Ce que couvre la sécurité des données dans le cloud
La sécurité des données dans le cloud couvre les données dans trois états. Les données au repos se trouvent dans le stockage cloud et les services collaboratifs. Les données en transit circulent entre les appareils, le réseau de l'entreprise et ces services. Le plan de contrôle comprend les comptes, les rôles, les clés et la journalisation. C'est lui qui détermine qui accède aux données et si cet accès peut être prouvé.
Le périmètre dépend du modèle de service. En infrastructure as a service, le client gère les systèmes d'exploitation, les applications et la plupart des paramètres de la couche données. En logiciel as a service, le fournisseur exploite presque tout et le client gère surtout les identités et ce que les utilisateurs peuvent faire. Plus le fournisseur possède, plus le risque se ramène à la configuration et au comportement des utilisateurs.
Contrôle des envois par service cloud
Chaque service de stockage cloud, y compris sa version web, peut être réglé en mode accès, audit ou copie fantôme. Le module de contrôle du stockage cloud applique ces modes séparément à chaque service.
1 / 2
Le modèle de responsabilité partagée
Chaque grand fournisseur publie un modèle de responsabilité partagée. Le fournisseur répond du cloud lui-même : matériel, sécurité physique et disponibilité. Le client reste responsable des données dans le cloud : classification, décisions d'accès, configuration et ce que font les utilisateurs dans les services. Aucun fournisseur ne couvre un conteneur laissé public, un lien de partage mal orienté ou un salarié qui exporte des données vers un compte personnel.
La plupart des incidents de données dans le cloud ne viennent pas d'une défaillance du fournisseur. Ils surviennent quand le client suppose que le fournisseur a pris en charge ce qui lui revenait. La première étape de tout programme consiste à reporter la matrice de responsabilité de chaque service sur les contrôles de l'organisation.
Mauvaise configuration : la défaillance la plus fréquente
La mauvaise configuration est, de façon constante, la première cause d'exposition des données dans le cloud. Les environnements cloud évoluent plus vite que les cycles de revue, des ressources sont créées pour un sprint ou une migration, et l'exception devient permanente. Les schémas récurrents :
| Schéma | Ce qui tourne mal |
|---|---|
| Stockage public | Conteneurs en lecture publique, souvent oubliés après un partage ponctuel |
| Partage trop permissif | Liens ouverts à quiconque possède le lien, au lieu de destinataires nommés |
| Identifiants exposés | Clés d'accès et jetons d'API dans des dépôts ou des scripts |
| Journalisation désactivée | Journal d'audit coupé par défaut ou pour réduire les coûts |
| Privilèges permanents | Droits d'administrateur permanents au lieu d'un accès limité dans le temps |
Shadow SaaS et services non validés
Les salariés adoptent des services cloud plus vite que les équipes sécurité ne peuvent les valider, et cet écart est au cœur du shadow IT. Exemples : une application de notes, ou un compte personnel de stockage cloud utilisé pour transférer un gros fichier sur une connexion lente. Le shadow SaaS est rarement malveillant, il relève de la commodité. Mais chaque service non validé est un canal par lequel les données de l'entreprise quittent le périmètre approuvé, hors de ses règles de journalisation et de conservation.
La difficulté tient à la visibilité. Un service utilisé dans le navigateur ressemble à du trafic web ordinaire, et un client de synchronisation à n'importe quelle application. Les programmes combinent l'inventaire de ce qui est utilisé, une politique sur ce qui est acceptable et des contrôles sur le transfert lui-même. L'objectif est de détecter quand des données de travail sont envoyées vers un service non validé.
Approches de contrôle
Plusieurs familles de contrôles opèrent dans ce domaine, notamment le Cloud DLP et le DLP sur les terminaux. Un programme mature en nécessite généralement plusieurs, car chacun voit une partie différente du problème :
| Contrôle | Ce qu'il couvre |
|---|---|
| Cloud access security broker (CASB)Découverte et politique | Repère les services utilisés et applique la politique aux transferts |
| Contrôles natifs du fournisseurRéglages de la plateforme | Chiffrement, clés, politique d'accès et journaux par plateforme |
| Cloud DLPInspection du contenu | Inspecte le contenu d'un fichier, pas seulement sa destination |
| Contrôles par poste de travailSource de l'envoi | Surveillent les envois à la source, y compris via le navigateur |
| Gestion des identités et des accèsQui peut ouvrir les données | Limite qui peut ouvrir les données cloud et depuis où |
Par où commencer
Commencez par les services qui conservent déjà les données les plus sensibles, puis cartographiez les canaux d'envoi que les salariés utilisent réellement. Une liste de contrôles écrite d'un coup pour tous les services cloud bloque en général le travail courant et finit désactivée. Anexet DLP applique ces contrôles sur le poste de travail, là où commence l'envoi, et conserve la piste d'audit dans l'infrastructure du client.
Pour aller plus loin : Systèmes DLP — qu'est-ce que c'est et comment ça fonctionne; Le concept de « Zero Trust ».
Une fuite dans le cloud ressemble rarement à une intrusion. Elle ressemble à un envoi que quelqu'un a jugé banal.
Anexet TeamComment Anexet traite ce sujet
Anexet aborde la sécurité des données dans le cloud depuis le poste de travail, et non depuis le cloud. Les agents installés sur les postes surveillent et contrôlent ce qui est envoyé vers les services de stockage cloud, clients de synchronisation et usage navigateur, avant que les données ne quittent l'appareil :
Le produit fonctionne entièrement on-premise : les données de surveillance elles-mêmes, transferts capturés, incidents et historique d'audit, restent sur l'infrastructure du client. Anexet n'analyse pas les données déjà stockées dans les services cloud et n'est pas un déploiement cloud ; son levier se situe là où les données de l'entreprise deviennent un envoi cloud.
Contrôle des envois par service
les applications de stockage cloud et leurs versions web sont surveillées service par service, avec des modes accès, audit et copie fantôme, si bien que les envois de contenu confidentiel vers un stockage non validé sont arrêtés au poste de travail.
Décisions fondées sur le contenu
les transferts sont évalués par contenu, thésaurus de sécurité (170 dictionnaires prêts à l'emploi), banques de hachages, bibliothèques d'empreintes numériques et étiquettes de confidentialité Microsoft, afin que la politique agisse sur les données sensibles où qu'elles soient envoyées.
Blocage, quarantaine et piste d'audit complète
selon la règle, un envoi est bloqué, mis en quarantaine pour revue, ou journalisé avec une piste d'audit complète et attribuable couvrant l'utilisateur, l'horodatage, le canal et l'action.
Visibilité du shadow SaaS
l'inventaire des applications installées et la catégorisation des sites et applications révèlent quels services cloud sont réellement utilisés, l'état des outils validés et non validés dont une politique a besoin.
Anexet DLP
En savoir plus