Il est indéniable que les technologies cloud ont complètement transformé l’informatique d’entreprise au cours de la dernière décennie. Il est désormais très facile de créer une nouvelle plateforme de développement ou de lancer une nouvelle application SaaS en quelques clics et avec une simple carte de crédit.
Mais les avantages de ce modèle de déploiement simplifié ont aussi introduit de nouveaux défis dans les architectures IT des entreprises. La plupart des entreprises font désormais un usage intensif des instances cloud, tant à travers des applications SaaS (Software-as-a-Service) autonomes que d’éléments de plateforme dans un environnement hybride ou multicloud. Or, cette approche nécessite une nouvelle posture de sécurité.
En effet, les instances cloud élargissent la surface d’attaque des entreprises, CIO.com signalant à ce propos que 79 % des entreprises ont subi une compromission de leurs données cloud entre mi-2021 et fin 2022. Selon la Harvard Business Review, les compromissions de données ont augmenté de 20 % entre 2022 et 2023, en partie à cause de mauvaises configurations du cloud.
Les erreurs de configuration entraînent des vulnérabilités. Et les vulnérabilités entraînent à leur tour des compromissions de données. C’est là que les solutions de gestion de la posture de sécurité cloud (CSPM) interviennent pour surveiller les déploiements cloud publics à grande échelle (y compris les environnements hybrides et multicloud), détecter les erreurs de configuration dans ces architectures complexes et limiter les expositions aux menaces.
Explorer la mécanique du CSPM
Le périmètre d’action d’une solution CSPM doit être suffisamment large pour couvrir l’ensemble de l’environnement cloud de l’entreprise. Cela passe par l’application de processus de surveillance continue et de remédiation automatisée sur toutes les plateformes cloud, par exemple Amazon Web Services (AWS), Microsoft Azure et Google Cloud Platform (GCP), ainsi que sur les clouds privés. Le CSPM doit également couvrir le Platform-as-a-Service (PaaS), l’Infrastructure-as-a-Service (IaaS) et le Software-as-a-Service (SaaS).
L’adoption du CSPM doit être partie intégrante de la transition de la cybersécurité conventionnelle (basée sur l’on-prem) vers des modèles de sécurité axés sur le cloud.
L’un des problèmes des modèles de sécurité traditionnels est qu’ils ne tiennent pas compte des modèles de partage de propriété et de responsabilité propres au cloud. La responsabilité de la sécurité varie selon le fournisseur de services cloud, mais aussi selon le type de service. Avec Microsoft Azure PaaS, par exemple, Microsoft est responsable de la sécurisation du système d’exploitation. Avec l’IaaS sur Azure, en revanche, la sécurité du système d’exploitation relève de la responsabilité du client. Au vu de ces différents niveaux de responsabilité, une mauvaise configuration peut aisément échapper à la détection et provoquer une exposition au risque.
L’autre problème majeur est tout simplement celui du contrôle. Le cloud augmente l’exposition au risque dans la mesure où les utilisateurs peuvent ne pas respecter les bonnes pratiques de sécurité. Et il peut être très difficile de savoir si c’est le cas.
Le CSPM a pour mission d’atténuer ces risques via l’application d’un certain nombre de technologies et de pratiques :
Visibilité complète : la visibilité sur tous les actifs cloud est essentielle à un déploiement réussi du CSPM
Opérationnel H24 : une solution CSPM efficace surveille le cloud en permanence
Temps réel : dès que des vulnérabilités, des erreurs de configuration et des menaces sont découvertes, elles doivent être signalées et corrigées en temps réel
Automatisation : les workflows CSPM doivent être automatisés dans toute la mesure du possible
Atténuation des risques : le CSPM doit appliquer des méthodes automatisées pour atténuer les risques au fur et à mesure de leur découverte
Unifié : le CSPM rassemble différentes fonctions et solutions dans un environnement unifié afin de réduire au maximum les risques liés au cloud
Autre remarque importante : un CSPM efficace permet d’atténuer les risques de menaces accidentelles et intentionnelles. En effet, une grande partie de l’exposition au risque dans le cloud est totalement involontaire. Par exemple, les utilisateurs oublient où ils ont placé certaines données, lancent des logiciels en production sur le cloud sans renforcer la sécurité des serveurs, etc. Votre CSPM doit être capable de faire la différence entre les menaces malveillantes et les risques accidentels, et de réagir en conséquence.
Éléments clés du CSPM
Qu’est-ce que le CSPM ? Voici les principales missions des solutions CSPM :
Établir un référentiel unique de tous les risques liés au cloud : en créant une vue complète de l’infrastructure cloud et de tous ses actifs, une solution CSPM fournit un point de référence et de contrôle unique pour les tâches visant à renforcer la posture de sécurité cloud.
Protéger les données sensibles dans le cloud : les entreprises stockent désormais certaines de leurs données les plus sensibles dans le cloud. Les solutions CSPM, combinées à une solution de gestion de la posture de sécurité des données (DSPM), permettent de protéger les données sensibles contre les attaques.
Garantir la conformité : le cloud peut créer des difficultés inattendues (ou inconnues) en matière réglementaire, par exemple en enfreignant les règles relatives à la souveraineté des données. Grâce à une surveillance continue et transversale des données de tous les actifs cloud, une solution CSPM peut identifier les configurations cloud non-conformes.
Agir en renfort du centre des opérations de sécurité (SOC) : c’est dans le SOC que se produisent la plupart des opérations de détection et de réponse aux cybermenaces. Le CSPM doit apporter un appui au SOC en lui fournissant des informations sur les menaces, les vulnérabilités, les erreurs de configuration, etc. Le SOC doit également pouvoir reconnaître les processus de remédiation automatisés de la solution CSPM. Mieux, le SOC peut même fournir des « playbooks » qui informent les mesures correctives du CSPM.
Sécuriser les DevOps : les entreprises qui utilisent le modèle DevOps pour le développement de logiciels mettent généralement du nouveau code en production dans le cloud à une cadence élevée, parfois plusieurs fois par jour. Cette pratique est susceptible de créer une exposition au risque. Le CSPM atténue les risques liés à la sécurité des applications (AppSec) dans le cloud en détectant les vulnérabilités et les problèmes de sécurité connexes dans le code nouvellement déployé.
Comparaison entre le CSPM et la sécurité traditionnelle du cloud
L’architecture traditionnelle de sécurité du cloud se concentre principalement sur la sécurisation de l’accès au système, en partant du principe que chaque appareil au sein du réseau interne est fiable. Cet état d’esprit découle d’anciens paradigmes de la sécurité on-prem, où des mécanismes de défense du périmètre (notamment des pare-feu et systèmes de prévention des intrusions) étaient utilisés pour sécuriser le réseau contre les menaces extérieures.
Par contraste, le CSPM adopte une approche continue et automatisée pour gérer et renforcer la sécurité des environnements cloud, en tenant compte directement de la nature dynamique et évolutive du cloud. Le CSPM offre une surveillance et une gestion continues de la posture de sécurité du cloud afin d’identifier les mauvaises configurations et les problèmes de conformité dans les infrastructures cloud.
Les outils CSPM automatisent l’analyse des risques de sécurité et le contrôle de la conformité, ce qui permet d’inscrire la sécurité du cloud dans une démarche proactive, par opposition à la nature réactive des mesures de sécurité traditionnelles. Cela est essentiel dans les environnements cloud, où des ressources dynamiques et évolutives peuvent rapidement conduire à des configurations complexes qui mettent en difficulté les modèles de sécurité traditionnels.
En outre, les outils CSPM offrent une meilleure visibilité sur l’environnement cloud, ce qui permet de remédier à l’une des principales lacunes de la sécurité du cloud. L’accent placé sur les configurations et la conformité est particulièrement adapté à la nature des services cloud, où les configurations des ressources et les flux de données peuvent changer fréquemment, ce qui introduit de nouvelles vulnérabilités.
Importance du CSPM pour la gestion des ressources cloud
Le CSPM permet aux organisations de mettre en œuvre des stratégies cloud innovantes sans être freinées par des problèmes de sécurité. Les politiques de sécurité peuvent en effet souvent constituer un obstacle à l’innovation et au développement de précieuses ressources dans le cloud.
Par exemple, si une entreprise souhaite lancer un projet de transformation digitale axé sur le déploiement de l’IoT dans le cloud, puis y stocker toutes les données produites, cette initiative pourra être bloquée pour des raisons de sécurité. Avec le CSPM, ce projet pourra voir le jour grâce à des contre-mesures de sécurité qui s’intègrent facilement à la fonctionnalité unifiée et centralisée de la solution CSPM.
Un avantage similaire émerge de l’utilisation du CSPM dans les infrastructures multicloud. Le manque de visibilité sur les configurations des plateformes cloud peut en effet constituer un problème de sécurité. Le CSPM résout ce problème en découvrant automatiquement tous les services cloud, les applications cloud, les données, les métadonnées et les configurations associées. Cela permet aux équipes de sécurité de surveiller facilement toutes les instances cloud concernées.
Implémentation du CSPM : stratégies et bonnes pratiques
Il ne suffit pas de presser sur un bouton pour implémenter le CSPM. En fonction des outils de sécurité et des contre-mesures en place, cela peut nécessiter une certaine quantité de travail. Mais cela en vaut la peine.
L’un des éléments d’une implémentation efficace du CSPM consiste à établir une cartographie aussi complète que possible de toutes les ressources cloud. En effet, il faut toujours commencer par savoir ce que vous devez défendre dans le cloud.
Ensuite, alignez cette carte sur les frameworks de sécurité cloud existants. Vous pouvez par exemple utiliser une solution CASB (Cloud Access Security Broker). Une solution CSPM s’intégrera très probablement au CASB, augmentant ainsi les capacités de sécurité de ce dernier en y ajoutant la visibilité et les fonctionnalités de remédiation automatisée du CSPM.
De même, une plateforme de protection des workloads cloud (CWPP) pourra déjà être en place pour protéger des workloads spécifiques contre les exploits. L’intégration du CSPM au CWPP permettra de renforcer la sécurité du cloud.
Ces intégrations ont pour but d’éviter la duplication de capacités de sécurité du cloud. L’objectif doit être de trouver un juste équilibre entre sécurité et efficacité opérationnelle. Il est toujours préférable de s’appuyer sur les solutions de sécurité déjà en place pour libérer le potentiel du CSPM.
Il est également important de garder à l’esprit que le fonctionnement du CSPM est en partie une question de personnes et d’organisation. Pour chaque outil de sécurité cloud, il y a une personne ou une équipe qui le gère. Et ces personnes s’intègrent dans une structure organisationnelle. Le CSPM doit s’y adapter, chacun devant comprendre son rôle et sa responsabilité dans l’efficacité du CSPM.
Le rôle du CSPM dans les environnements multicloud
Le déploiement du CSPM dans des environnements multicloud ne souffre aucun raccourci. Mais il représente aussi un défi potentiel. La sécurisation des environnements cloud complexes est l’essence même du CSPM. Sans CSPM, les variations dans les configurations (ainsi que le périmètre potentiellement massif et la nature variée du multicloud) rendent difficile la mise en place d’une posture de sécurité forte.
Faire du CSPM un des piliers d’architectures de sécurité cloud très diverses représente une tâche considérable, mais pas forcément difficile. Dans certains cas, la plateforme CSPM fournira une fonctionnalité native pour le multicloud. Par exemple, Microsoft Windows Defender CSPM intègre des fonctionnalités d’inventaire des actifs, d’automatisation des workflows et d’outils de remédiation préintégrés pour AWS et GCP.
Le CSPM pour le multicloud est autant une question de personnes que de technologie. La gestion et la sécurité d’AWS, d’Azure et de GCP sont certainement confiées à des équipes ou des personnes différentes. Toutes ces personnes devront travailler ensemble pour déployer le CSPM sur leurs plateformes respectives. D’où l’importance de repérer d’éventuelles politiques ou directives les détournant de cet objectif.
Maximiser l’impact du CSPM
La meilleure façon de déployer une solution CSPM efficace est de l’associer à une solution DSPM complémentaire. Ces deux technologies fonctionnent en synergie pour assurer une couverture de sécurité complète dans les environnements cloud.
En combinant CSPM et DSPM, les organisations obtiennent une vue intégrée de leur posture de sécurité qui englobe à la fois la configuration de l’infrastructure et la sécurité des données. Cette approche holistique permet de s’assurer qu’une lacune dans un domaine n’est pas négligée du simple fait qu’un autre domaine est sécurisé. En alignant le CSPM et le DSPM, vous pouvez promouvoir la collaboration entre équipes de sécurité de l’infrastructure et équipes de sécurité des données, et encourager une culture de responsabilité partagée pour la sécurité du cloud.
Les solutions DSPM de Rubrik peuvent aider votre entreprise à augmenter la valeur de vos investissements CSPM. Consultez ce lab DSPM gratuit pour découvrir comment.