Il y a encore dix ans, l’attitude dominante chez les décideurs technologiques des entreprises consistait à penser que les infrastructures de stockage de données dans le Cloud étaient intrinsèquement non sécurisées. Une majorité de personnes interrogées lors d’une enquête TrendMicro (55 %) estimait que l’utilisation de solutions de stockage partagé présentait des risques et augmentait la vulnérabilité. 53 % déclaraient même que leurs inquiétudes à l’égard de la sécurité les retenait d’adopter les technologies Cloud.
Les chefs d’entreprise d’aujourd’hui ont beaucoup plus confiance dans les capacités des fournisseurs de Cloud public. Dans le cadre d’une enquête récemment publiée par le SANS Institute, seuls 28 % des répondants ont estimé que l’architecture de sécurité Cloud de leur organisation ne limitait pas efficacement les risques. Près de la moitié (42,5 %) ont au contraire déclaré qu’à leur avis, les outils et les contrôles de sécurité disponibles dans le Cloud figuraient parmi les meilleurs du secteur.
Cette confiance dans la sécurité du Cloud public n’est certainement pas mal placée. Les principaux fournisseurs de Cloud ont accès à du matériel et à une infrastructure de pointe, à une sécurité physique performante et à un savoir-faire technique supérieur à celui que même les plus grandes entreprises peuvent espérer maîtriser lorsqu’elles créent un data center local. Ils gèrent également des installations résilientes de data center géo-redondants dans le monde entier, dans plusieurs zones et plusieurs régions de disponibilité, ce qui garantit que des pannes locales n’auront pas d’impact sur leurs clients. Ils atteignent en outre régulièrement des taux moyens de disponibilité de service supérieurs à 99,99 %.
Néanmoins, bien sécuriser les données dans le Cloud n’est pas la même chose que sécuriser des architectures de stockage héritées. Pour protéger vos bases de données, vos data lakes ou votre data warehouse dans le Cloud, vous devez conserver une visibilité continue, appliquer de bonnes pratiques de gouvernance et vérifier que vous comprenez exactement en quoi le modèle de responsabilité partagée du Cloud public s’applique à vos besoins propres en matière de stockage, d’accès et d’utilisation des données.
Comprendre le modèle de responsabilité partagée pour la protection des données dans le Cloud
Bien que la transformation du Cloud puisse en réalité améliorer la sécurité des données pour l’ensemble de votre organisation, les architectures Cloud peuvent également créer des risques et des vulnérabilités sensibles si les parties prenantes ne comprennent pas pleinement qui est responsable de la sécurisation de quoi dans un environnement Cloud. Dans chacun des modèles de service Cloud, qu’il s’agisse de Software-as-a-Service (SaaS), de Platform-as-a-Service (PasS) ou d’Infrastructure-as-a-Service (IaaS), le fournisseur de Cloud n’assume la responsabilité que de certains aspects du déploiement. Dans ces trois modèles, il est chargé de sécuriser les data centers physiques et le matériel qu’ils contiennent, ainsi que la couche de virtualisation à travers laquelle les ressources Cloud sont fournies à leurs utilisateurs. De même, dans tous les modèles, les clients du Cloud sont responsables de la sécurisation de leurs propres données, de la gestion des identités et des accès des utilisateurs, de la maintenance de l’infrastructure et des appareils qui se connectent au Cloud et de la configuration appropriée de leurs plateformes et ressources Cloud.
De nombreux autres aspects d’un environnement Cloud peuvent cependant sembler flous. Les contrôles de sécurité qu’un client du Cloud doit gérer dans l’implémentation IaaS d’un fournisseur peuvent paraître très différents de ceux d’une solution PaaS du même fournisseur. En général, les clients sont entièrement responsables de la sécurité des applications et des charges de travail exécutées sur des instances serveur dans le Cloud.
Il est toujours primordial de lire attentivement les contrats et la documentation afin de bien comprendre l’offre et l’architecture du fournisseur de Cloud avant de commencer à mettre en place des contrôles. En pratique, cela peut signifier, par exemple, que si vous avez créé un data lake dans le Cloud et soigneusement défini des rôles et des privilèges d’accès délimités, mais que vous n’avez pas pris le même soin pour le compartiment S3 sous-jacent où les données sont réellement stockées, vous laissez ouverte une grave faille de sécurité.
Conserver des contrôles de conformité appropriés
Quel que soit le secteur d’activité ou le lieu d’implantation d’une entreprise et quel que soit aussi le nombre de certificats de conformité détenus par un fournisseur de Cloud, il est de la responsabilité du client du Cloud de respecter ses propres exigences de conformité réglementaire. Naturellement, celles-ci varient selon le secteur vertical, l’endroit où l’entreprise est située et celui où elle opère.
Certaines réglementations, telles que la loi Sarbanes-Oxley de 2002 (SOX) ou la norme de sécurité des données de l’industrie des cartes de paiement (PCI-DSS), exigent que les organisations qui traitent ou gèrent des données financières mettent en place certains contrôles de sécurité. D’autres, tels que le California Consumer Privacy Act (CCPA) ou, en Europe, le Règlement général sur la protection des données (RGPD), imposent des règles strictes qui régissent la façon, l’endroit et le moment où les données personnelles des consommateurs peuvent être stockées.
Garantir le respect du RGPD dans le Cloud pose plusieurs difficultés spécifiques. Le RGPD limite la mesure dans laquelle les données personnelles appartenant à des citoyens de l’UE peuvent être stockées hors de l’Espace économique européen (EEE). Les entités soumises au RGPD doivent s’assurer que leur fournisseur de Cloud respecte les lois sur l’emplacement des données et les exigences d’adéquation de la réglementation. En outre, le RGPD exige que les organisations conservent le contrôle et la propriété de leurs propres données lorsque celles-ci sont stockées dans le Cloud. Ils doivent également être en mesure de garder le contrôle et la visibilité des types de métadonnées recueillies par le fournisseur de Cloud.
Le RGPD exige également que les clients du Cloud puissent récupérer des données dans un format structuré et utilisable et soient en mesure de les fournir à la demande aux personnes concernées. De plus, les données ne doivent pas être stockées plus longtemps que nécessaire et il doit être possible de les supprimer intégralement à la demande. Cela crée des problèmes dans certaines architectures de data lake.
Dans Apache Hadoop Distributed File System (HDFS), par exemple, les fichiers sont stockés sous forme de séquences de blocs immuables et il n’est pas possible de supprimer des enregistrements individuels. Afin de conserver le droit à l’effacement qu’exige la conformité au RGPD, les entreprises peuvent avoir à remplacer des solutions obsolètes par des data lakes modernes.
Sauvegardes et réplication pour protéger vos données Cloud
Bien que les fournisseurs de Cloud public d’aujourd’hui aient acquis, à juste titre, la réputation de sécuriser fortement les données, il incombe au client de comprendre les limites du modèle de responsabilité partagée, de s’assurer que ses données sont stockées conformément aux exigences de conformité et de maintenir des procédures de bonne gouvernance. Les clients doivent également savoir comment fonctionnent la réplication et les sauvegardes de données dans le Cloud.
La réplication implique le stockage d’une copie supplémentaire des données actives sur un nœud ou un site secondaire. Les fournisseurs de Cloud répliquent les données pour accroître la résilience et améliorer les performances des applications gourmandes en données en les faisant passer automatiquement sur le nœud qui offre la meilleure qualité de service. Un compartiment de stockage AWS S3, par exemple, crée automatiquement trois réplicas de chaque objet qui y est stocké. Il ne faut toutefois pas les confondre avec des sauvegardes.
Puisque la réplication concerne des données actives, ces données changent en même temps que les données de production principales. Autrement dit, il n’est pas possible d’effectuer une restauration à partir d’un réplica comme vous le feriez depuis un instantané ou une sauvegarde complète. Pour conserver un historique de vos données, vous devez activer le contrôle de version. Vous devrez par ailleurs veiller à décider qui est autorisé à consulter les versions (ou à les supprimer). Pour des fonctionnalités plus fines de protection et de récupération des données, vous pouvez choisir des offres supplémentaires telles que le stockage géo-redondant ou une solution de sauvegarde Cloud complète.
Si vous envisagez d’adopter le Cloud, mais que les questions de sécurité et de conformité des données vous inquiètent, contactez notre équipe de conseillers. Elle offre une gamme de services de conseil qui vous aideront à élaborer votre stratégie Cloud et à créer des règles de gouvernance, de sécurité et de conformité.
