De la visibilité inadéquate à l’accès à la complexité de la gestion, les environnements multicaloud font passer les problèmes de sécurité du cloud à un autre niveau.
Un environnement multicloud est désormais standard pour la taille moyenne et les grandes organisations, les leaders technologiques choisissant d’utiliser plusieurs fournisseurs de cloud pour l’amélioration de la flexibilité, de la résilience et des avantages supplémentaires qui fonctionnent dans plusieurs nuages.
Mais une approche multicloud s’accompagne également de défis, en particulier en ce qui concerne la sécurité.
En fait, les CISO ont répertorié la gestion du cloud multical et hybride comme l’un des plus grands défis de cybersécurité de leur organisation, selon le rapport de sécurité du cloud 2025 de Check Point Software Technologies. Il est venu dans le n ° 3, après avoir sauvegardé des actifs et une propriété intellectuelle de grande valeur et amélioré la visibilité et la détection des menaces.
Cependant, sécuriser un environnement multicloud n’est pas un défi singulier; c’est une foule d’entre eux. Voici un aperçu des cinq défis les plus importants que les CISO et leurs équipes sont confrontés dans cet espace.
1. Atteindre une visibilité adéquate dans tous les nuages
Ce défi est en tête de liste pour de nombreux leaders de la sécurité.
Les CISO expérimentées reconnaissent que l’obtention d’une image précise et complète de l’environnement informatique est depuis longtemps une tâche difficile – que ce soit sur Prem ou tout dans le cloud. Mais ils soulignent que le travail est plus compliqué et complexe dans un environnement qui s’étend sur plusieurs fournisseurs de cloud.
Cet étalement rend plus difficile pour les CISO de « avoir la confiance qu’ils regardent dans l’environnement de manière holistique, qu’ils recherchent toutes les bonnes choses et qu’il n’y a pas de pièce de sécurité qu’ils ont ignorée », explique Randy Armknecht, qui en tant que directeur général de la cabinet de consultation Proviviti dirige son infrastructure mondiale, ses pratiques de génie de la sécurité.
Les CISO, bien sûr, ont une certaine visibilité dans tous leurs déploiements cloud. En effet, ils peuvent même avoir une grande visibilité dans l’un de leurs environnements cloud – généralement le premier cloud que l’organisation a adopté, car ils avaient beaucoup investi dans la formation de leurs équipes à utiliser les outils d’observabilité de ce fournisseur lorsqu’ils ont fait le passage à ce cloud.
Cependant, les CISO n’ont souvent pas les ressources – le temps, les compétences et les outils – pour étendre cette visibilité dans les autres configurations de cloud à mesure que leur organisation s’est développée, dit Armknecht.
Et même si les CISO et leurs équipes connaissent bien les outils d’observabilité fournis par chaque fournisseur de cloud, ils ont généralement du mal à gérer les informations de ces multiples outils, ajoute-t-il.
«La plupart des praticiens de la sécurité se sentent plus à l’aise dans un nuage que les autres, et ils peuvent se sentir vraiment bien dans l’un d’eux, mais ils n’ont pas le même niveau de confiance pour les autres», explique Armknecht.
Les progrès technologiques aident les CISO à surmonter ce défi. Armknecht pointe vers des outils tels que les plates-formes de protection des applications (CNAPP) du cloud-natives qui offrent une observabilité multicaloud.
Il voit l’utilisation d’outils comme un impératif. «Je suis un fan d’obtenir une visibilité complète aussi rapidement que vous pouvez. Je ne voudrais pas être à la table, on me demande pourquoi nous ne savions pas un problème qui a conduit à une violation», dit-il.
2. Équilibrer la facilité d’un programme de sécurité uniforme avec les avantages d’une approche spécifique au fournisseur
Certains cisos choisissent d’avoir un seul programme de sécurité pour l’ensemble de leur environnement cloud tandis que d’autres adoptent une approche spécifique au cloud. Chaque stratégie a des avantages et des inconvénients, explique Wolfgang Goerlich, faculté de recherche IANS et un CISO du secteur public.
«Si vous traitez tous les nuages de la même manière, si vous avez un programme de sécurité unifié, cela signifie que vous n’utilisez pas les outils de sécurité natifs et que vous ne conduisez pas la valeur de chaque cloud. Et toutes les solutions ne tireront pas des données (de chaque fournisseur de cloud) avec Fidelity, et toutes les applications ne seront pas aussi granulaires que les outils natifs», explique-t-il. « Mais si vous allez natif, si vous plongez profondément dans chaque cloud, vous ajoutez plus de technologie et vous n’aurez probablement pas d’équipes qui peuvent travailler dans les différents nuages, vous créez donc plus de défis avec les processus, le personnel et la technologie. »
Goerlich ne répertorie pas une option comme meilleure que l’autre, mais souligne plutôt la nécessité de peser les avantages et les inconvénients de chacun lors de l’élaboration d’un plan de sécurité d’entreprise.
«Il s’agit de compromis», dit-il. «Vous pouvez organiser votre équipe par cloud pour stimuler plus de valeur des capacités natives, ou demander à votre équipe de savoir suffisamment sur chaque cloud pour effectuer des changements, ou le porter à un niveau élevé et ne pas utiliser les outils natifs.»
3. Ne pas échouer sur l’étendue et la profondeur des compétences nécessaires pour sécuriser plusieurs nuages
La sécurisation des environnements multicloud nécessite plus de compétences que les compétences nécessaires pour sécuriser un environnement homogène – une exigence qui ajoute plus de stress aux CISO qui ont déjà du mal à suivre toutes les compétences nécessaires pour protéger une entreprise moderne.
De plus, les compétences que l’équipe a tendance à être réparties de manière inégale.
Par exemple, une équipe qualifiée de collecte de journaux d’AWS peut ne pas avoir l’aptitude à gérer en toute confiance la même tâche dans Azure et vice versa, dit-il. «Même à un niveau élevé, les journaux eux-mêmes sont différents du fournisseur de cloud au fournisseur de cloud. La façon dont vous ingérez tous les bons journaux pour effectuer des enquêtes de sécurité ainsi que la façon dont vous trouvez des vulnérabilités de sécurité est différente», explique Gerchow.
Avoir une stratégie de sécurité bien pensée pour équilibrer la facilité d’un programme de sécurité uniforme avec les avantages d’une approche spécifique au fournisseur (défi n ° 2) peut aider à identifier les compétences nécessaires.
Ensuite, les CISO ont besoin d’un programme de formation solide pour s’assurer que les membres du personnel ont les compétences dont ils ont besoin pour exécuter avec succès la stratégie à travers l’environnement multicloud et avec chaque fournisseur de cloud, dit Gerchow. En d’autres termes, les CISO doivent investir suffisamment dans la formation de leur peuple pour travailler efficacement dans chaque cloud utilisé par l’organisation.
4. Obtenir des configurations correctes
Selon Gerchow, obtenir des configurations dans n’importe quel environnement est une tâche difficile, mais les leaders de la sécurité disent que l’échelle et l’étendue d’un environnement multicloud rendent cette tâche de façon exponentielle plus difficile, selon Gerchow. En effet, chaque fournisseur de cloud a son propre ensemble d’interfaces de services, d’API et de gestion, ainsi que ses propres règles et systèmes de gestion des configurations.
Pris tous ensemble, cela met plus de stress aux équipes de sécurité, qui doivent non seulement apprendre et maîtriser tous les outils et techniques spécifiques au cloud, mais également garder une trace des outils et techniques s’appliquent au fournisseur de cloud pour s’assurer qu’ils ne font pas d’erreur de configuration.
Des erreurs sont courantes: le rapport de sécurité du cloud 2024 de Check Point a révélé que 23% des répondants au sondage qui avaient connu un incident de sécurité du cloud public ont blâmé les erreurs de configuration. Les erreurs de configuration courantes incluent des contrôles d’accès trop permissifs, des seaux de stockage exposés, des données non cryptées et une segmentation de réseau inadéquate – qui peuvent tous entraîner des violations de données et un accès non autorisé.
5. Obtenir la bonne gestion de l’identité et de l’accès
Les CISO sont confrontés à des défis similaires avec l’identité et la gestion de l’accès (IAM) dans un environnement multicloud, explique Jeffrey Brown, ancien CISO pour l’État du Connecticut et maintenant conseiller en cybersécurité pour les services financiers et le gouvernement de l’État à Microsoft.
Pour être clair, les CISO ont également du mal à IAM dans un environnement sur site et monocarte. Mais ils sont confrontés à plus de défis dans le fait que l’IAM dans un environnement multicloud, car ils doivent travailler dans les différents fournisseurs de cloud, chacun avec ses propres systèmes IAM, modèles d’exploitation, politiques et procédures. Et ils doivent gérer les identités des utilisateurs, les rôles et les mécanismes de contrôle d’accès pour chaque cloud.
Tout cela donne des Cisos exponentiellement plus à suivre et à gérer.
De plus, les environnements multicloud ont également plus d’entités non humaines (telles que les API et les services) qui doivent également être gérées sur plusieurs nuages, ajoutant davantage à la complexité et à l’échelle de l’IAM dans un environnement multicloud.
Et, bien sûr, chaque identité doit être gérée au cours de son cycle de vie – aggravant davantage la taille du défi. Tout cela peut – et souvent – conduire à des politiques incohérentes, ainsi qu’à une surveillance incohérente et à l’application des contrôles d’accès.
Le défi est si significatif que Brown répertorie l’identité et la gestion de l’accès comme le fait que les équipes de sécurité n ° 1 sont confrontées dans un environnement multicloud. Cependant, ce n’est pas un problème insurmontable, dit-il.
« Si vous n’avez pas de programme officiel, alors formalisez-le. Vous avez besoin d’un cadre nommé en charge du programme, que ce soit vous en tant que CISO ou quelqu’un d’autre. Cela ne peut être personne », dit-il. Mettez en œuvre «une forte authentification partout et une stratégie unifiée complète».
Les CISO qui luttent ici devraient démarrer petit, ajoute-t-il, en se concentrant sur les utilisateurs privilégiés qui ont un accès de niveau supérieur aux systèmes et aux données au sein d’une organisation que les utilisateurs standard et qui, à la suite de cet accès de niveau supérieur, sont plus fréquemment ciblés par des pirates.
Voir aussi:
- 8 conseils pour maîtriser la sécurité multicloud
- L’automatisation de la sécurité multicloud est essentielle – mais pas de solution miracle
