Cette année, le cloud computing gagne du terrain au sein des entreprises. Les DSI sont dorénavant convaincus que lorsqu’il est correctement implémenté, le cloud computing peut radicalement améliorer la flexibilité et la productivité de l’entreprise tout en réduisant les coûts d’infrastructure. On s’attend à ce que les grandes et petites entreprises basculent d’importantes parties de leurs opérations dans le cloud d’ici les deux prochaines années. Par Christophe Auberger, Responsable Technique chez Fortinet.

Pourtant, alors que chaque organisation veut une partie du cloud, toutes n’obtiendront pas les résultats qu’elles désirent. Voici les cinq principales erreurs à éviter:

Ne pas opter pour le bon modèle de cloud

Les entreprises migrant vers le cloud peuvent choisir parmi les clouds publics, clouds privés, clouds communautaires ou clouds hybrides.

1. Le cloud public: Il appartient à un fournisseur cloud et est accessible à un large public. Le principe est de payer à l’utilisation et la plateforme est partagée avec d’autres utilisateurs.
2. Le cloud privé: Il appartient et est déployé par une organisation pour sa propre utilisation puisqu’elle en est la seule et unique propriétaire.
3. Le cloud communautaire: Il est partagé en coopération par plusieurs organisations, souvent de la même industrie.
4. Le cloud hybride : Il mixe les modèles de déploiement cloud énumérés ci-dessus, permettant aux applications et données de passer facilement d’un cloud à l’autre.

Chaque type de déploiement en matière de cloud a ses avantages. Les facteurs à considérer avant l’adoption sont : le niveau de criticité des applications que l’entreprise veut basculer dans le cloud ; les questions de réglementation et de conformité ; les niveaux de services (SLA) nécessaires ; les modes d’utilisation selon les charges de travail ; et la manière dont les applications doivent être intégrées aux autres fonctions de l’entreprise.

Ne pas intégrer la sécurité cloud dans sa politique de sécurité d’entreprise

Vos politiques de sécurité cloud et sécurité d’entreprise doivent être intégrées. Au lieu de créer une nouvelle politique de sécurité pour le cloud, renforcez plutôt vos politiques de sécurité existantes en considérant cette plateforme supplémentaire. Pour modifier vos politiques cloud, vous devez tenir compte des facteurs suivants: où sont stockées les données, comment elles sont protégées, qui en a accès, mais aussi la conformité avec les règlementations, et les niveaux de services SLA.

Lorsqu’elle est correctement effectuée, l’adoption du cloud computing peut être une occasion d’améliorer vos politiques de sécurité et votre position globale de sécurité.

Compter sur la sécurité de son fournisseur de services cloud

Ne pensez pas que vos données soient automatiquement sécurisées parce que vous utilisez un fournisseur de services. Vous devez faire un examen complet de la technologie et des processus de sécurité du fournisseur, et vérifiez la manière dont ils sécurisent vos données et leurs infrastructures. Plus précisément, vous devriez examiner :

1. La transportabilité des données et applications: votre fournisseur vous permet-il d’exporter les applications, données et processus existants dans le cloud? Pouvez-vous les importer de nouveau aussi facilement ?
2. La sécurité physique des centres de données: Comment les fournisseurs de services protègent leurs centres de données physiques? Utilisent-ils des centres de données certifiés aux normes SAS 70 Type II? Comment leurs opérateurs de centres de données sont-ils formés et qualifiés ?
3. La sécurité des accès et des opérations: Comment votre fournisseur contrôle l’accès aux machines physiques? Qui est en mesure d’accéder à ces machines, et comment sont-elles gérées ?
4. La sécurité du centre de données virtuel: L’architecture cloud est la clé de l’efficacité. Sachez comment les parties individuelles telles que les nœuds de traitement, nœuds du réseau et nœuds de stockage sont architecturés, et comment elles sont intégrées et sécurisées.
5. La sécurité des données et des applications: Pour mettre vos politiques en application, la solution cloud doit vous permettre de définir des groupes et rôles avec un contrôle d’accès basé sur le rôle précis, des règles de mots de passe et une encryption des données appropriées (en transit et à l’arrêt).

Supposer que vous n’êtes plus responsable de la sécurisation des données

Ne pensez jamais que l’externalisation de vos applications ou systèmes signifie que vous n’êtes plus responsable en cas de violation de données. Certaines PME ont cette fausse idée mais sachez que votre entreprise est toujours au bout du compte responsable vis à vis de ses clients et de tout autre partie prenante lorsqu’il s’agit d’inviolabilité des données. Autrement dit, c’est votre CEO qui risque d’aller en prison, et non le fournisseur cloud.

Ne pas savoir quelles lois locales s’appliquent

Les données qui sont en sécurité dans un pays peuvent ne pas l’être dans un autre. Cependant, dans de nombreux cas, les utilisateurs des services cloud ne savent pas où sont stockées leurs informations. Actuellement dans le processus d’harmonisation des lois sur les données de ses états membres, l’Union Européenne favorise la protection très stricte de la vie privée, tandis que les lois américaines, telles que l’US Patriot Act, permettent au gouvernement et autres organismes d’avoir un accès quasi illimité aux informations appartenant aux entreprises.

Sachez toujours où sont vos données. Si nécessaire, stockez vos données dans plusieurs endroits. Il est conseillé de choisir une juridiction qui vous permet d’accéder à vos données même si votre contrat avec votre fournisseur cloud se termine de manière inattendue. Le fournisseur de services devrait également vous donner l’option de choisir l’endroit où vos données seront stockées.

Christophe Auberger, Responsable Technique chez Fortinet