Les principaux moyens d'assurer la sécurité des données dans les nuages
Selon le rapport de la société de recherche américaine Gartner, d'ici 2020, en raison de configurations incorrectes et de processus commerciaux non optimisés, les cas de fuite d'informations provenant des clouds publics augmenteront à 80 %. Par conséquent, les entreprises utilisant des services cloud doivent penser à renforcer la sécurité dès maintenant.
Dans cet article, nous examinerons de plus près les cinq moyens les plus populaires de protéger les données dans le cloud : le chiffrement, la surveillance de l'infrastructure, les restrictions d'accès aux données, les sauvegardes et les plans de reprise après sinistre.
Mais avant cela, des statistiques intéressantes :
- 64 % des entreprises considèrent que les systèmes cloud sont plus sûrs que les systèmes sur site ;
- 75 % prennent des mesures supplémentaires pour assurer la sécurité ;
- 61 % chiffrent leurs données ;
- 52 % ont mis en place une politique de contrôle d'accès aux systèmes d'information ;
- 48% effectuent des contrôles réguliers des systèmes d'information pour la conformité aux exigences de sécurité.
Chiffrement
Pour assurer la sécurité, vous devez mettre en place une politique de chiffrement spécifique. Mais chiffrer toutes les données n'a pas de sens - dans ce cas, les inconvénients associés aux processus de chiffrement l'emporteront sur tous les avantages possibles. Par conséquent, vous devez savoir quelles données se trouvent dans le cloud et où va le trafic, puis décider lesquelles doivent être chiffrées. Pour une utilisation efficace du cryptage, il est nécessaire de comparer le coût de l'introduction de telles mesures et les pertes possibles dues à la fuite d'informations. En outre, vous devez analyser comment le chiffrement affectera les performances des systèmes d'information.
La protection des données peut être effectuée à différents niveaux. Par exemple, toutes les données que les utilisateurs envoient au cloud peuvent être chiffrées à l'aide d'algorithmes de chiffrement par blocs. Le niveau suivant est le chiffrement des données dans un système cloud, qui a trois façons :
La première consiste à chiffrer indépendamment les données sur l'ordinateur, puis à les envoyer dans le cloud. Ainsi, vous pouvez faire des copies de sauvegarde de tous les projets. En parallèle, il vaut la peine de télécharger des fichiers cryptés ou des conteneurs cryptographiques sur un disque dur externe, car il existe des exemples où des données provenant d'un stockage en nuage non fiable sont définitivement supprimées sans le consentement du propriétaire.
S'il y a beaucoup de fichiers, vous pouvez utiliser des services qui cryptent les données avant de les envoyer dans le cloud. Certains d'entre eux chiffrent même les en-têtes de fichiers. Ainsi, si les attaquants accèdent au cloud, non seulement le contenu du fichier, mais également son nom ne leur seront pas disponibles.
Un de ces services est Boxcryptor. Le principal avantage de Boxcryptor est sa prise en charge des services de stockage en nuage populaires tels que Dropbox, Google Drive, OneDrive, Box, Amazon, iCloud Drive. Le service prend également en charge toutes les plates-formes populaires, y compris iOS et Android systèmes d'exploitation mobiles. Le produit a une version gratuite, mais il a quelques limitations. Par exemple, vous pouvez travailler avec un seul cloud. La version payante permet de crypter les noms de fichiers et fonctionne avec un nombre illimité de fournisseurs de cloud.
Surveillance de l'infrastructure
Les attaquants peuvent presque toujours trouver un moyen de pirater un système. Par conséquent, pour prévenir les menaces, il est nécessaire de s'assurer que les attaques ne se propagent pas à d'autres systèmes vulnérables. Cela est possible si vous bloquez les connexions non autorisées entre les workflows et empêchez les demandes de connexion dangereuses.
Il existe de nombreux produits sur le marché pour la surveillance de l'infrastructure qui permettent d'obtenir une image complète de l'activité du réseau : voir tous ceux qui se connectent au réseau et définir des règles pour les utilisateurs (ce que des utilisateurs spécifiques peuvent faire et quels droits d'accès ils doivent avoir).
Les systèmes de surveillance permettent également d'obtenir des statistiques pour chaque utilisateur et les événements et menaces associés. Des services tels que Zscaler permettent d'envoyer des journaux au système SIEM d'un client pour recevoir des rapports contenant des données provenant de diverses sources. Zscaler fournit aux utilisateurs une collection de journaux prédéfinis et personnalisés. Il comprend les types de rapports suivants :
- Executive Reports (un bref rapport de sécurité pour les managers, comprenant le nombre de menaces détectées ou de violations des règles pendant un certain temps) ;
- Rapports interactifs ;
- Rapports planifiés (distribution régulière de rapports standards et personnalisés) ;
- Company Risk Score Report (calcul d'une évaluation des risques pour une entreprise inclus dans le package Business et Transformation, et disponible moyennant des frais pour le package Professional) ;
- Comparaison avec les pairs de l'industrie (comparez les performances de l'utilisation de Zscaler dans votre organisation et dans d'autres organisations de votre secteur) ;
- Rapport d'audit du système (rapport système sur l'état des tunnels GRE, des fichiers PAC, etc. En cas de problèmes, le rapport donnera des recommandations sur la façon de les résoudre );
- Rapport d'audit de la politique de sécurité.
Restreindre l'accès aux données
Beaucoup sont déjà habitués au fait que chaque utilisateur se connecte au système d'information avec son identifiant et son mot de passe. Habituellement, les données de mot de passe sont stockées sous forme de hachage dans une base de données sous une forme fermée. Pour éviter le vol d'une session d'utilisateurs autorisés, le hachage du login et du mot de passe est vérifié au chargement de chaque page du système. En cas d'erreur d'authentification, l'utilisateur se déconnectera automatiquement. Mais en plus du système traditionnel de protection utilisant un identifiant et un mot de passe, les services cloud offrent plusieurs autres méthodes de protection des informations.
Récemment, un modèle de sécurité basé sur les rôles (également appelé contrôle d'accès basé sur les rôles) s'est répandu. Ce modèle est basé sur l'identification de l'utilisateur à l'aide d'un login. Lorsqu'un utilisateur est identifié, des rôles et des décisions lui sont automatiquement attribués.
Un modèle de contrôle d'accès basé sur les rôles est conforme aux politiques de sécurité adoptées par diverses organisations. Il permet d'organiser des fonctionnalités telles qu'une hiérarchie des rôles et une séparation opérationnelle des tâches.
Le contrôle d'accès basé sur les rôles (RBAC) considère toutes les informations comme appartenant à cette organisation. Dans un tel système, les utilisateurs ne peuvent pas transférer les droits d'accès aux informations à d'autres utilisateurs. Ce système est basé sur une décision d'accès basée sur des informations sur une fonction qu'un utilisateur exerce au sein d'une organisation donnée en fonction de son rôle.
La définition de l'appartenance et la distribution de l'autorité à un rôle dans un système de contrôle d'accès basé sur les rôles ne dépendent pas de l'administrateur système mais des politiques de sécurité adoptées dans le système. Un rôle peut être compris comme l'ensemble d'actions qu'un utilisateur ou un groupe d'utilisateurs peut utiliser. Le concept de rôle comprend une description des responsabilités, des responsabilités et des qualifications. Les fonctions sont attribuées aux rôles par l'administrateur système. L'accès au rôle est également déterminé par l'administrateur système.
La politique de rôle permet de répartir l'autorité entre les rôles dans le cadre de leurs fonctions officielles, et le rôle de l'administrateur est complété par des pouvoirs spéciaux qui permettent à l'administrateur de contrôler le fonctionnement du système et de gérer la configuration. Les droits des utilisateurs ordinaires sont limités au minimum nécessaire pour exécuter un programme spécifiquerams.
Le nombre de rôles dans le système peut ne pas correspondre au nombre d'utilisateurs réels - un utilisateur, s'il a des responsabilités différentes qui nécessitent des privilèges différents, peut remplir plusieurs rôles, et plusieurs utilisateurs peuvent utiliser un rôle s'ils effectuent le même travail.
Les systèmes cloud tels qu'Amazon EC2 utilisent largement le RBAC pour affiner l'accès des utilisateurs finaux aux ressources. Microsoft Azure utilise également RBAC pour contrôle d'accès aux ressources cloud. Par conséquent, à titre d'exemple, nous donnons quelques actions pouvant être effectuées à l'aide de RBAC :
- accorder à un utilisateur l'autorisation de gérer des machines virtuelles dans un abonnement et à un autre - de gérer des réseaux virtuels ;
- accorder au groupe DBA l'autorisation de gérer les bases de données SQL dans un abonnement ;
- accorder à l'utilisateur l'autorisation de gérer toutes les ressources du groupe de ressources, y compris les machines virtuelles, les sites Web et les sous-réseaux.
La sauvegarde des données
Les applications qui s'exécutent dans le cloud ne sont protégées que dans une certaine mesure. Les histoires apparaissent périodiquement comme l'un ou l'autre fournisseur de cloud non fiable a effacé des machines virtuelles ou des fichiers stockés. Pour protéger pleinement les données générées par les applications cloud, vous devrez effectuer une sauvegarde vers le centre de données du client (DPC) ou un autre cloud.
Dans des scénarios à petite échelle, les utilisateurs peuvent copier des fichiers, par exemple, d'Office 365 vers un volume local ou un lecteur externe. Mais il s'agit d'un processus manuel qui peut être peu fiable et difficile à mettre à l'échelle.
Pour les fichiers volumineux et les applications plus volumineuses, de tels scénarios sont très rares. Les entreprises utilisant le cloud basé sur IaaS peuvent utiliser les interfaces du système d'application (APIs) fournis par les fournisseurs de cloud pour développer leur logiciel de sauvegarde, ou un logiciel de sauvegarde tiers sur des serveurs locaux, un stockage en réseau (NAS) ou leur propre centre de données.
Les sauvegardes de cloud à cloud promettent à l'entreprise plusieurs avantages par rapport aux sauvegardes locales, notamment des coûts d'infrastructure réduits, une sauvegarde et une restauration plus rapides et une plus grande flexibilité.
Dans le cadre du service de sauvegarde sur le cloud, les utilisateurs peuvent sauvegarder des données importantes (fichiers, bases de données, configurations du système d'exploitation) sur le cloud. Pour ce faire, ils installent des agents spéciaux pour sauvegarder les données des applications requises. La présence d'agents permet de garantir l'intégrité des données dans la sauvegarde, et le transfert des données réservées lui-même s'effectue via Internet via VPN Les canaux.
Plan de reprise après sinistre
Le plan de reprise après sinistre aide à protéger votre entreprise contre les interruptions de l'infrastructure informatique et la perte potentielle de données.
Un plan de restauration traditionnel consiste à créer un site de secours, de préférence dans une autre zone ou même une ville. Pour son organisation, il est tenu d'acquérir le même parc d'équipements que sur le site principal, de fournir l'infrastructure du site et d'acquérir un logiciel de secours. Dans ce cas, le coût de création et de maintenance d'un site de secours peut être le même que le coût du site principal. Cela signifie que jusqu'à 50 % de l'ensemble du budget informatique peut servir à assurer la continuité des activités. Alors que le service de sauvegarde cloud offre la possibilité d'augmenter ou de diminuer rapidement le volume de consommation et ne nécessite pas de capidépenses totales.
