e-Xpert Solutions Genève

Chemin du Pont-Du-Centenaire 109
CH-1228 Plan-les-Ouates / Genève
SUISSE

Tel. : +41 22 727 05 55 Fax : +41 22 727 05 50

e-Xpert Solutions Lausanne

Avenue de Gratta-Paille 20
CH-1018 Lausanne
SUISSE

Tel. : +41 21 802 26 78 Fax : +41 22 727 05 50
Contactez notre support : +41 22 727 05 56
Envoyez votre message



Accédez au menu
Contactez-nous

Avis de nos experts sur la protection de ses données externalisées !

Retour aux articles

Externaliser vos données : Avis de nos experts !

Quelle stratégie adopter pour la protection des données ?


Catégorie : Articles

Date de publication : 3 juillet 2018 - Dernière mise à jour : 10 juillet 2018

Rédacteur : Yann Desmarest


Alors que depuis 2013 Microsoft était en litige avec le gouvernement Américain suite à un mandat de perquisition sur des serveurs de l’éditeur logiciel situés dans un pays hors des frontières Américaines (Irlande), l’adoption du CLOUD Act est venue mettre un terme aux discussions entre le gouvernement Américain et les sociétés Américaines.

Avec cette ratification, le gouvernement Américain s’octroie le droit d’accéder aux données sur des serveurs détenus par des entreprises Américaines et hébergés hors des Etats-Unis sans accord préalable de l’entreprise cliente du Fournisseur de service Cloud.

De plus, la commission européenne a présenté “E-evidence”, le 17 avril dernier, une proposition de règlement pour faciliter la lutte contre le terrorisme et la criminalité permettant aux autorités l’obtention de preuves électroniques situées dans les Clouds quelque soit la localisation des serveurs. Le CLOUD Act et E-evidence s’installent dans un contexte difficile avec la mise en application du RGPD. Malgré tout, l’objectif annoncé de ces ratifications est de passer outre les territoires et les lois locales, on parle alors d’extra-territorialité.

Ces “perturbations” viennent renforcer la nécessité d’appliquer de nouveaux principes de sécurité mais surtout de considérer la mise en oeuvre de solutions et process de sécurité malgré la migration des services dans le Cloud.

Rendre le cloud plus secure

Dans l’inconscient collectif, nous nous sommes tous forgés comme une vérité acquise le fait que les Clouds Publics sont moins coûteux, plus flexibles et permettent de déployer des services plus rapidement. On admet également que les fournisseurs de ces services Cloud s’occupent de tous les aspects sécurité et gouvernance des données à notre place.

La vérité est que les Clouds Publics ne sont pas plus sécurisés que les autres architectures disponibles et que nous restons responsable de la sécurisation des infrastructures et des accès aux données malgré l’utilisation de services fournis par ces Clouds.

Dans l’esprit de nombreuses personnes, la sécurité informatique est un frein à l’agilité et à la transformation numérique. Partant de ces principes, de nombreuses sociétés occultent les aspects sécuritaires et les risques encourus à migrer les assets dans le Cloud pour “accélérer” leur migration.

Des chercheurs de l’institut de recherche “The Forrester Research” ont donné un nom à ces suppositions.

The uneven handshake

“Uneven handshake” est un terme Anglais qui désigne un contrat défavorable pour une des parties. Dans les contrats Cloud, on parle souvent de ce terme en faisant référence aux entreprises qui migrent vers le Cloud en pensant qu’ils vont réduire leurs coûts globaux alors qu’en réalité les coûts d’architecture, d'intégration, de test, de monitoring, de gouvernance, … ne sont pas pris en compte dans la phase d’étude mais sont bien présent dans les phases de réalisation.

En sécurité informatique, on utilise souvent ce terme pour désigner des contrats ou le client pense que le fournisseur du service Cloud est responsable de la sécurité, de la disponibilité, des backups et des restaurations des données alors que ce n’est pas le cas.

Dans de nombreux cas, les contrats établis avec les fournisseurs de services Cloud stipulent clairement (si l’on prend le temps de lire les 2356 pages qui composent le contrat) que seuls les services demandés seront fournis. Cela signifie que le client doit souscrire aux options de sécurités proposées par le fournisseur ou s’assurer par ses propres moyens de la sécurisation des accès, du stockage, etc.

Adopter une approche Zero Trust

La sécurisation des environnements Cloud n’est pas une mince affaire. Aussi, changer le modèle de sécurisation des réseaux devient incontournable.

Les modèles de sécurité standards échouent car les attaquants abusent de ces liens de confiances que l’on accorde aux éléments qui composent le réseau interne. Cette confiance devient la cause principale des fuites de données et autres incidents de sécurité informatique.

Les modèles de sécurité traditionnels ne sont plus adaptés aux enjeux techniques et économiques actuels des entreprises. Il faut savoir dire au revoir au traditionnel modèle “Trust but Verify” et laisser la place au modèle “Zero Trust”.

Le modèle Zero Trust repose sur les faits suivants :

Le réseau est nécessairement un environnement hostile,
Les menaces internes et externes existent sur le réseau en tout temps,
La localisation n’est pas suffisante pour décider du niveau de confiance à accorder,
Tous les flux entre équipements, utilisateurs et réseaux sont authentifiés et autorisés,
Les politiques de sécurités doivent être dynamiques et calculées en fonction des sources de données.

Mais le plus gros bouleversement avec ce modèle c’est que l’on applique une sécurité basée sur la donnée. Ce modèle force donc une approche dite “Data Centric”.

Pour accomplir cette transformation et réussir la mise en place d’un tel modèle, les entreprises doivent penser différemment. Il existe 5 grandes étapes clés à respecter :

Identifier et classifier les données sensibles. Trois niveaux de classifications sont suffisants : Publique, Toxique et Radioactive. Cette étape représente un challenge important pour les entreprises qui peuvent avoir de la peine à classifier les données si elles ne savent pas ce qu’elles possèdent.

Cartographier les transactions concernant les données toxiques.Avant de réaliser le design de son réseau Zero Trust, il est important de comprendre la manière dont les données circulent entre les utilisateurs et les applications.

Concevoir son architecture Zero Trust. L’architecture définie doit mettre en valeur comment les flux transitent au travers du réseau et comment les utilisateurs accèdent aux données sensibles.

Mettre en oeuvre des politiques de sécurité pour appliquer les contrôles d’accès et les segmentations. Il s’agit de mettre en place et configurer les bonnes solutions technologiques afin de garantir l’application des politiques de sécurité adéquates.

Superviser en permanence l’écosystème Zero Trust. C’est un fondement clé de ce modèle. Les entreprises doivent gagner en visibilité en analysant les logs et le trafic réseau afin d’identifier et répondre rapidement à un incident de sécurité.

Source : Zero Trust Security: A CIO’s Guide To Defending Their Business From Cyberattacks (Forrester Research - 14 juin 2017)

Adopter un modèle Zero Trust est un excellent départ pour sécuriser les accès et les données dans le Cloud. D’autres concepts viennent compléter cette approche et enrichir le niveau de sécurité dans le Cloud.

Chiffrer les données

Le chiffrement des données est un vaste sujet que de nombreuses sociétés tentent de s’emparer pour parfois conseiller au mieux les clients mais trop souvent masquer les challenges et orienter ces mêmes clients vers des solutions inadaptées. Il est parfois difficile de démêler le vrai du faux et savoir quelle stratégie adopter relève plutôt de la devinette que de la réflexion.

Globalement, on peut identifier trois grandes familles de chiffrements nécessaires pour sécuriser les données dans le Cloud :

Chiffrement des données en transit

Cela va de soit que le transit des données entre les utilisateurs et les services dans le Cloud doit être sécurisé pour éviter tout risque d’interception et un vol de données. Les données vont transiter à travers des tunnels SSL/TLS (en utilisant HTTPS par exemple) ou via des tunnels IPSEC (pour établir des liaisons sécurisées entre Cloud).

Attention, la configuration des paramètres de sécurité est primordiale pour garantir un niveau de sécurité optimal. Par exemple, activer SSL/TLS ne suffit pas. Vos données en transit seront certe chiffrées mais une mauvaise configuration des paramètres SSL pourrait laisser la porte ouverte à des pirates qui exploiteront des faiblesses ou des vulnérabilités du protocole pour déchiffrer le flux et ainsi intercepter les données en clair.

Chiffrement des données stockées

En mettant en place un contrôle d’accès granulaire, il est possible de restreindre l’accès aux données aux seuls utilisateurs qui ont activé le chiffrement des données sur leur terminal. Il est également possible de contraindre les utilisateurs à accéder aux données au travers de conteneurs sécurisés uniquement. Ce sont des solutions très souvent utilisées pour sécuriser l’accès aux données dans les architectures Bring Your Own Device (BYOD).

D’un autre côté, le chiffrement des données stockées sur les services Cloud mérite également une attention particulière. Le fournisseur Cloud ne va pas chiffrer automatiquement vos données mais plutôt vous proposer des services additionnels ou vous rediriger vers des éditeurs tiers partenaires vous permettant de réaliser ces tâches. En fonction des fournisseurs, vous allez pouvoir :

Utiliser un chiffrement côté serveur - Dans ce cas le fournisseur s’occupe du chiffrement des données avant le stockage sur les disques dans le datacenter et du déchiffrement des données avant de servir une demande de téléchargement de la donnée.

Utiliser un chiffrement coté client - En choisissant cette option, la donnée est chiffrée sur le poste utilisateur avant d’être envoyée dans le Cloud. Le déchiffrement ne peut se faire que sur les postes utilisateurs, le fournisseur d’accès n’a alors aucun moyen d'accéder à la donnée en clair.

On pourrait être tenté de dire que le chiffrement côté client est la solution idéale pour assurer une totale protection de ses données. C’est théoriquement vrai ! Cependant, il faut prendre en compte de nombreux paramètres qui mis bout-à-bout vous font privilégier le chiffrement côté serveur. Par exemple, utiliser un chiffrement côté client peut rendre votre service inutilisable car il ne peut pas traiter des données chiffrées.

Afin de répondre aux exigences sécuritaires de ses clients, plusieurs fournisseurs de services Cloud permettent aux entreprises de gérer complètement le chiffrement des données stockées dans le Cloud via le Bring Your Own Encryption (BYOE). On utilise également très souvent le terme Bring Your Own Key (BYOK).

Le principe est simple, le client utilise des clés de chiffrements qu’il a lui même générées en suivant ses processus internes. Le fournisseur du service Cloud met à disposition des conteneurs sécurisés pour stocker les clés et le client est le seul à en disposer réellement.

Le BYOK permet de gagner en contrôle sur la gestion des clés de chiffrements et prend tout son sens lorsqu’il s’agit de chiffrer les données à travers plusieurs fournisseurs de services Cloud. Le client a alors l’opportunité de simplifier grandement cette phase de chiffrement et ne pas reposer sur les mécanismes hétérogènes des différents fournisseurs qui constituent des embuches supplémentaires dans cette longue route vers le Cloud.

Chiffrement end-to-end

Le chiffrement de bout-en-bout (end-to-end en anglais) est souvent recherché par les entreprises ayant des contraintes sécuritaires fortes et souhaitant malgré tout s’aventurer dans le Cloud.

Ce type de chiffrement consiste à chiffrer la donnée de sa création à son stockage en passant par son transit. La messagerie électronique est le service idéal pour appliquer ce type de chiffrement.

En s’appuyant sur les protocoles S/MIME ou PGP, l’utilisateur va pouvoir chiffrer son e-mail depuis la création de ce dernier jusqu'à sa réception par le destinataire. Ainsi, seul le destinataire peut consulter le message en clair. Le fournisseur Cloud, un quelconque gouvernement ou un concurrent ne peut pas déchiffrer le message et le consulter. Ce type de chiffrement ne peux malheureusement pas s’appliquer aux données qui nécessitent un traitement par le service Cloud.

Conclusion

Le constat est sans appel, les entreprises doivent gérer non pas 1 mais plusieurs Cloud (Multi-Cloud) et de surcroît appliquer une politique de sécurité uniforme que ce soit on-premise ou dans les différents Cloud souscrits.

Le temps passe et les mythes sont en train de tomber :
Non le Cloud public ne permet pas de systématiquement réduire les coûts,
Non, votre fournisseur Cloud n’assure pas la sécurité de vos données,
Non, la mise en place de politique de sécurité ne met pas en péril les raisons principales de migration vers le Cloud,
Non, ce n’est pas mission impossible de concilier Cloud et Sécurité !

Il faut simplement s’entourer de partenaires compétents et motivés.

Abonnez-vous
à nos newsletters