Les 3 bonnes pratiques de la protection des données dans le cloud

La taille de la « datasphère mondiale » explose. Selon les prévisions d’IDC, le volume des données dans le monde aura à nouveau doublé d’ici à 2026. Alors que la plupart des entreprises ont opéré leur transformation numérique, elles ne cessent de créer davantage de workloads stratégiques et une quantité croissante de données.

Face à cette croissance exponentielle des données à traiter, la migration dans le cloud dans le cadre d’une stratégie élaborée offre des avantages significatifs en termes d’évolutivité, de flexibilité et de stockage économique. Mais cette tendance peut-elle se poursuivre indéfiniment ?

Gartner prévoit que les dépenses totales des utilisateurs au niveau mondial dans les services cloud publics atteindront un montant record de 592 milliards de dollars cette année, soit une augmentation de 21 % par rapport à 2022.

Ce rythme rapide de croissance et de migration soulève certaines préoccupations au sein des entreprises, avec des migrations « lift and shift » accélérées qui ne respectent pas toujours les meilleures pratiques en matière de protection moderne des données.

Dans un rapport de la CSA (Cloud Security Alliance), 96 % des entreprises indiquent que leurs données sensibles hébergées dans le cloud sont insuffisamment sécurisées : la route est donc encore longue dans ce domaine.

Connaître ses données

La première étape dans la résolution d’un problème quel qu’il soit consiste à en connaître la nature. Pour pouvoir protéger quoi que ce soit, il est d’abord nécessaire de savoir qui stocke quoi et où.
Par exemple, est-ce que les utilisateurs de l’entreprise se servent des mêmes comptes ?

Pour s’en assurer, les équipes informatiques doivent souvent jouer les détectives et partir à la découverte dans l’entreprise. Il est fréquemment nécessaire de passer les finances au crible et de collecter les factures correspondant aux différentes dépenses dans le cloud.

Le volume cumulé de données conservées par la majorité des entreprises – qu’elles aient migré depuis des installations sur site ou été stockées dès le départ dans le cloud – est considérable.
Si l’« entrepôt virtuel » que constitue le cloud présente une capacité illimitée de stockage, y héberger tout ne résout que la moitié du problème. Afin de savoir quelles données sont critiques et sensibles, elles doivent être classifiées.

Des moteurs de classification automatique peuvent aider à les trier et à les organiser. Ce n’est qu’une fois que l’on a déterminé exactement quelles données sont stockées dans le cloud – et où – que l’on peut commencer à chercher comment les sécuriser.

La migration des données dans le cloud étant relativement accessible pour les entreprises, Il se peut que leurs équipes n’aient pas inscrit dans leurs priorités les processus de sécurité et réseau nécessaires, a fortiori si cette migration s’est déroulée trop vite.

De même, du fait que le cloud est un environnement entièrement différent à sécuriser, des aspects sont souvent négligés : en effet, quantité de nouveaux types de services n’existaient pas nécessairement sur site et nombre d’entre eux doivent être protégés et restaurés en cas d’attaque ou de panne. Il s’agit par exemple du stockage de code dans cloud, d’applications faisant appel à d’autres services cloud ou encore d’API mises à disposition dans le cloud.

Définir les responsabilités

L’un des principaux problèmes des entreprises est dû au fait qu’elles n’ont que rarement conscience de leurs responsabilités exactes s’agissant de la sécurité et de la protection des données dans le cloud. Il existe une grande méconnaissance du modèle de responsabilité partagée sur lequel repose la sécurité du cloud. Cela les amène à penser que le prestataire cloud est responsable de certaines mesures de sécurité qui sont en réalité de leur propre ressort.

Même si cela peut varier selon chaque prestataire, celui-ci a généralement la responsabilité de la sécurité de l’infrastructure et des installations physiques qui l’hébergent. En revanche, la sécurisation des applications, des données et de l’accès à l’environnement incombe au client.