Comment gérer les risques en matière de sécurité et la gouvernance dans le cloud

Tout en offrant une efficacité commerciale, des avantages en termes de coûts et des avantages concurrentiels, le passage aux services basés sur le cloud (c’est-à-dire Azure, AWS et Google Drive) a ses propres implications, notamment en matière de sécurité. Beaucoup supposent que le passage à des services basés sur le cloud et l’utilisation de leurs outils de sécurité résoudra les vulnérabilités ou déficiences de sécurité préexistantes, mais ce n’est tout simplement pas le cas.

Les clouds publics assurent la sécurité du périmètre pour les données stockées dans leurs centres de données, ce qui est une fonction importante. Mais ce n’est qu’une considération parmi de nombreuses pour garantir la sécurité.

Les DSI parlent souvent de la nécessité de construire des conteneurs sécurisés pour accélérer la mise sur le marché. Bien que l’espace cloud se concentre récemment sur Kubernetes et la conteneurisation, ne perdons pas la forêt pour les arbres. Les besoins en sécurité sont vastes, et Kubernetes n’est qu’une petite partie de cette équation.

D’autres composants critiques incluent les considérations de conformité, l’automatisation du DevOps et la création d’une plateforme de test robuste qui inclut un contrôle des vulnérabilités statique (par rapport à dynamique).

Considérations de conformité

Différents secteurs verticaux (par exemple, les soins de santé) ont leurs propres normes de conformité complexes et strictes, dont la maintenance est réputée coûteuse et fastidieuse. Et la mise à jour des applications et de l’infrastructure pour répondre aux normes de conformité vous expose souvent à diverses vulnérabilités de sécurité et de conformité.

Mais, comme je vous l’ai déjà dit, vous pouvez lutter contre les vulnérabilités en investissant dans l’automatisation et la numérisation de la sécurité pour le développement et le déploiement du code. L’automatisation de ces processus signifie un accès plus rapide aux informations qui peuvent identifier les vulnérabilités de sécurité afin que vous puissiez y répondre plus efficacement.

Une fois que vous avez identifié vos vulnérabilités de sécurité, il est naturel de vous demander quelles fonctions de sécurité vos services basés sur le cloud pourraient être en mesure de remplir et pour lesquelles vous devrez toujours garder la responsabilité. Comme l’a expliquéun collègue d’Unisys, la réalité est que la sécurité du cloud est une responsabilité partagée.

Comme je l’ai mentionné, les fournisseurs de services basés dans le Cloud gèrent généralement la sécurité du périmètre pour les données que vous stockez dans leurs centres de données, ainsi que des contrôles de conformité limités pour l’infrastructure. Cependant, pour chaque application que vous installez dans le Cloud, vous êtes responsable de la configuration des contrôles de sécurité appropriés, de l’identification et de la certification du respect des exigences de conformité et de la gestion du cycle de vie des données.

Si cela semble difficile, c’est parce que c’est le cas.

Alors, comment pouvez-vous vous faciliter la tâche ? En utilisant l’automatisation.

Culture de l’automatisation DevSecOps

Évaluer votre réseau et vos applications de manière continue et signaler toute non-conformité ou tout risque potentiel que vous identifiez est un processus incroyablement fastidieux et traditionnellement manuel. Imaginez verser plus de dizaines, voire des centaines, de normes de conformité, en vous assurant que chacune d’entre elles est respectée et en connaissant les conséquences si ces normes ne sont pas respectées.

L’un des défis à relever pour intégrer la sécurité est de changer l’état d’esprit de l’entreprise. Avec la culture DevSecOps, les développeurs ne sont pas seulement « conscients de la sécurité », ils peuvent également agir comme première ligne de défense. Comprendre qu’une culture de sensibilisation à la sécurité est nécessaire pour que les membres de toutes les équipes fonctionnelles signalent les anomalies potentielles. Traduire les contrôles applicables (policy-as-code) en composants logiciels appropriés dans le cadre du processus SDLC évolutif.

Cependant, il s’agit d’une recette pour les erreurs, qui peuvent entraîner une amende lourde.

Au lieu de vous exposer à des risques de responsabilité inutiles, créez une culture d’automatisation DevSecOps. En automatisant les rapports et la surveillance des risques, vous vous assurez que votre réseau et vos applications sont constamment surveillés.

Tests en tant que service

Vous pensez peut-être que l’automatisation est excellente, mais la surveillance constante des risques est coûteuse et vous oblige à la construire à partir de zéro. C’est pourquoi vous devez envisager les tests en tant que service.

Le test en tant que service vous permet de faire appel à une organisation centrale pour gérer l’appareil de test au nom de votre entreprise. Ces tests ne sont pas spécifiques à la sécurité. Il peut également être appliqué à l’intégration, à la régression, à la performance, etc. Il est généralement plus rentable que de créer l’infrastructure et l’organisation autour d’une plateforme de test aussi robuste en interne dans l’entreprise.

Il n’est pas nécessaire de repartir de zéro lorsque vous pouvez acheter des capacités de test prêtes à l’emploi auprès d’un fournisseur externe – ou, mieux encore, demander au fournisseur de créer un programme de test spécifique pour votre entreprise.

Par exemple, demandez-leur de standardiser les modèles de test de bout en bout en tant que service (planification, exécution et reporting des tests) avec la réutilisabilité, la maintenabilité et la réduction des coûts comme objectifs principaux. Cela vous donnera la flexibilité d’étendre les capacités sans aucun blocage des fournisseurs et vous assurera de remettre en question les fournisseurs de cloud public pour qu’ils fassent le gros du travail pour vous. Ils peuvent créer un cadre comme le suivant pour vous :

• Framework: Maven Page Object Model Framework
• Langage de programmation: Java
• Plateformes : application Web (Selenium), mobile (Appium), test API (REST Assured), base de données (PostgreSQL)
• Tests: Performance (Jmeter), sécurité par scan de vulnérabilité statique et dynamique (Veracode)
• Reporting: rapport d’étendue, Log4J
• CI (intégration continue) et CD (déploiement continu): Azure DevOps

Lorsque vous élaborez votre stratégie de test des vulnérabilités potentielles, vous devez également peser les avantages et les inconvénients du contrôle dynamique ou statique.

Le contrôle statique est effectué avec l’application désactivée et implique l’examen du code source ou des binaires d’application pour identifier les vulnérabilités de sécurité. Si vous examinez des millions de lignes de code, ce processus peut rapidement devenir fastidieux et très inefficace.

La numérisation dynamique s’effectue lorsque l’application est en cours d’exécution et implique de manipuler l’application – telle qu’elle serait utilisée dans le monde réel – pour découvrir des zones à risque. Cela a tendance à être plus complet, mais c’est aussi un moyen inefficace de scanner, car j’ai constaté que 10 millions de lignes de code peuvent prendre plus d’un mois.

L’essentiel n’est pas de décider entre le scanning statique et le scanning dynamique. C’est que vous devez comprendre la nécessité de remettre en question les fournisseurs de tests pour développer une meilleure alternative. Cette alternative pourrait être fournie par le biais d’innovations technologiques ou d’améliorations de leur numérisation dynamique. Les entreprises jouent également un rôle dans l’optimisation de la numérisation de la sécurité, notamment en refactorisant et en modernisant leur code.

Mais s’il n'y a qu’une seule leçon que vous tirez de cet article, c’est que vous devez prendre en charge la sécurité continue de vos applications dans le Cloud. Évitez de répéter ce que vous avez fait avec les anciens déploiements sur site. Les acteurs de la sécurité tournés vers l’avenir comprennent que la meilleure façon d’éviter les risques de responsabilité futurs est de mettre en œuvre un programme de sécurité solide dès le départ.