Sécurité Cloud : risques, défis et stratégie de défense
Qu'est-ce que la sécurité Cloud ?
Les politiques, contrôles, technologies et pratiques qui protègent les données, applications et infrastructures dans les environnements cloud (IaaS, PaaS, SaaS). La responsabilité est partagée entre fournisseur et client.
Principales menaces (CSA « Egregious 11 »)
- Violations de données – Stockage mal configuré (buckets S3), identifiants volés, vulnérabilités appli.
- Mauvaise configuration – Groupes de sécurité ouverts, IAM excessif, snapshots publics.
- API non sécurisées – Authentification cassée, limitation débit, injection.
- Détournement de compte – Hameçonnage, bourrage d'identifiants, fatigue MFA.
- Menace interne – Admins malveillants ou négligents.
- DoS/DDoS – Volumétrique, couche application (abus API).
- Gaps conformité – RGPD, HIPAA, PCI-DSS, SOC 2 échecs.
- Chaîne d'approvisionnement – Images conteneurs compromises, modules IaC, dépendances SaaS.
- Visibilité limitée – Angles morts multi-cloud, shadow IT.
- Risques multi-locataires – Canaux auxiliaires, échappements hyperviseur (rares).
- Prolifération identités & accès – Rôles sur-privilégiés, clés inutilisées.
Stratégie de défense en profondeur
| Couche | Contrôles |
|---|---|
| Identité | Zero Trust, MFA (résistant phishing), moindre privilège, accès JIT, CIEM |
| Données | Chiffrement au repos (KMS) & en transit (TLS 1.3), DLP, tokenisation, rotation clés |
| Réseau | Segmentation VPC, SG/NACL, PrivateLink, WAF, protection DDoS (Shield, Cloud Armor) |
| Charge de travail (Workload) | CSPM, CNAPP, protection runtime (Falco, Tetragon), signature images, contrôle admission |
| Opérations | Logs centralisés (SIEM), SOAR, threat intel, purple teaming, chaos engineering |
| Gouvernance | Policy-as-code (OPA, Sentinel), détection dérive, automatisation conformité, FinOps |
Modèle de responsabilité partagée
- Fournisseur : Physique, réseau, hyperviseur, plan de contrôle services gérés.
- Client : Données, identités, configurations, OS (IaaS), code appli, chiffrement côté client.
Automatiser tout ; supposer la violation ; vérifier en continu.