Alors que près de la moitié des données stockées dans le Cloud sont sensibles, la sécurité de cet écosystème devient une priorité pour tout professionnel de l’IT. Bien que les bases de la sécurité soient largement connues, certaines zones d’ombre subsistent, notamment avec l’arrivée de l’intelligence artificielle et de nouveaux cadres réglementaires. Pour y voir plus clair, nous avons échangé avec Mohsine CHOUGDALI, Business Development Executive Azure chez SoftwareOne, qui nous a dévoilé les meilleures pratiques de sécurité adaptées à Azure pour contrer les menaces. Découverte .
Selon le rapport « 2024 Thales Cloud Security Study », la sécurité dans le Cloud s'impose comme la première priorité budgétaire en matière de cybersécurité. Un chiffre révélateur : 44 % des entreprises ont déjà subi une violation de données. Mais au-delà des chiffres, c'est souvent l'erreur humaine qui fragilise les systèmes, comme le souligne le blog SFR Business, pointant le phishing comme vecteur d'attaque dans 74 % des cas. Face à des menaces qui se complexifient, se diversifient et se professionnalisent, comment s'y retrouver ? Tour d’horizon et projections avec Mohsine CHOUGDALI.
Mohsine CHOUGDALI : Avant l'avènement du Cloud, la sécurité des systèmes d’information était entièrement sous la responsabilité des équipes informatiques, principalement celles du DSI (Directeur des Systèmes d’Information) et du RSSI (Responsable Sécurité des Systèmes d’Information). Avec l’émergence du- Cloud, cette répartition des responsabilités a évolué en fonction du type de service Cloud utilisé et du modèle de déploiement choisi.
Dans le cadre d’une migration complète vers le Cloud (souvent appelée "lift and shift"), une part significative des responsabilités techniques — telles que la gestion du réseau, le câblage, la configuration des pare-feux et les politiques de sécurité applicative — est transférée au fournisseur de services Cloud. Toutefois, le client reste directement responsable de la gestion de ses propres données, ainsi que de la protection des identités et des accès de ses utilisateurs.
Aujourd’hui, lorsqu'une organisation choisit l’Infrastructure as a Service (IaaS), elle conserve un contrôle substantiel sur la configuration de la sécurité, mais doit également s'assurer de la protection des systèmes d’exploitation et des applications qu'elle déploie. En revanche, avec le Software as a Service (SaaS), la sécurité repose sur un modèle de responsabilité partagée : le fournisseur est chargé de la sécurisation de l’infrastructure et des applications, tandis que le client doit gérer les accès et protéger les données qu'il stocke dans ces systèmes.
Cette transition vers le Cloud, notamment via le SaaS, redéfinit donc les rôles et les responsabilités en matière de sécurité. Les entreprises doivent redoubler de vigilance face aux menaces et risques, tels que le phishing, qui exploitent souvent les vulnérabilités humaines. Elles doivent par ailleurs veiller à ce que leurs fournisseurs Cloud respectent les réglementations en vigueur, comme le RGPD (Règlement Général sur la Protection des Données) en Europe, en mettant en place des audits réguliers et des exigences contractuelles strictes.
L'adoption du Cloud a aussi transformé les pratiques de développement logiciel, avec l'essor de méthodologies telles que le DevSecOps. Ce modèle intègre la sécurité dès les premières phases du développement pour garantir une approche continue et agile face aux risques émergents.
Mohsine CHOUGDALI : Les menaces de sécurité dans le Cloud évoluent sans cesse, principalement en raison de l'élargissement de la surface d'attaque qui découle de l'adoption croissante de services Cloud, de l'Internet des objets (IoT) et de la mobilité. Chaque nouvel appareil et chaque service connecté offrent aux cybercriminels de nouvelles opportunités pour exploiter des vulnérabilités. Les attaques se sophistiquent, se complexifient et les fournisseurs Cloud doivent s’adapter en multipliant les mesures de sécurité comme :
Lors du salon SantExpo qui s'est tenu à Paris en mai 2024, l'Agence du Numérique en Santé (ANS) a mis en lumière l'impératif pour les établissements de santé de renforcer leur sécurité, en conformité avec les exigences de la directive NIS2. Ce constat illustre un défi plus vaste auquel de nombreuses organisations, au-delà du secteur de la santé, doivent faire face : se conformer et se défendre contre des cyberattaques de plus en plus sophistiquées.
Ces enjeux actuels doivent être abordés par l'adoption de bonnes pratiques et d'outils adaptés. De l'implémentation d'une architecture zero trust à l'intégration de solutions de surveillance et de détection des cybermenaces, récapitulatif avec Mohsine CHOUGDALI.
Mohsine CHOUGDALI : Le modèle de sécurité Zero Trust repose sur un principe fondamental : "ne jamais faire confiance, toujours vérifier". Cela signifie que chaque utilisateur, appareil ou service, qu’il soit à l'intérieur ou à l'extérieur du réseau, doit être systématiquement authentifié et autorisé avant d'accéder aux ressources. Ce modèle est au cœur d’Azure, qui le déploie à plusieurs niveaux :
Mohsine CHOUGDALI : SOAR (Security Orchestration, Automation, and Response), XDR (Extended Detection and Response).... Azure intègre des fonctionnalités de sécurité qui détectent rapidement les menaces et proposent des réponses automatisées aux incidents de sécurité. On les retrouve dans tous les outils de sécurité que propose Azure :
Tous ces outils vous permettent de gérer les incidents de manière proactive, d’automatiser les réponses, et de garantir une sécurité robuste face aux menaces actuelles. Cependant, investir dans des systèmes de sécurité ne suffit pas : l’organisation doit aussi mettre en place des stratégies pour anticiper et résoudre les attaques informatiques. Une étude de XM Cyber révèle que 80 % des risques de sécurité proviennent d’erreurs de configuration, lesquelles sont à l’origine de la grande majorité des vulnérabilités.
Mohsine Chougdali : Le terme shadow IT désigne un ensemble de concepts variés. Il englobe tout ce qui échappe à la gouvernance et au contrôle de la DSI, comme un employé dont les droits d'accès dépassent le cadre de ses fonctions. Si son identité est usurpée, un hacker pourrait ainsi accéder à une quantité d'informations supplémentaires, potentiellement précieuses.
Pour lutter contre ce phénomène, la sensibilisation des employés sur les risques du shadow IT est cruciale. Pour cela, il faut développer une relation étroite avec les différentes équipes métiers pour permettre aux départements IT de mieux comprendre leurs besoins et de proposer des solutions adaptées et surtout, sécurisées.
Ensuite, il faut surveiller les réseaux. Pour cela, vous pouvez vous aider d’outils comme les systèmes de gestion des informations et des événements de sécurité (SIEM) qui détectent et gèrent les équipements et applications non autorisés.
Enfin, mon dernier conseil est de définir une gouvernance claire pour l’évaluation, l’achat et la mise en œuvre de solutions technologiques, tout en impliquant les parties prenantes.
Pour plus d’efficacité, je recommande aux entreprises de se faire accompagner dans le déploiement et la mise en place d’outils capables de diminuer les risques liés au shadow IT. Chez SoftwareOne, par exemple, nous mettons en place des outils ce type d’outils et nous accompagnons les directions IT dans leurs inventaires SAM et leurs audits des actifs IT.
Mohsine CHOUGDALI : Pour se prémunir contre les malwares, il est essentiel de mettre en place les bons outils et les bonnes pratiques. Les malwares, ou logiciels malveillants, sont conçus pour infiltrer, endommager ou exploiter les systèmes informatiques.
Dans le cadre d'Azure, plusieurs solutions sont disponibles pour faire face à ces menaces de plus en plus complexes. Microsoft Defender for Cloud assure une surveillance continue des ressources pour détecter les menaces potentielles et propose des actions correctives adaptées tandis qu’Azure Defender for Storage analyse les fichiers téléchargés en quasi-temps réel pour identifier la présence de malwares.
Pour assurer la protection des sauvegardes contre toute tentative d'altération ou de suppression par des attaquants, l’outil Azure Backup, garantit une restauration sécurisée des données en cas d'incident. Pour suivre l'ensemble des mesures de sécurité, des actions réalisées et des rapports sur les menaces, tout est centralisé et visible via Defender For cloud.
Enfin, pour une protection solide et sans compromis, Azure s’appuie sur deux grands alliés : Azure Web Application Firewall (WAF) et Azure DDoS Protection. Le WAF se dresse en première ligne pour bloquer automatiquement les requêtes malveillantes qui visent les applications web, tandis qu’Azure DDoS Protection atténue efficacement les attaques par déni de service distribué (DDoS).
En combinant ces outils aux bonnes pratiques de cybersécurité, vous êtes entièrement paré contre les malwares qui peuvent toucher votre SI.
À l'ère des nouvelles directives réglementaires et de l'intelligence artificielle, le paysage de la cybersécurité se redessine et intègre des technologies innovantes. Ce virage décisif confère à ceux qui adoptent ces méthodes de conformité des avantages concurrentiels indéniables. Dans cette dynamique, comment Azure se positionne-t-il pour façonner l'avenir de la cybersécurité ?
Mohsine CHOUGDALI : Une organisation qui exploite les fonctionnalités d'Azure bénéficie d'un « Security Score » optimal au sein de l'Azure Security Center désormais renommé Defender For Cloud, une console qui centralise la gestion de la sécurité et offre une meilleure visibilité sur la sécurité des ressources Azure. Cela contribue également à renforcer la maturité de l'organisation en matière de déploiement de stacks de sécurité.
Cependant, une certaine inquiétude persiste autour de la dépendance et du risque potentiel de perte de données. Bien que cette inquiétude tende à diminuer avec le temps, de nombreuses organisations continuent d'utiliser divers outils de sécurité provenant de plusieurs fournisseurs, ce qui peut entraîner des problèmes d'interopérabilité entre ces solutions.
En ce qui concerne la directive NIS2, qui renforce les exigences de sécurité pour mieux protéger les infrastructures critiques et les services essentiels, la question relève davantage de la gouvernance au sein de l'organisation. Dans un environnement Azure hautement sécurisé, les données sont étiquetées, labellisées et organisées, facilitant ainsi leur extraction ou leur suppression. De plus, les Azure Policies permettent d'appliquer une politique de sécurité uniforme à l'ensemble de l'entreprise, à une filiale ou à un groupe d'utilisateurs.
Mohsine CHOUGDALI : Grâce aux Azure OpenAI Services, qui intègrent le modèle GPT-4, l'intelligence artificielle se déploie, notamment dans le domaine de l'informatique décisionnelle avec Microsoft Fabric, qui pousse l'analyse encore plus loin. Cependant, la gestion du changement nécessite une approche pédagogique : il est crucial d'apprendre aux utilisateurs comment formuler leurs demandes de manière appropriée.
Depuis mars 2023, Azure intègre l’intelligence artificielle à tous les niveaux avec Microsoft Copilot. Copilot For Enterprise permet d’extraire des données exclusivement au sein de l'entreprise pour améliorer la réactivité et la productivité grâce à l’IA, tout en garantissant un niveau élevé de confidentialité et de sécurité des informations. En effet, il accède uniquement aux données internes.
En revanche, Microsoft Copilot, accessible sur le web, intègre des données internes et externes. Bien qu'il améliore la réactivité et la productivité, son apprentissage continu basé sur les données des utilisateurs, souvent peu formés à l’écriture de prompts et à l’usage de l’IA, est parfois la cause de fuites d'informations confidentielles.
Néanmoins, bloquer l'adoption de l'IA revient à brider la productivité et ralentit le time-to-market. Il est donc impératif que les utilisateurs reçoivent une formation adéquate pour tirer pleinement parti des outils d'intelligence artificielle.
Mohsine CHOUGDALI : Nous assistons à l’émergence d’un « safe space », d’une zone éthique et fiable au sein de laquelle l'IA générera des données fiables, exemptes des biais souvent associés à la multitude d'informations présentes dans le big data. Dans ce nouvel environnement, chaque utilisateur sera tenu responsable de son utilisation de l'IA. Une IA responsable saura interroger l'usage de données soumises à des droits d'auteur ou à des brevets. Les futurs modèles se concentreront donc sur les notions de responsabilité, de sécurité et de fiabilité des données, des enjeux sur lesquels Microsoft joue un rôle clé.
La quête d'une sécurité parfaite demeure un mirage, mais Azure se positionne comme un partenaire incontournable pour la protection des systèmes d’informations. Grâce à une gamme étendue d'outils et de fonctionnalités complémentaires, il renforce la résilience de systèmes d’opérations. Toutefois, cette protection ne sera véritablement efficace que si les entreprises cultivent une véritable culture de la sécurité, éduquant leurs employés sur les enjeux contemporains liés à l'utilisation de l'intelligence artificielle.
Découvrez comment nos experts peuvent vous aider à sécuriser votre environnement Cloud et prévenir les cybermenaces grâce à des solutions adaptées et une gouvernance efficace.
Découvrez comment nos experts peuvent vous aider à sécuriser votre environnement Cloud et prévenir les cybermenaces grâce à des solutions adaptées et une gouvernance efficace.
