Comment rendre votre sécurité multi-Multicloud plus efficace

L’époque de débattre si le cloud ou le site est le meilleur emplacement pour vos serveurs est heureusement loin derrière nous. Mais ces derniers temps, de plus en plus d’entreprises changent leurs charges de travail car ils réalisent que la sécurité et la simplicité sont importantes.

Certaines de ces consolidations ne sont que circonstancielles – comme essayer de réduire le résultat des acquisitions d’entreprise ou d’obtenir l’uniformité pour avoir à gérer des équipes de développement disparates – et ne sont pas empêchés d’avoir un grand plan architectural. Certaines entreprises rattrapent les charges de travail vers les locations ou passent du public aux nuages ​​hybrides ou privés. Nous allons entrer dans les raisons de cela dans un instant.

Examinons les défis et les complexités de la sécurité multicloud en identifiant les lacunes et en mettant en évidence les gotchas. Nous examinerons les moyens d’être plus déterminés à la sécurité du cloud et de nous concentrer sur la contenu et la gestion de l’étalement des outils avec des plans d’action recommandés que vous pouvez prendre.

Contenant des coûts

Certes, l’un des plus grands défis concerne le coût opérationnel plus élevé de maintenir des équipes de développement cloud distinctes. Comme chaque cloud a ses propres outils et ses détails de mise en œuvre spécifiques qui coupent différents services, protocoles et systèmes qui nécessitent une étude minutieuse et des ingénieurs qualifiés à maintenir.

L’approche Multicloud a perdu son éclat, selon Andrew Platon, qui a fondé le conseil en sécurité Zenaciti parmi d’autres startups technologiques. «Et il y a des coûts élevés et beaucoup de difficultés à passer des charges de travail d’Amazon à Azure, par exemple.» Il n’a vu aucun mouvement en gros des entreprises pour rapatrier leurs serveurs cloud dans leurs centres de données. Au lieu de cela, «les entreprises reculent du déploiement de plusieurs nuages ​​publics».

Ainsi, bien que la réduction des coûts soit une grande motivation, déterminer ces coûts est toujours un problème très difficile. Les outils pour prédire les coûts du cloud ne sont pas améliorés sensiblement au cours de la dernière décennie. Les chiffres des coûts du cloud de chacun varient d’un mois à l’autre, juste de sa nature même avec toutes les charges d’utilisation et les modifications des modèles de prix des fournisseurs. Comme indiqué précédemment, «essayer d’analyser votre facture mensuelle nécessite les compétences d’un CPA, d’un ingénieur logiciel, d’un commerçant de matières premières et d’un œil vif pour les détails.»

Il y a aussi ce que Steve Cobb, CISO chez SecurityScorecard, appelle «Cloud Sticker Shock» qui se produit lorsque vous obtenez votre premier facture mensuelle après avoir allumé une nouvelle application cloud. « Vous ne savez pas nécessairement quels seront vos modèles de trafic jusqu’à ce que vous créiez l’application. Ils sont difficiles à prévoir avant de passer en production avec les données réelles, et le choc est plus important bien sûr que vous déplacez de nombreuses données entre les régions du cloud ou que vous avez construit en basculement entre les fournisseurs. »

Est-il temps de rapatrier au centre de données?

D’autres ont constaté que plus leurs besoins de stockage sont devenus importants – pour les LLM de l’AI par exemple -, plus le stockage sur site est rentable et prévisible, en particulier si vous expédiez d’énormes blocs de données d’un PaaS à un autre.

Platon a une bonne règle de base: « Ne le mettez pas dans le nuage si vous n’en avez pas besoin. »

Une solution: conteneurs

Centraliser les politiques de sécurité du cloud

L’idéal est d’avoir un ensemble centralisé, commun et cohérent de politiques de sécurité dans tous les nuages. Ensuite, vous pouvez implémenter des moyens automatisés de déployer (comme avec Terraform ou un autre IAC qui peut s’intégrer à vos IDE). Un autre ensemble d’outils qui peuvent aider sont les plates-formes de protection des applications natives Cloud (CNApp). L’avantage des outils CNAPP est qu’ils ont de nombreux sous-outils intégrés qui facilitent la mise en place de politiques uniformes dans un environnement complexe. Mais, si vous avez déjà beaucoup d’automatisation non-CNApp, ce n’est peut-être pas le meilleur chemin. «Vous pouvez construire une infrastructure très robuste et sécurisée avec ces outils», explique Platon.

«Par exemple, disons que vous créez une nouvelle application qui vous oblige à apporter des modifications dans l’ensemble de votre environnement multi-Multicloud», explique Cobb. «Sans automatisation et quelque chose comme CNApp, qui peut rapidement devenir intenable en termes de budget, d’expertise et de temps.»

Comprendre les problèmes de sécurité que vous essayez de résoudre

Une situation typique est lorsque l’équipe DevSecops prend de l’avance sur le CISO techniquement. P « Lorsque cela se produit, le CISO ne sait pas quels problèmes de sécurité les équipes essaient de résoudre, et si ce qui est recommandé va vraiment les résoudre », explique Platon. Cela conduit à des mandats sur des outils particuliers, il trouve: «Plutôt que de s’assurer que des exigences de sécurité particulières sont satisfaites par des outils spécifiques. Vous souhaitez éviter d’étalement des outils avec des données de sécurité débordant partout.»

Les développeurs peuvent également prendre de l’avance et ne comprennent pas nécessairement comment tout est sécurisé dans tous les nuages ​​possibles. Manraj dit que les différents joueurs de PaaS divergent plus que jamais avec différents CPU, sans serveur et support d’application qui ont leurs propres fonctionnalités spécifiques au cloud. «Cela rend l’élaboration de la même règle de politique de sécurité entre tous les fournisseurs d’une manière uniforme plus dur.»

Recommandations finales

Il existe d’autres moyens d’améliorer la sécurité multicaloud. «Passez du temps à garantir que les charges de travail sont aussi proches de leurs besoins réels d’infrastructure, tels que le stockage, que possible. Cela réduit également les coûts et les frais de saisie et de sortie», explique Manraj.

«Vous ne devriez pas acheter un outil de sécurité tant que vous avez un ensemble clair de priorités et une analyse des risques solides en main», explique Platon. «Vous devez comprendre les menaces auxquelles vous êtes confronté avant de commencer à leur appliquer des outils. Considérez les outils de sécurité du PaaS natifs que chaque fournisseur a et commencez par ce que chacun peut faire. Ceux-ci coûtent généralement moins que des produits tiers.»