Développer un environnement Cloud hybride sécurisé - des mannequins

Une approche réfléchie de la sécurité peut réussir à atténuer de nombreux risques de sécurité dans un environnement de cloud hybride. Pour développer un environnement hybride sécurisé, vous devez évaluer l'état actuel de votre stratégie de sécurité ainsi que la stratégie de sécurité proposée par votre fournisseur de cloud.

Évaluer votre état de sécurité actuel

Dans un environnement hybride, la sécurité commence par l'évaluation de votre état actuel. Vous pouvez commencer par répondre à un ensemble de questions qui peuvent vous aider à former votre approche de votre stratégie de sécurité. Voici quelques questions importantes à considérer:

• Avez-vous évalué votre propre infrastructure de sécurité traditionnelle récemment?

• Comment contrôlez-vous les droits d'accès aux applications et aux réseaux, aussi bien ceux de votre entreprise que ceux de votre pare-feu? Qui a le droit d'accéder aux ressources informatiques? Comment vous assurez-vous que seules les bonnes identités accèdent à vos applications et informations?

• Pouvez-vous identifier les vulnérabilités et les risques liés aux applications Web, puis corriger les faiblesses?

• Avez-vous un moyen de suivre votre risque de sécurité au fil du temps afin que vous puissiez facilement partager des informations mises à jour avec ceux qui en ont besoin?

• Vos environnements serveurs sont-ils protégés à tout moment contre les menaces de sécurité externes?

• Si vous utilisez le cryptage, conservez-vous vos propres clés ou les obtenez auprès d'un fournisseur fiable et fiable? Utilisez-vous des algorithmes standards?

• Pouvez-vous surveiller et quantifier les risques de sécurité en temps réel?

• Pouvez-vous mettre en œuvre des stratégies de sécurité cohérentes dans tous les types d'architectures sur site et dans le cloud?

• Comment protégez-vous toutes vos données, peu importe où elles sont stockées?

• Pouvez-vous satisfaire aux exigences d'audit et de reporting pour les données dans le cloud?

• Pouvez-vous répondre aux exigences de conformité de votre industrie?

• Quel est le programme de sécurité de votre application?

• Quels sont vos plans de désastre et de récupération? Comment assurez-vous la continuité du service?

Évaluer la sécurité de votre fournisseur de cloud

Un environnement de cloud hybride pose un ensemble particulier de défis en matière de sécurité et de gouvernance. Les nuages ​​hybrides utilisent votre propre infrastructure et celle de votre fournisseur de services. Par exemple, les données peuvent être stockées dans vos locaux mais traitées dans le cloud. Cela signifie que votre infrastructure locale peut être connectée à un cloud plus public, ce qui affectera les types de contrôles de sécurité dont vous avez besoin.

Des contrôles doivent être mis en place pour la sécurité du périmètre, l'accès, l'intégrité des données, les logiciels malveillants, etc., non seulement à votre emplacement, mais également avec votre fournisseur de cloud.Les fournisseurs de services cloud ont chacun leur propre façon de gérer la sécurité. Ils peuvent ou non être compatibles avec le plan de conformité et de sécurité globale de votre organisation. Il est absolument essentiel que votre entreprise ne fasse pas l'autruche en supposant que le fournisseur de services de cloud a couvert la sécurité.

Vous devez vérifier que votre fournisseur de cloud assure le même niveau de sécurité que vous exigez en interne (ou un niveau supérieur, si vous souhaitez améliorer votre stratégie de sécurité globale). Vous devez poser beaucoup de questions difficiles pour garantir que la stratégie de sécurité et de gouvernance de votre entreprise peut être intégrée à celle de votre fournisseur.

Voici quelques astuces qui peuvent vous aider à démarrer et qui peuvent également vous être utiles pour évaluer votre stratégie de sécurité:

• Demandez à votre fournisseur de cloud le type d'entreprise qu'il traite. Posez également des questions sur l'architecture du système afin de mieux comprendre comment le multi-tenancy est géré.

• Visitez l'installation à l'improviste afin de comprendre quelles mesures de sécurité physique sont en place. Selon le CSA, cela signifie marcher dans toutes les zones, de la zone de réception à la salle des générateurs et même inspecter les réservoirs de carburant. Vous devez également vérifier la sécurité du périmètre (par exemple, vérifier comment les personnes accèdent au bâtiment) et si l'opérateur est préparé en cas de crise (par exemple, extincteurs, alarmes, etc.).

• Vérifiez où se trouve le fournisseur de cloud. Par exemple, s'agit-il d'une zone à forte criminalité ou d'une zone sujette à des catastrophes naturelles telles que les tremblements de terre ou les inondations?

• Quelle sorte de documentation à jour le fournisseur de cloud a-t-il mis en place? A-t-il des plans de réponse aux incidents? Plans d'intervention d'urgence? Plans de sauvegarde? Plans de restauration? Vérifications des antécédents du personnel de sécurité et d'autres membres du personnel?

• Quel genre de certifications le fournisseur? Le personnel de sécurité cloud a-t-il des certifications telles que CISSP, CISA et ITIL?

• Découvrez où vos données seront stockées. Si votre entreprise a des règles de conformité, elle doit se renseigner sur les données résidant dans des pays étrangers, c'est important à savoir.

• Découvrez qui aura accès à vos données. Vérifiez également pour voir comment les données seront protégées.

• Pour en savoir plus sur les plans de sauvegarde et de conservation des données du fournisseur Vous voudrez savoir si vos données sont mélangées avec d'autres données. Si vous souhaitez récupérer vos données lorsque vous résiliez votre contrat, ces problèmes peuvent être importants.

• Comment votre fournisseur va-t-il empêcher les attaques par déni de service (DoS)?

• Quel type de contrats de maintenance votre fournisseur a-t-il mis en place pour son équipement?

• Votre fournisseur de cloud surveille-t-il en permanence ses opérations? Pouvez-vous avoir une visibilité sur cette capacité de surveillance?

• Comment les incidents sont-ils détectés? Comment les informations sont-elles enregistrées?

• Comment les incidents sont-ils traités? Quelle est la définition d'un incident? Qui est votre point de contact chez votre fournisseur de services? Quels sont les rôles et les responsabilités des membres de l'équipe?

• Comment votre fournisseur gère-t-il la sécurité des applications et la sécurité des données?

• Quelles mesures votre fournisseur de cloud contrôle-t-il pour s'assurer que les applications restent sécurisées?

Compte tenu de l'importance de la sécurité dans l'environnement cloud, vous pouvez supposer qu'un grand fournisseur de services cloud disposera d'un ensemble d'accords de niveau de service complets pour ses clients. En fait, bon nombre des accords types visent à protéger le fournisseur de services - et non le client. Ainsi, votre entreprise doit vraiment comprendre le contrat ainsi que l'infrastructure, les processus et les certifications que détient votre fournisseur de cloud.

Vous devez définir clairement vos exigences en matière de sécurité du cloud et votre stratégie de gouvernance, et déterminer la responsabilité. Si votre fournisseur de cloud ne veut pas parler de ces éléments, vous devriez probablement envisager un fournisseur de cloud différent. D'un autre côté, votre fournisseur de cloud peut avoir quelques astuces qui peuvent améliorer votre propre sécurité!