Perception contre. Réalité
Les professionnels de l’informatique perçoivent souvent le cloud comme non sécurisé ou moins sécurisé que le fait d’avoir leurs applications et leurs données résidant dans leurs propres centres de données. Mais les perceptions ne correspondent pas nécessairement à la réalité.
Lorsque CA et le Ponemon Institute ont commandé une étude auprès de plus de 900 professionnels de l’informatique en mai 2010, ils ont constaté que les praticiens de l’informatique pensaient que les risques de sécurité étaient plus difficiles à réduire dans le cloud, y compris la sécurisation de l’emplacement physique des actifs de données et la restriction de l’accès des utilisateurs privilégiés aux données sensibles. L’enquête a révélé que le personnel informatique a admis avoir une connaissance incomplète des ressources informatiques déployées dans le cloud, principalement parce que ces décisions sont prises par les utilisateurs finaux en dehors de toute révision informatique. Environ la moitié de tous les répondants reconnaissent que de nombreuses ressources cloud ne sont pas évaluées pour la sécurité avant le déploiement au sein de leurs organisations.
Peut-être que tout le remue-ménage concerne davantage les applications Web non sécurisées que le cloud lui-même. Bon nombre des principaux exploits de sécurité Web, tels que les scripts intersites et l’injection SQL, existent depuis presque l’époque où les serveurs Web ont été inventés et, pour une raison quelconque, ils continuent de gêner de nombreuses installations d’entreprise. Ironiquement, un rapport publié en mai 2010 par Derek Brink du groupe Aberdeen montre que les utilisateurs d’outils de sécurité Web basés sur le cloud s’en sortent mieux que leurs équivalents sur site avec moins d’incidents de logiciels malveillants.
Certes, il existe des environnements cloud plus ou moins sécurisés, tout comme il existe des centres de données locaux plus ou moins sécurisés. La Cloud Security Alliance est une organisation à but non lucratif créée pour promouvoir l’assurance de la sécurité parmi les fournisseurs de cloud computing. L’Alliance promeut les meilleures pratiques de sécurité et crée un consensus autour de questions de sécurité particulières. Fondée il y a deux ans par un consortium de fournisseurs et de responsables informatiques d’utilisateurs finaux, elle a créé plusieurs groupes de travail, tels que ceux qui se concentrent sur les opérations des centres de données, l’eDiscovery et la gestion du cycle de vie.
Toute personne recherchant des services cloud doit rechercher des réponses claires et convaincantes à quatre questions :
Comment les données sont-elles chiffrées, à la fois en cours d’utilisation et au repos, lorsqu’elles sont stockées dans l’infrastructure cloud ?
Des contrôles d’accès précis sont-ils en place ?
Quelle part de l’infrastructure cloud est redondante ?
Dans quelle mesure les applications Web sont-elles protégées ?
Nous examinons chacun d’entre eux plus en détail dans les pages suivantes.
