{"id":1059,"date":"2017-09-28T18:00:46","date_gmt":"2017-09-28T16:00:46","guid":{"rendered":"https:\/\/www.sage.com\/fr-fr\/blog\/le-cloud-implique-une-politique-de-securite-adaptee\/"},"modified":"2026-02-05T15:04:15","modified_gmt":"2026-02-05T14:04:15","slug":"le-cloud-et-la-gestion-des-risques","status":"publish","type":"post","link":"https:\/\/www.sage.com\/fr-fr\/blog\/le-cloud-et-la-gestion-des-risques\/","title":{"rendered":"Le Cloud implique une politique de s\u00e9curit\u00e9 adapt\u00e9e"},"content":{"rendered":"
\n\t
\n\t\t
\n\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\tDigitalisation & Tendances<\/a>\t\t\t\t\t\t<\/div>\n\t\t\t\t\n\t\t\t\t
\n\t\t\t\t\t

\n\t\t\t\t\t\tLe Cloud implique une politique de s\u00e9curit\u00e9 adapt\u00e9e\t\t\t\t\t<\/h1>\n\t\t\t\t<\/div>\n\n\t\t\t\t\t\t\t\t\t

\n\t\t\t\t\t\t\t\t\t\t\t<\/p>\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t<\/div>\n\n\t\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t<\/div>\n\t\t

\n\t\t
\n\t\t\tPubli\u00e9 le
\n\t
\n\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\t\t\n\t\t
\n\t\t\t\n\t\t\t\t\"Christophe\t\t\t\tChristophe Adam<\/span>\n\t\t\t<\/a>\n\n\t\t\t\t\t<\/div>\n\n\t\t\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t<\/div>\n<\/div>\n\n\n\n

Le Cloud est un secteur tr\u00e8s dynamique. Quelles que soient leur taille et leur activit\u00e9, de plus en plus d’entreprises migrent une partie de leur Syst\u00e8me d’information (SI) dans le Cloud. C’est surtout le cas pour les services d’application \u00e0 la demande (SaaS pour \u00ab Software as a service \u00bb). Ce secteur atteindra 105 milliards de dollars cette ann\u00e9e selon une \u00e9tude de Forrester.<\/p>\n\n\n\n

Si ces solutions pr\u00e9sentent d’ind\u00e9niables atouts, il convient d’avoir une vision globale et d\u00e9tach\u00e9e. Il est n\u00e9cessaire d’appr\u00e9hender l’ensemble des probl\u00e9matiques li\u00e9es aux services et h\u00e9bergements accessibles \u00e0 distance. Or, beaucoup d’entreprises ne retiennent principalement que les bons c\u00f4t\u00e9s. Elles oublient d’int\u00e9grer le Cloud dans leur gestion des risques num\u00e9riques.<\/p>\n\n\n\n

Des forteresses<\/h2>\n\n\n\n

Certes, les donn\u00e9es h\u00e9berg\u00e9es dans un data center b\u00e9n\u00e9ficient d’un niveau de protection plus fort qu’en local. Contr\u00f4les stricts des acc\u00e8s utilisateurs et administrateurs, redondance des sauvegardes, vid\u00e9osurveillance (en plus des badges) des acc\u00e8s physiques\u2026 Les data center sont des forteresses ! Mais comme tout syst\u00e8me et infrastructure, le risque z\u00e9ro n’existe pas. Vuln\u00e9rabilit\u00e9s logicielles, d\u00e9faillance technique, tentatives d’attaques externes ou internes, pertes de donn\u00e9es intentionnelles ou non\u2026, les risques sont vari\u00e9s.<\/p>\n\n\n\n

Ce constat a \u00e9t\u00e9 rappel\u00e9 par le CESIN (Club des experts de la s\u00e9curit\u00e9 informatique et du num\u00e9rique) \u00e0 l’occasion d’une r\u00e9cente \u00e9tude. Principale conclusion : un manque de maturit\u00e9 des pratiques de s\u00e9curit\u00e9. 47 % des sond\u00e9s (90 RSSI) expliquent n’avoir pas du tout int\u00e9gr\u00e9 la dimension cloud au sein de leur politique de s\u00e9curit\u00e9. Seul un quart a d\u00e9velopp\u00e9 une politique sp\u00e9cifique et adopt\u00e9 leur PSSI (Politique de s\u00e9curit\u00e9 des syst\u00e8mes d’information).<\/p>\n\n\n\n

Cloud et shadow IT<\/h2>\n\n\n\n

Ce constat peut s’expliquer par trois contraintes principales auxquelles sont confront\u00e9es les entreprises. Elles doivent tout d’abord r\u00e9pondre \u00e0 un dilemme : faciliter l’acc\u00e8s aux donn\u00e9es sensibles tout en contr\u00f4lant et supervisant les utilisateurs dignes de confiance et pouvant, dans certains cas, modifier ou supprimer des comptes (cet acc\u00e8s \u00e0 privil\u00e8ges ou root implique de mettre en place une PAM : Privileged access management). Autre contrainte : le d\u00e9veloppement du \u00ab shadow IT \u00bb. Par souci d’efficacit\u00e9, de plus en plus de m\u00e9tiers n’attendent plus que leur DSI mette \u00e0 leur disposition de nouvelles applications : ils d\u00e9cident eux-m\u00eames d’installer tel ou tel logiciel.<\/p>\n\n\n\n

Dans ces deux cas, un contr\u00f4le strict des acc\u00e8s et des identit\u00e9s est indispensable. Il permet de respecter la l\u00e9gislation en vigueur (Loi informatique et libert\u00e9s), de prot\u00e9ger l’activit\u00e9 et l’image de marque, mais \u00e9galement de conserver la confiance des clients.<\/p>\n\n\n\n

Auditer, n\u00e9gocier, estimer\u2026<\/h2>\n\n\n\n

La troisi\u00e8me contrainte point\u00e9e par l’\u00e9tude du CESIN concerne la communication avec les fournisseurs de Cloud. 58 % des RSSI (responsables de la s\u00e9curit\u00e9 des syst\u00e8mes d’information) interrog\u00e9s n’arrivent pas \u00e0 modifier (compatibilit\u00e9 des applications, param\u00e8tres de s\u00e9curit\u00e9\u2026) les contrats de leurs prestataires et 62 % d\u00e9plorent que les sous-traitants ne soient pas nomm\u00e9s dans le contrat. Autre reproche : les difficult\u00e9s \u00e0 pouvoir mener des audits.<\/p>\n\n\n\n

Or, auditer une solution SaaS et faire des tests d’intrusion avant le d\u00e9marrage d’un service font partie des dix recommandations du CESIN. Ce club rappelle qu’il convient aussi:<\/p>\n\n\n\n