie, il est important qu'elle interagisse avec d'autres groupes clés de votre entreprise, en particulier avec les départements chargés de la gouvernance, de la gestion des risques et de la conformité et avec les services juridiques. L'équipe d'audit interne peut être très utile. Selon un rapport Deloitte de 2018, « alors qu'un groupe chargé de la sécurité de l'information dans l'entreprise peut développer des capacités de surveillance cloud, [l'équipe d'audit interne] peut apporter sa contribution et évaluer l'efficacité de l'environnement de contrôle et éviter que l'IT soit tenu à l'écart ». 

  3. Ne partez pas du principe que le fournisseur cloud est le seul responsable en cas de faille de sécurité. Même s'il est établi qu'il est en faute, les répercussions peuvent tout de même atteindre vos clients et votre entreprise pourrait être citée, et des poursuites engagées dans le cadre d'une action collective. Dans de nombreuses juridictions, la responsabilité juridique incombe au propriétaire des données (c'est-à-dire à l'entreprise qui utilise les services cloud) plutôt qu'au fournisseur cloud lui-même. Autrement dit, restez vigilant. Prêter attention à votre rôle dans le modèle de responsabilité partagée peut faire plus qu'assurer la sécurité de vos données. Cela peut aussi protéger votre entreprise en cas de poursuites.


Selon une estimation de Forrester, en 2021, « le cloud computing va déterminer la façon dont les entreprises s'adapteront à l'instabilité, devenue la nouvelle norme ». Il est temps maintenant d'évaluer attentivement les solutions cloud mises en place à la hâte quelques mois plus tôt et de revoir les services qui étaient déjà en place depuis un moment afin de vous assurer que vous respectez bien toutes vos obligations de sécurité d'après le modèle de responsabilité partagée. 

Pour en savoir plus :

Articles connexes

Des actualités décisives sur la cyber-sécurité

Saisissez votre adresse e-mail et ne manquez plus aucune alerte ni aucun conseil en matière de sécurité de la part de nos experts Tenable.

Tenable Vulnerability Management

Bénéficiez d'un accès complet à une plateforme cloud moderne de gestion des vulnérabilités qui vous permet de visualiser l'ensemble de vos assets et d'en assurer le suivi avec une précision inégalée.

Les essais de Tenable Vulnerability Management créés partout (excepté aux Émirats arabes unis) incluent Tenable Lumin et Tenable Web App Scanning.

Tenable Vulnerability Management

Bénéficiez d'un accès complet à une plateforme de gestion des vulnérabilités moderne hébergée dans le cloud qui vous permet de consulter l'ensemble de vos assets et d'en assurer le suivi, tout en bénéficiant d'une précision inégalée. Souscrivez votre abonnement annuel dès aujourd'hui.

100 assets

Sélectionnez votre option d'abonnement :

Acheter maintenant

Tenable Vulnerability Management

Bénéficiez d'un accès complet à une plateforme cloud moderne de gestion des vulnérabilités qui vous permet de visualiser l'ensemble de vos assets et d'en assurer le suivi avec une précision inégalée.

Les essais de Tenable Vulnerability Management créés partout (excepté aux Émirats arabes unis) incluent Tenable Lumin et Tenable Web App Scanning.

Tenable Vulnerability Management

Bénéficiez d'un accès complet à une plateforme de gestion des vulnérabilités moderne hébergée dans le cloud qui vous permet de consulter l'ensemble de vos assets et d'en assurer le suivi, tout en bénéficiant d'une précision inégalée. Souscrivez votre abonnement annuel dès aujourd'hui.

100 assets

Sélectionnez votre option d'abonnement :

Acheter maintenant

Tenable Vulnerability Management

Bénéficiez d'un accès complet à une plateforme cloud moderne de gestion des vulnérabilités qui vous permet de visualiser l'ensemble de vos assets et d'en assurer le suivi avec une précision inégalée.

Les essais de Tenable Vulnerability Management créés partout (excepté aux Émirats arabes unis) incluent Tenable Lumin et Tenable Web App Scanning.

Tenable Vulnerability Management

Bénéficiez d'un accès complet à une plateforme de gestion des vulnérabilités moderne hébergée dans le cloud qui vous permet de consulter l'ensemble de vos assets et d'en assurer le suivi, tout en bénéficiant d'une précision inégalée. Souscrivez votre abonnement annuel dès aujourd'hui.

100 assets

Sélectionnez votre option d'abonnement :

Acheter maintenant

Essayez Tenable Web App Scanning

Profitez d'un accès complet à notre dernière offre de scan des applications web conçue pour les applications modernes dans la plateforme de gestion de l'exposition Tenable One. Scannez l'ensemble de votre portefeuille en toute sécurité et avec une grande précision, sans effort manuel important ni interruption des applications web stratégiques. Abonnez-vous dès maintenant.

Votre essai de Tenable Web App Scanning inclut également Tenable Vulnerability Management et Tenable Lumin.

Acheter Tenable Web App Scanning

Bénéficiez d'un accès complet à une plateforme de gestion des vulnérabilités moderne hébergée dans le cloud qui vous permet de consulter l'ensemble de vos assets et d'en assurer le suivi, tout en bénéficiant d'une précision inégalée. Souscrivez votre abonnement annuel dès aujourd'hui.

5  FQDN

3 578,00 $

Acheter maintenant

Essayer Tenable Lumin

Visualisez et explorez votre gestion de la cyber-exposition, suivez la réduction des risques au fil du temps et comparez-la à celle des autres entreprises avec Tenable Lumin.

Votre essai de Tenable Lumin inclut également Tenable Vulnerability Management et Tenable Web App Scanning.

Acheter Tenable Lumin

Contactez un commercial pour découvrir comment Lumin peut vous permettre d'obtenir des informations exploitables sur l'ensemble de votre entreprise et de gérer votre cyber-risque.

Essayer gratuitement Tenable Nessus Professional

GRATUIT PENDANT 7 JOURS

Tenable Nessus est aujourd'hui le scanner de vulnérabilités le plus complet du marché.

NOUVEAU - Tenable Nessus Expert
Maintenant disponible

Nessus Expert offre encore plus fonctionnalités, comme les scans de surface d'attaque externe, et la possibilité d'ajouter des domaines et de scanner l'infrastructure cloud. Cliquez ici pour essayer Nessus Expert.

Remplissez le formulaire ci-dessous pour profiter d'un essai de Nessus Pro.

Acheter Tenable Nessus Professional

Tenable Nessus est aujourd'hui le scanner de vulnérabilités le plus complet du marché. Tenable Nessus Professional vous permet d'automatiser le processus de scan des vulnérabilités, d'écourter les cycles de mise en conformité et de mieux tirer parti de votre équipe informatique.

Achetez une licence pluriannuelle et faites des économies. Ajoutez l'assistance avancée pour bénéficier de l'accès 24 h/24 et 7 j/7 à une assistance par téléphone, via la communauté et via le chat.

Sélectionnez votre licence

Achetez une licence pluriannuelle et faites des économies.

Ajoutez une assistance et une formation

Essayer gratuitement Tenable Nessus Expert

GRATUIT PENDANT 7 JOURS

Conçu pour la surface d'attaque moderne, Nessus Expert vous permet de bénéficier d'une meilleure visibilité et de protéger votre entreprise des vulnérabilités issues de l'IT, comme du cloud.

Vous avez déjà Nessus Professional de Tenable ?
Passez à Nessus Expert gratuitement pendant 7 jours.

Acheter Tenable Nessus Expert

Conçu pour la surface d'attaque moderne, Nessus Expert vous permet de bénéficier d'une meilleure visibilité et de protéger votre entreprise des vulnérabilités issues de l'IT, comme du cloud.

Sélectionnez votre licence

Achetez une licence pluriannuelle pour économiser davantage.

Ajoutez une assistance et une formation