Cybersécurité : peut-on allier système d’information performant et maîtrise des données ?

Phishing, ransomware, fuites de données… on dirait que l’actualité cybersécurité est de plus en plus chargée.

Quel est le niveau réel de la menace et que faut-il redouter le plus dans cette période d’incertitude marquée par l'épidémie du Covid-19 ?

Comment une entreprise peut-elle allier sécurité et maîtrise des données dans le choix de son système d’information ?

Autant de questions auxquelles nous tentons de répondre dans cet article.

L’Agence européenne chargée de la sécurité des réseaux et de l'information (ENISA) fournit des éléments très intéressants à ce sujet, à travers la publication annuelle de son rapport, ENISA Threat Landscape, librement téléchargeable sur Internet.

L’élément clé de ce document est le top 15 cybermenaces sur la période de janvier 2019 à avril 2020.

Passons en revue les trois premières, et donc les trois plus importantes :

1. Malware : cryptomineurs, vers, virus, spyware et compagnie conservent la première place du rapport de 2018. Cependant, de nouvelles tendances émergent :
   • un changement des cibles (entreprises plutôt que consommateurs),
   • la diffusion du malware-as-a-service  (vente sur le dark web de packages incluant infrastructures et codes malveillants),
   • l’augmentation de la sophistication des mécanismes d’infection.
      
2. Attaques web : large famille de vecteurs de compromission incluant :
   • des URL destinées à piéger les victimes,
   • des injections de code malicieux dans des sites légitimes, mais compromis,
   • des exploits de navigateurs web.
     Les Content Management Systems (CMS) restent une cible idéale pour les tentatives d’exploitation des vulnérabilités, du fait de leur popularité.
      
3. Phishing : technique ancienne, mais redoutable, elle tire parti des faiblesses humaines afin de voler des données ou de soutirer de l’argent. La pandémie Covid-19 a vu une envolée des tentatives d’hameçonnage, principalement à travers des mails avec en pièce jointe des documents de la suite Microsoft Office.

Face à ce panorama inquiétant, quels choix se présentent aux entreprises pour protéger leurs données et faire face aux menaces ? Il s’agit d’une très vaste question, que cet article examine sous l’angle spécifique du modèle de déploiement des systèmes d’information.

Quatre choix sont examinés : on-premise, cloud privé, cloud public et cloud hybride. Remarquons déjà que le choix du cloud public semble paradoxal : n’est-il pas un contresens que de poser ses données dans un cloud ouvert au grand public et géré par des multinationales extra-européennes ?

La question n’est pas aussi simple qu’il n’y paraît.

Passons donc en revue les avantages et inconvénients de chaque choix.

L’entreprise déploie son système d’information sur des infrastructures auto-hébergées, que ce soit dans ses propres datacenters pour les plus grosses entités ou dans des salles serveurs aménagées pour des PME/TPE.

Le facteur attractif de ce choix est sans doute le plein contrôle exercé sur les données : pas de questions à se poser sur leur localisation et maîtrise complète des accès physiques et logiques. Le revers de la médaille est que la construction de sa propre infrastructure demande de forts investissements (CAPEX), avec le risque de se retrouver avec des équipements obsolètes après quelques années. Ce schéma requiert également des compétences pointues dont il n’est pas toujours simple de se doter. Pas facile de parvenir au même niveau de qualité et de sécurité que des pure players de l’hébergement !

L’entreprise utilise l’infrastructure que lui met à disposition un fournisseur de cloud, avec lequel elle signe un contrat de service adapté à ses besoins. Dans ce cas de figure, le choix se porte en général sur un cloud souverain, qui héberge et traite les données sur le territoire national.

L’avantage de ce modèle réside dans la maîtrise que le client obtient sur la localisation de ses données, tout en étant déchargé de la «pénibilité» de construire sa propre infrastructure.

Bien sûr, tous les providers ne se valent pas en termes de sécurité. C’est pour cela qu’il est intéressant de se questionner sur leur niveau de certification. Le «minimum syndical» est ISO 27001. Mais le plus exigeant s’avère SecNumCloud, référentiel français publié par l’Agence nationale de la sécurité des systèmes d'information (ANSSI). SecNumCloud impose aux prestataires qualifiés la contrainte de stocker et administrer les données en France.

Quels sont alors les inconvénients de ce choix ?

Le plus important, probablement, réside dans le fait que les clouds privés ont encore un temps de retard en matière d’automatisation, d’élasticité et de provisionnement en self-service par rapport aux clouds publics, qui en font leur fer de lance.

L’entreprise se tourne vers les offres d’acteurs comme Amazon Web Services (AWS), Microsoft Azure, Google Cloud ou Alibaba Cloud (découvrez à ce sujet un intéressant comparatif).

Pourquoi se tourner vers ces mastodontes étrangers aux conditions de service figées, face auxquels le rapport de force est forcément défavorable ? La réponse réside dans la richesse de leur offre de service et dans l’agilité qu’ils permettent avec les techniques d’Infrastructure as Code : déployer des architectures complexes devient presque «presse-bouton».

Quid de la sécurité alors ? Eh bien, ces géants, conscients qu’il s’agit du principal facteur qui freine leur adoption, investissent tous les ans des milliards dans ce domaine et collectionnent les certifications de sécurité.

L’entreprise essaie de tirer parti du meilleur des différents mondes, en hébergeant par exemple on-premise ou sur un cloud privé souverain les données métier les plus sensibles, et en adoptant un cloud public pour développer rapidement des applications innovantes. L’interopérabilité est dans ce cas le principal défi, de pair avec la complexité de gestion d’un système d’information multi-cloud.

Clairement il n’y a pas un meilleur choix dans l’absolu, car chaque entreprise a ses spécificités en termes de marché, d’exigences métier, de contraintes légales et règlementaires, etc.

L’approche la plus adaptée consisterait à utiliser une méthode d’appréciation des risques pour s’orienter dans les différentes possibilités, la référence française étant EBIOS Risk Manager.

De mon point de vue, je vous conseillerais néanmoins d’étudier attentivement l’option d’hybridation décrite ci-dessus, en vous faisant accompagner par un prestataire de confiance.

Article invité. Les contributeurs experts sont des auteurs indépendants de la rédaction d’Appvizer. Leurs propos et positions leur sont personnels.