Le cloud computing : nouvelles opportunités, nouveaux risques
La migration vers le cloud (AWS, Azure, Google Cloud) offre flexibilité et économies, mais introduit aussi de nouveaux risques de sécurité. La responsabilité de la sécurité est partagée entre vous et le fournisseur.
Le modèle de responsabilité partagée
| Couche | IaaS (ex: EC2) | PaaS (ex: Heroku) | SaaS (ex: Gmail) |
|---|---|---|---|
| Données | Vous | Vous | Vous |
| Applications | Vous | Vous | Fournisseur |
| OS / Runtime | Vous | Fournisseur | Fournisseur |
| Infrastructure | Fournisseur | Fournisseur | Fournisseur |
Règle d’or
Le fournisseur sécurise le cloud. Vous sécurisez ce que vous mettez dans le cloud. Si vos données fuient à cause d’une mauvaise configuration, c’est VOTRE responsabilité.
Les 5 risques cloud les plus courants
- Mauvaise configuration — buckets S3 publics, bases de données exposées (cause N°1 de fuites)
- Gestion des accès faible — trop de comptes admin, pas de MFA
- Données non chiffrées — en transit et au repos
- Absence de logs — impossible de détecter une intrusion
- Shadow IT — employés utilisant des services cloud non approuvés
Sécuriser vos services cloud
1. Gestion des identités (IAM)
- Principe du moindre privilège : chaque utilisateur n’a que les droits nécessaires
- MFA obligatoire pour tous les comptes, surtout les admins
- Rotation des clés d’accès tous les 90 jours
- Pas de clés d’accès root en production
2. Chiffrement
- En transit : TLS/SSL obligatoire pour toute communication
- Au repos : activer le chiffrement des disques et bases de données
- Gestion des clés : utilisez AWS KMS, Azure Key Vault ou GCP KMS
3. Réseau
- VPC : isolez vos ressources dans un réseau virtuel privé
- Security Groups : n’ouvrez que les ports nécessaires
- WAF : Web Application Firewall devant vos applications web
4. Monitoring et logs
- Activez CloudTrail (AWS), Activity Log (Azure)
- Configurez des alertes pour les activités suspectes
- Centralisez les logs avec un SIEM
Sécurité SaaS (Google Workspace, Microsoft 365)
Checklist pour les PME
- MFA activé pour tous les utilisateurs
- Politique de mots de passe renforcée
- Partage de fichiers limité (pas de « accessible à tous »)
- Applications tierces auditées (quelles apps ont accès ?)
- Comptes désactivés immédiatement au départ d’un employé
- Sauvegardes indépendantes (Google peut suspendre votre compte)
Exercice pratique
Audit cloud en 30 minutes
- Listez tous vos services cloud (Google, Microsoft, AWS, Dropbox…)
- Vérifiez le MFA sur chaque service
- Auditez les permissions : qui a accès à quoi ?
- Vérifiez les partagés de fichiers publics (Google Drive, OneDrive)
- Vérifiez les applications tierces connectées
- Désactivez les comptes des anciens employés
