TL;DR

• La sécurité cloud, aussi appelée sécurité infonuagique, vise à protéger les données, les comptes, les applications et les ressources utilisées dans le nuage informatique.
• L’utilisation d’un fournisseur de services infonuagiques ne transfère pas automatiquement toute la responsabilité de la sécurité à celui-ci.
• Les mauvaises configurations, les autorisations excessives et les comptes compromis font partie des risques importants à surveiller.
• Une bonne gestion des identités et des accès permet de limiter ce que chaque utilisateur peut consulter ou modifier.
• L’authentification multifacteur (AMF), appelée MFA en anglais, ajoute une protection supplémentaire au-delà du mot de passe.
• Les organisations doivent également protéger leurs données, gérer leurs sauvegardes et surveiller les activités inhabituelles.
• Le modèle de responsabilité partagée permet de comprendre ce qui relève du fournisseur de services infonuagiques et ce qui demeure sous la responsabilité de l’organisation.

Stocker des documents dans un espace partagé, utiliser un logiciel de gestion accessible en ligne ou permettre aux employés de travailler à distance fait désormais partie du quotidien de nombreuses organisations québécoises.

Ces outils reposent souvent sur l’infonuagique, couramment appelée cloud computing en anglais.

L’infonuagique peut faciliter la collaboration, rendre les ressources accessibles à partir de différents endroits et réduire la nécessité de maintenir certaines infrastructures informatiques sur place. Mais déplacer des données ou des applications dans le nuage informatique ne signifie pas que leur sécurité devient automatiquement la responsabilité du fournisseur.

La sécurité cloud, ou sécurité infonuagique, repose justement sur la capacité d’une organisation à comprendre ce qu’elle doit protéger, à configurer correctement ses services et à gérer les accès de manière appropriée.

Pour une PME qui commence à utiliser davantage de services infonuagiques, quelques principes permettent déjà de mieux maîtriser les risques.

Qu’est-ce que la sécurité cloud?

La sécurité cloud, ou cloud security, désigne l’ensemble des pratiques, technologies et contrôles utilisés pour protéger les données, applications, comptes et infrastructures hébergés ou accessibles dans le cloud.

Un environnement cloud peut prendre différentes formes.

Une entreprise peut notamment utiliser :

• une plateforme de stockage de fichiers;
• une suite collaborative pour les courriels et les documents;
• un logiciel de comptabilité accessible en ligne;
• un système de gestion de la relation client;
• des serveurs virtuels;
• des outils utilisés par des employés en télétravail.

La cloud computing security ne concerne donc pas uniquement les grandes infrastructures technologiques.

Une PME qui utilise quelques applications en ligne possède déjà une certaine présence dans le cloud.

Et dès qu’une organisation stocke des informations ou donne accès à des systèmes à partir d’Internet, elle doit réfléchir à la façon dont ces ressources sont protégées.

Pourquoi la sécurité cloud est-elle importante pour les PME québécoises?

Une petite organisation peut être tentée de penser que le fournisseur cloud s’occupe automatiquement de tout.

En réalité, la sécurité repose souvent sur une combinaison de responsabilités.

Le Centre canadien pour la cybersécurité explique que, dans un environnement cloud, le fournisseur et l’organisation cliente sont responsables de différentes composantes de la sécurité. L’entreprise demeure notamment responsable de certains risques et doit comprendre l’efficacité de ses propres contrôles ainsi que ceux du fournisseur.

Prenons un exemple simple.

Une PME montréalaise utilise une plateforme de stockage en ligne pour conserver :

• des contrats;
• des informations clients;
• des documents financiers;
• des dossiers internes.

Le fournisseur cloud peut sécuriser ses centres de données et son infrastructure.

Mais si l’entreprise rend accidentellement un dossier accessible à tout le monde, attribue les mêmes droits d’administrateur à tous ses employés ou conserve le compte d’un ancien employé actif, le problème peut provenir de sa propre configuration.

C’est pourquoi la cybersécurité cloud dépend autant de la technologie que de la façon dont celle-ci est utilisée.

1. Les mauvaises configurations cloud

L’une des notions importantes à comprendre lorsqu’on débute en sécurité cloud est la mauvaise configuration, parfois recherchée sous le terme cloud misconfiguration.

Une mauvaise configuration survient lorsqu’un service cloud est paramétré d’une manière qui expose inutilement des ressources ou crée un risque.

Par exemple :

un dossier confidentiel peut être rendu public;

un compte peut recevoir des droits d’administration dont il n’a pas besoin;

un service peut être accessible depuis Internet alors qu’il devrait être limité;

une fonctionnalité de sécurité peut rester désactivée;

des paramètres par défaut peuvent ne pas correspondre aux besoins réels de l’entreprise.

La mauvaise configuration ne signifie pas nécessairement que le fournisseur cloud présente une vulnérabilité.

Le service peut fonctionner exactement comme prévu, mais avoir été configuré de manière trop permissive.

Le National Cyber Security Centre du Royaume-Uni rappelle que les clients d’un service cloud demeurent responsables de la configuration sécuritaire des services qu’ils choisissent d’utiliser.

Exemple pratique

Une entreprise crée un espace de stockage pour partager des documents avec trois fournisseurs externes.

Pour gagner du temps, elle choisit l’option permettant à toute personne possédant le lien d’y accéder.

Quelques mois plus tard, d’autres documents confidentiels sont ajoutés dans le même espace.

Le problème ne vient pas forcément d’une intrusion sophistiquée.

Il vient simplement d’un paramètre de partage trop large.

C’est précisément ce type de situation qu’une bonne pratique de sécurité cloud cherche à prévenir.

2. La gestion des identités et des accès

Une deuxième composante essentielle concerne l’Identity and Access Management, souvent abrégé IAM.

En termes simples, la gestion des identités et des accès permet de déterminer :

Qui peut accéder à quoi?

Chaque personne ne devrait normalement disposer que des permissions dont elle a besoin pour accomplir son travail.

Un employé chargé du marketing n’a probablement pas besoin d’administrer l’infrastructure informatique.

Un fournisseur temporaire n’a pas nécessairement besoin d’avoir accès à tous les dossiers internes.

Un ancien employé ne devrait plus pouvoir se connecter après son départ.

Le Centre canadien pour la cybersécurité indique que les responsabilités liées à la gestion des identités et des accès peuvent inclure la création et la suppression des identités, la gestion des rôles ainsi que le contrôle de l’accès aux ressources.

Appliquer le principe du moindre privilège

Une pratique courante consiste à donner à un utilisateur uniquement les permissions nécessaires.

Il vaut donc mieux éviter :

« Tout le monde est administrateur, ce sera plus simple. »

Ce genre de raccourci est pratique… jusqu’au jour où il ne l’est vraiment plus.

Une meilleure approche consiste à distinguer plusieurs niveaux d’accès :

• utilisateur;
• gestionnaire;
• administrateur;
• fournisseur externe;
• compte de service.

Les permissions peuvent ensuite être adaptées aux fonctions réelles de chaque personne.

3. Les comptes compromis

Dans un environnement cloud, l’identité d’un utilisateur devient souvent une porte d’entrée vers plusieurs services.

Une même personne peut accéder à :

• ses courriels;
• ses documents;
• son calendrier;
• ses outils collaboratifs;
• certaines applications organisationnelles.

Si son compte est compromis, l’attaquant peut potentiellement accéder à plusieurs ressources.

Un mot de passe seul offre donc une protection limitée, particulièrement s’il est réutilisé ou obtenu lors d’une tentative d’hameçonnage.

C’est pourquoi la protection des identités occupe une place centrale dans la cybersécurité cloud.

4. Pourquoi utiliser l’authentification multifacteur?

L’authentification multifacteur, ou MFA, ajoute une étape supplémentaire lors de la connexion.

Au lieu de demander uniquement :

« Quel est votre mot de passe? »

le système vérifie également un autre facteur.

Cela peut être, par exemple :

• une application d’authentification;
• une clé de sécurité;
• une caractéristique biométrique;
• un appareil déjà enregistré.

L’objectif est simple : même si quelqu’un obtient le mot de passe, il ne dispose pas forcément du deuxième facteur nécessaire pour accéder au compte.

Le Centre canadien pour la cybersécurité recommande le recours à une MFA résistante à l’hameçonnage pour renforcer la sécurité des identités cloud et souligne que certaines méthodes modernes offrent une meilleure protection que les mécanismes d’authentification traditionnels.

Pour une PME, activer l’authentification multifacteur sur les comptes importants constitue donc une mesure particulièrement utile.

Les comptes administrateurs devraient recevoir une attention particulière.

5. La protection des données stockées dans le cloud

Les données demeurent souvent l’un des actifs les plus importants d’une organisation.

Avant de transférer de l’information vers le cloud, une entreprise devrait donc se demander :

Quelles données seront stockées?

Qui pourra y accéder?

Sont-elles confidentielles?

Pendant combien de temps faut-il les conserver?

Comment seront-elles supprimées lorsqu’elles ne seront plus nécessaires?

Comment seront-elles récupérées en cas de problème?

Le Centre canadien pour la cybersécurité rappelle que les organisations utilisant des services cloud demeurent responsables de la confidentialité, de l’intégrité et de la disponibilité de leurs informations, même lorsqu’une partie de l’environnement est exploitée par un fournisseur.

Le chiffrement

Le chiffrement permet de rendre les données illisibles sans la clé ou le mécanisme approprié.

Les fournisseurs cloud proposent souvent des mécanismes permettant de chiffrer les informations :

• lorsqu’elles sont stockées;
• lorsqu’elles circulent entre systèmes.

Cependant, l’entreprise doit comprendre quelles fonctions sont disponibles et comment elles doivent être configurées.

Le fait qu’une option existe ne signifie pas nécessairement qu’elle est activée ou configurée exactement selon les besoins de l’organisation.

6. Les sauvegardes restent nécessaires

Le cloud et la sauvegarde ne sont pas nécessairement synonymes.

Une plateforme peut offrir une excellente disponibilité tout en ne répondant pas à tous les besoins d’une organisation en matière de récupération.

Par exemple, un utilisateur autorisé peut supprimer accidentellement des fichiers.

Un compte compromis peut aussi entraîner des modifications ou suppressions.

Une organisation devrait donc déterminer :

• quelles données doivent être sauvegardées;
• à quelle fréquence;
• pendant combien de temps;
• où les copies sont conservées;
• comment elles pourraient être restaurées.

Il est également important de tester les mécanismes de récupération.

Une sauvegarde dont personne ne sait vérifier le fonctionnement n’apporte qu’un réconfort assez théorique.

7. Surveiller les activités dans les environnements cloud

La protection du cloud ne consiste pas uniquement à empêcher les accès non autorisés.

Il faut également être capable de détecter une activité inhabituelle.

Les plateformes cloud peuvent générer différents journaux permettant de suivre :

• les connexions;
• les modifications de comptes;
• les changements de permissions;
• certaines opérations administratives;
• l’accès à des ressources.

Ces informations peuvent aider une organisation à repérer un comportement inattendu.

Le Centre canadien pour la cybersécurité recommande notamment que les services cloud permettent la journalisation des accès et que les périodes de conservation soient suffisantes pour soutenir les activités d’audit et de sécurité.

Pour un débutant, il n’est pas nécessaire de transformer immédiatement chaque événement en alerte complexe.

L’essentiel est d’abord de s’assurer que les journaux nécessaires existent et qu’une personne sait où les consulter.

Qu’est-ce que le modèle de responsabilité partagée?

Le modèle de responsabilité partagée constitue l’une des notions fondamentales de la sécurité cloud.

Il décrit la répartition des responsabilités entre :

le fournisseur de services cloud

et

l’organisation qui utilise ces services.

Le fournisseur protège généralement certains éléments de l’infrastructure cloud.

L’organisation doit de son côté gérer certains aspects liés à son utilisation du service.

La répartition exacte varie toutefois selon le type de service utilisé.

SaaS

Le Software as a Service, ou SaaS, correspond aux applications complètes accessibles en ligne.

Dans ce modèle, le fournisseur gère une grande partie de l’environnement technique.

L’organisation demeure toutefois responsable notamment de ses utilisateurs, de certaines configurations, des accès et de ses données.

PaaS

Avec le Platform as a Service, le fournisseur prend en charge davantage d’éléments d’infrastructure et de plateforme, tandis que l’organisation conserve notamment des responsabilités concernant ses applications, ses utilisateurs et ses données.

IaaS

Dans un environnement Infrastructure as a Service, l’organisation contrôle une plus grande partie de l’environnement.

Elle possède donc davantage de responsabilités en matière de configuration et de sécurité.

Le Centre canadien pour la cybersécurité résume cette répartition ainsi : en IaaS, l’organisation cliente assume notamment des responsabilités concernant les utilisateurs, les données, les applications et la plateforme; en PaaS, les utilisateurs, données et applications; et en SaaS, principalement les utilisateurs et les données.

Le principe à retenir

Le cloud ne signifie pas :

« Le fournisseur s’occupe de la sécurité. »

Il signifie plutôt :

« Certaines responsabilités sont confiées au fournisseur et d’autres restent entre vos mains. »

Comprendre cette distinction constitue une base essentielle avant d’utiliser un nouveau service.

Un exemple de responsabilité partagée dans une PME

Imaginons une entreprise québécoise qui utilise un logiciel de gestion des clients accessible en ligne.

Le fournisseur peut notamment être responsable de :

• l’infrastructure physique;
• certains éléments de la plateforme;
• la disponibilité du service;
• plusieurs contrôles techniques sous-jacents.

L’entreprise cliente peut toutefois être responsable de :

• créer et supprimer les comptes;
• déterminer les permissions;
• activer la MFA;
• protéger les identifiants;
• choisir les informations qu’elle téléverse;
• vérifier les paramètres de partage;
• surveiller certains accès.

Si un ancien employé conserve son compte actif pendant six mois, la présence d’un centre de données extrêmement sécurisé ne résout pas le problème.

La faiblesse se situe au niveau de la gestion des accès.

Liste de vérification de sécurité cloud pour débutants

Avant de déployer ou d’utiliser davantage de services cloud dans une organisation, posez-vous les questions suivantes :

• Savons-nous quelles données sont stockées dans le cloud?
• Avons-nous identifié les personnes qui peuvent y accéder?
• Les comptes inutilisés sont-ils désactivés rapidement?
• Les droits administratifs sont-ils limités aux personnes qui en ont réellement besoin?
• L’authentification multifacteur est-elle activée?
• Les comptes administrateurs sont-ils protégés plus fortement?
• Les paramètres de partage sont-ils vérifiés régulièrement?
• Les ressources accessibles publiquement sont-elles réellement destinées à l’être?
• Les données sensibles sont-elles protégées adéquatement?
• Une stratégie de sauvegarde et de récupération existe-t-elle?
• Les journaux de connexion et d’administration sont-ils disponibles?
• Les activités inhabituelles peuvent-elles être détectées?
• Les responsabilités du fournisseur cloud sont-elles clairement comprises?
• Les responsabilités de l’organisation sont-elles documentées?
• Les accès des employés et fournisseurs sont-ils revus périodiquement?

Cette liste ne remplace pas une évaluation complète de la sécurité, mais elle constitue une bonne base pour identifier des lacunes évidentes.

La sécurité cloud ne se limite pas à un outil

Acheter une solution cloud reconnue ne suffit pas à assurer sa sécurité.

La protection dépend également de la façon dont l’organisation :

• configure ses services;
• gère ses utilisateurs;
• attribue ses permissions;
• protège ses données;
• surveille les activités;
• maintient ses pratiques à jour.

Pour approfondir les risques plus larges auxquels les organisations peuvent être confrontées, consultez également notre article sur les tendances en cybersécurité.

Vous pouvez aussi découvrir 6 bonnes pratiques en cybersécurité à maîtriser pour développer une vision plus globale de la protection des systèmes informatiques.

Développez vos compétences en cybersécurité

Comprendre la sécurité cloud demande des connaissances en gestion des accès, protection des données, réseaux, configuration des systèmes et surveillance.

Pour une personne qui souhaite travailler en cybersécurité, savoir comment ces différents éléments interagissent permet de développer une compréhension plus concrète des environnements technologiques utilisés par les organisations.

Développez des compétences pratiques pour protéger les systèmes, les identités, les réseaux et les données organisationnelles grâce à l’AEC en Cybersécurité du Collège Cumberland.

FAQ 

Qu’est-ce que la sécurité cloud?

La sécurité cloud regroupe les technologies, pratiques et contrôles permettant de protéger les données, comptes, applications et infrastructures utilisées dans des services infonuagiques. Elle comprend notamment la gestion des accès, la configuration sécuritaire, l’authentification, la protection des données et la surveillance.

Quels sont les principaux risques liés au cloud?

Parmi les risques importants figurent les mauvaises configurations, les permissions excessives, les comptes compromis, les mécanismes d’authentification insuffisants, l’exposition accidentelle de données et l’absence de surveillance ou de sauvegardes adaptées.

Qu’est-ce qu’une mauvaise configuration cloud?

Une cloud misconfiguration survient lorsqu’un service ou une ressource cloud est configuré de manière trop permissive ou inadéquate. Cela peut notamment inclure un dossier rendu public, un compte disposant de privilèges excessifs ou un service accessible depuis Internet alors que cet accès n’est pas nécessaire.

Comment protéger les données stockées dans le cloud?

Une organisation peut notamment limiter les accès, utiliser le chiffrement disponible, gérer les permissions, maintenir des sauvegardes adaptées et surveiller l’utilisation de ses ressources. Elle doit également savoir quelles informations elle stocke et comprendre les responsabilités qui lui incombent selon le service cloud utilisé.

Pourquoi utiliser l’authentification multifacteur?

L’authentification multifacteur, ou MFA, ajoute une méthode de vérification supplémentaire au mot de passe. Cela peut réduire le risque qu’un attaquant accède à un compte uniquement parce qu’il a réussi à obtenir les identifiants de connexion.

Quelles compétences faut-il pour travailler en cybersécurité cloud?

Les professionnels peuvent avoir besoin de compétences en gestion des identités et des accès, réseaux, systèmes d’exploitation, protection des données, configuration des services cloud, journalisation et analyse de sécurité. Une compréhension du modèle de responsabilité partagée est également importante pour savoir quels contrôles relèvent du fournisseur et lesquels doivent être gérés par l’organisation.