De nos jours, les atteintes à la protection des données semblent souvent être causées non seulement par des infections de logiciels malveillants, mais aussi par des erreurs humaines. Bref, des techniciens qui ont des problèmes pour résoudre de simples problèmes de sécurité. Certaines entreprises se cacheront la tête dans le sable, tentant d’ignorer les divulgations et les responsables des fuites de données, tandis que d’autres agiront rapidement lorsque l’information est rendue publique, et que leur réputation est en jeu.
La montée en flèche de l’adoption des technologies de cloud computing et de l’infrastructure-as-a-Service (IaaaS) a ajouté une nouvelle facette aux cybermenaces – la perte d’information causée par les erreurs de configuration et la faiblesse des compétences dans le domaine de la gestion des cloud publics. Selon une nouvelle étude publiée mardi et menée par la société de cybersécurité McAfee, intitulée “Cloud-Native : The Infrastructure-as-a-Service Adoption and Risk“, la majorité des erreurs de configuration sur les instances en mode IaaaS passent inaperçues. En effet, seulement 1 % des problèmes IaaaS sont rapportés, ce qui peut suggérer qu’il y a d’innombrables entreprises à travers le monde qui laissent fuir des torrents de données sans le vouloir. Et sans le savoir.
1 000 professionnels de l’informatique ont été interrogés dans 11 pays, et les données sur l’utilisation du cloud de plus de 30 millions d’utilisateurs de McAfee Mvision ont été agrégées pour compiler le rapport, qui indique également que les entreprises estiment avoir en moyenne 37 problèmes de mauvaise configuration IaaaS par mois, ce qui en réalité peut atteindre 3 500 dans certains cas.
Le rôle de la DLP
Au total, 90 % des personnes interrogées ont déclaré avoir rencontré des problèmes de sécurité avec le IaaaS, mais seulement 26 % ont déclaré qu’elles étaient équipées pour faire face à des audits de mauvaise configuration – et ce manque de visibilité sur leur utilisation du cloud peut contribuer à accroître le risque de violation des données.
Selon McAfee, les incidents de perte de données basés sur des offres de IaaaS déclenchés par les règles de prévention des pertes de données (DLP – data loss prevention) ont augmenté de 248 % d’une année sur l’autre. Par exemple, le rapport indique que 42 % des stockages objets mesurés avec des outils de DLP étaient mal configurés.
Le rapport indique que les dix principaux paramètres les plus souvent mal configurés dans AWS, le fournisseur de IaaaS le plus populaire pour les entreprises aux côtés de Microsoft Azure, sont les suivants :
Chiffrement des données EBS
Accès sortant sans restriction
Configuration du port du groupe de sécurité EC2
Provisionnement de l’accès aux ressources à l’aide des rôles IAM
Accès illimité aux ports non-Http/Https
Accès sans restriction à l’arrivée sur des ports peu courants
Groupes de sécurité inutilisés
Accès illimité à ICMP
Configuration de l’accès entrant du groupe de sécurité EC2
Instance EC2 appartient à un VPC
Près du quart des répondants au sondage ont admis qu’il faut parfois plus de 24 heures pour corriger les erreurs de configuration signalées et que, dans certains cas graves, les corrections peuvent prendre plus d’un mois.
“Dans la ruée vers l’adoption d’IaaaS, de nombreuses entreprises négligent le modèle de responsabilité partagée pour le cloud et supposent que la sécurité est entièrement prise en charge par le fournisseur de cloud ” a déclaré Rajiv Gupta, vice-président senior du Cloud Security chez McAfee. “Cependant, la sécurité de ce que les clients mettent dans le cloud, et surtout des données sensibles, est de leur responsabilité.”
Selon l’agence de recherche Gartner, le marché mondial des services de cloud public devrait croître de 17,5 % en 2019, pour atteindre 214,3 milliards de dollars. Le secteur du IaaS devrait connaître la croissance la plus forte et la plus rapide, avec une hausse de 27,5 % pour atteindre 38,9 milliards de dollars, contre 30,5 milliards en 2018.
Comments