Sécurité cloud : accès, sauvegardes, journaux, responsabilités

Quatre intitulés suffisent pour réfléchir. L'accès, c'est qui peut entrer dans quelle ressource. La sauvegarde, c'est pouvoir revenir en arrière quand quelque chose est perdu. La journalisation, c'est pouvoir voir après coup ce qui s'est passé. La responsabilité, c'est savoir qui tient chacun des trois autres points.

Les quatre sont liés. Si l'accès est faible, même la sauvegarde peut être supprimée ; s'il n'y a pas de journalisation, on ne sait jamais quand ni comment un problème a commencé. Négliger un point diminue la valeur des autres.

• Accès : les comptes, les autorisations et la méthode de vérification.
• Sauvegarde : des copies conservées ailleurs, dont la restauration a été essayée.
• Journalisation : des traces montrant qui a fait quoi et quand.
• Responsabilité : quelle couche appartient au prestataire et laquelle vous appartient.

Le prestataire protège la sécurité physique du centre de données, le matériel et la couche de virtualisation. Vous protégez vos comptes, les autorisations des utilisateurs, les mises à jour logicielles, les règles réseau et les données elles-mêmes. Des prestataires comme AWS, Google Cloud et Azure décrivent chacun cette ligne dans leur propre documentation, et il vaut la peine de la lire.

L'endroit où passe la ligne dépend du type de service que vous utilisez. Sur une base de données gérée, le prestataire applique les mises à jour ; sur un serveur virtuel que vous avez monté vous-même, la mise à jour vous revient. Noter par écrit, dès le départ, ce qui reste chez vous pour chaque service évite des discussions plus tard.

La base du contrôle des accès est le principe du moindre privilège : chacun reçoit seulement l'autorisation dont le travail a besoin. Un comptable n'a pas à modifier les réglages d'un serveur. Quand les autorisations sont accordées largement, un seul mot de passe volé ouvre tout le système.

La deuxième base est la double authentification. Quand un mot de passe fuit ou est deviné, la seconde étape protège encore le compte. Pour les comptes d'administrateur, elle devrait être obligatoire. Les mots de passe partagés doivent aussi disparaître, parce que personne ne peut dire qui a fait quoi et quand, et parce que, lorsqu'un employé part, changer le mot de passe concerne tout le monde.

La troisième base est un examen régulier des accès. Le compte d'une personne partie, un compte temporaire que personne n'utilise ou une ancienne connexion de service restent un risque tant qu'ils demeurent ouverts. Pour un groupe de spas, fermer les comptes du personnel saisonnier à la fin de la saison est une routine simple mais efficace.

• Donner à chacun seulement l'autorisation dont il a besoin.
• Rendre la double authentification obligatoire sur les comptes d'administrateur.
• Utiliser des comptes personnels plutôt que des mots de passe partagés.
• Fermer régulièrement les comptes des personnes parties et les comptes inutilisés.

Une sauvegarde vous permet de revenir en arrière quand quelque chose est supprimé ou endommagé. Une sauvegarde fiable est conservée à l'écart de l'endroit où vivent les données d'origine, et sa restauration a réellement été essayée ; une sauvegarde non essayée n'est que la supposition qu'elle fonctionnera. Une fonction de copie proposée par le prestataire ne remplace pas une stratégie de sauvegarde distincte.

Les journaux vous permettent de comprendre ce qui s'est passé quand il y a un problème. Des traces telles que qui s'est connecté et quand, ou quel réglage a été modifié, permettent de retrouver la source d'un problème. Dans un système qui ne garde aucun journal, même un problème résolu laisse sa cause inconnue, et la même faille revient. Il peut exister une obligation légale sur la durée de conservation des journaux ; pour cela, il faut consulter un juriste.

La sécurité doit être proportionnée au risque. Pour un petit site vitrine qui ne détient aucune donnée client sensible, une segmentation réseau compliquée ou des outils de surveillance coûteux sont souvent inutiles ; un contrôle des accès de base, des sauvegardes et des mises à jour suffisent. Plus de couches que nécessaire produisent une complexité que personne ne peut gérer.

En revanche, dans un système qui détient des données de paiement, des données de santé ou des données personnelles, ces bases ne suffisent pas ; d'autres mesures et des exigences légales entrent en jeu. Pour savoir de quel côté vous êtes, il suffit de se demander quel type de données le système détient et ce qui se passerait si elles fuitaient.

L'erreur la plus courante est de croire que le prestataire protège tout. Un espace de stockage laissé ouvert au public par accident est le résultat le plus connu de cette croyance. La deuxième erreur est de garder une sauvegarde à un seul endroit et de ne jamais l'essayer.

La troisième erreur est d'accorder largement des autorisations par commodité. Cela fait gagner du temps au début, mais le prix est élevé lorsqu'un compte est pris. La quatrième est de traiter la sécurité comme une tâche ponctuelle ; à mesure que les réglages, le personnel et les services changent, la sécurité doit être revue.

• Croire que le prestataire protège tout.
• Laisser par accident des espaces de stockage ouverts au public.
• Garder la sauvegarde à un seul endroit et ne jamais l'essayer.
• Accorder de larges autorisations par commodité.
• Traiter la sécurité comme une tâche ponctuelle.