Le monde fonctionne de plus en plus avec une technologie multicloud et dans des environnements multicloud. Cela signifie que l’importance de la gouvernance, de l’identité et de l’authentification au sein de ces environnements devient de plus en plus importante pour la stratégie de cybersécurité de toute entreprise.
Nous avons rencontré Kevin Bocek, vice-président de l’écosystème et de la communauté chez Venafi, une entreprise qui se spécialise dans la gestion de l’identité des machines et la prévention des pannes d’application, pour étudier l’état des arts en développement de la gouvernance, de l’identité et de l’authentification dans le monde du multicloud.
Gouvernance multi-cloud.< /h2>
THQ :
Comment pouvons-nous assurer la gouvernance, l’identité et l’authentification de manière pertinente, cohérente et fiable dans l’environnement multicloud ?
Gestion de l’identité des machines : une réponse à un défi croissant
Ko :
C’est un gros problème. Parlons tout d’abord de l’identité dans les environnements natifs du cloud, qui obtiendront ensuite nous sur la façon dont nous le livrons.
Que signifie cloud native ? Il s’agit essentiellement d’un logiciel conçu pour fonctionner n’importe où. Il pourrait fonctionner dans un fournisseur de cloud public, il pourrait fonctionner dans mon cloud privé, il pourrait fonctionner dans notre centre de données, il pourrait fonctionner dans tous ces endroits. Il pourrait fonctionner dans un appareil connecté, car je peux prendre ce code qui s’exécute sur un robot chirurgical de 5 millions de dollars, et je peux également l’exécuter dans un fournisseur de cloud. Cela signifie que je peux aussi le simuler – je pourrais en créer un jumeau numérique.
Ainsi, le cloud natif signifie simplement qu’il est conçu pour fonctionner n’importe où avec cette agilité.
Le plus souvent, bien sûr, lorsque nous pensons au cloud natif, nous pensons à des choses comme Kubernetes, et Kubernetes s’exécute partout, du centre de données au cloud public. Vous verrez Kubernetes fonctionner dans les restaurants, vous pouvez même voir Kubernetes fonctionner dans des moteurs diesel fabriqués par les principaux fabricants. C’est donc la prémisse – il peut fonctionner n’importe où.
Le problème, par exemple, c’est que si un logiciel doit s’exécuter n’importe où, comment savoir ce qui est bon ou mauvais ? Qu’est-ce qu’un ami ou un ennemi ?
La réponse à cela est l’identité. Et cela forme la première partie de l’élément commun dans cloud-native, à savoir que l’identité établit ce qui est bon ou mauvais.
Identité, identité, identité…
L’identité étant aussi importante qu’elle l’est dans le cloud natif, c’est plus ou moins un tout nouveau concept qui n’existait pas auparavant. Si vous pensez aux systèmes d’exploitation traditionnels, comme un ordinateur de bureau ou un serveur, l’idée d’identité était à plusieurs niveaux. Même une fois arrivés aux fournisseurs de cloud, l’identité était importante, mais les fournisseurs de cloud ont d’abord pensé aux fonctionnalités, plutôt qu’à la gestion de l’identité.
Mais dans le cloud natif, l’identité est en fait là où tout commence. Alors – bonne nouvelle ! Dans le cloud natif, l’identité est intégrée, et plus précisément, nous parlons de l’identité de la machine. Il existe différents types d’identités de machine dans un monde natif du cloud, car nous avons des conteneurs que nous devons exécuter, nous avons les charges de travail qui s’exécutent dans ces conteneurs qui doivent communiquer avec d’autres conteneurs (microservices), nous ‘ Nous avons ces regroupements de microservices que nous appellerions un cluster, les clusters doivent communiquer avec d’autres clusters pour fonctionner, les clusters doivent communiquer avec d’autres services cloud qui ne sont absolument pas liés.
L’énigme de la gestion de l’identité des machines
Cela crée un problème qui se multiplie, car nous pouvons exécuter dans un seul cloud, nous pouvons exécuter Kubernetes dans notre centre de données et Kubernetes dans le cloud, et chacun commence maintenant à avoir son propre ensemble d’identités de machine – et ils ne travaillez pas ensemble.
Cela nous amène à la première partie de la question. Nous devons avoir une gouvernance, nous devons avoir une façon unique et cohérente de travailler avec l’identité dans ces différents environnements natifs du cloud. Essentiellement, nous avons besoin d’un plan de contrôle.
En réseau, vous avez la couche réseau, la couche de données, puis vous avez le plan de contrôle pour gérer cette couche réseau. C’est la même idée dans le cloud natif, nous utilisons toutes ces identités différentes, puis nous avons besoin d’un plan de contrôle d’identité dans différents environnements.
Gartner a récemment présenté une étude qui montre que nous vivons désormais dans un environnement cloud omniprésent. Cela signifie que nous vivons dans un monde d’affaires, où le cloud n’est pas une technologie, c’est une façon de faire des affaires.
Machines infinies.
Nous construisons des entreprises comme le cloud peut le faire. Et à cause de cela, nous n’utilisons pas qu’un seul cloud. Nous utilisons des fournisseurs de cloud en fonction de ce qu’ils font de mieux, et nous nous retrouvons dans un environnement multi-cloud. Ensuite, nous avons besoin d’un ensemble de services, l’identité machine étant l’un d’eux car nous vivons dans ce monde cloud omniprésent.
L’identité est donc fondamentale, en particulier l’apprentissage automatique. Le monde de l’identité de la machine est beaucoup plus vaste que le monde de l’identité humaine. Il n’y a qu’un nombre limité de clients que vous pouvez avoir dans une entreprise. Vous ne pouvez avoir qu’un nombre limité de membres d’équipe dans votre effectif, mais le nombre de machines est infini.
Vous devez donc disposer de cette gouvernance pour pouvoir contrôler ces identités. D’où l’obtenez-vous ? À qui devons-nous faire confiance ? Comment exécutons-nous l’authentification ? Une fois que nous avons la gouvernance, nous pouvons spécifier quelles identités peuvent être utilisées. Que faites-vous des identités ? Si vous pouvez les authentifier, vous contrôlez ces différents joueurs.
La vérification d’identité numérique ouvre les portes de bien plus que le hall d’entrée d’une banque
Donc, pour quelqu’un qui travaille dans la gestion de l’identité des clients ou de la main-d’œuvre, ces idées seront du genre : « C’est ce que nous faisons tous les jours ». Mais ce sont de nouveaux concepts en termes de monde natif du cloud. Parce que dans le cloud natif, nous ne le faisons que depuis environ quatre ans. Et nous nous y sommes accélérés au cours des deux dernières années.
Nous avons maintenant des applications en cours d’exécution chez un fournisseur de cloud, des applications en cours d’exécution chez un autre, et nous commençons à voir les inefficacités, l’incertitude et éventuellement la possibilité d’un accès non autorisé.
Et maintenant, nous devons obtenir cette gouvernance pour contrôler les identités auxquelles nous allons faire confiance, et celles qui peuvent être utiles pour authentifier quelles applications.
Responsabilité d’entreprise.
THQ :
Est-ce que cela se ferait sur la base d’une entreprise individuelle ? Ou cela devrait-il être fait sur une base plus large et plus générale ?
Ko :
Cela se fait par entreprise. Après tout, vous et moi pourrions tous les deux utiliser AWS et Microsoft Azure. Mais qu’est-ce qui différencie votre utilisation d’Amazon ou de Microsoft Kubernetes de la mienne ? C’est l’identité de nos services. Cette identité est donc propre à l’entreprise, et c’est votre responsabilité, et la mienne.
Une des initiatives de la nouvelle cybersécurité de l’administration Biden piliers est que les consommateurs ne devraient pas avoir à supporter l’impact négatif d’une entreprise qui prend de mauvaises décisions en matière de sécurité. L’entreprise est donc responsable, mais cela aura un impact significatif sur la question de savoir si son compte bancaire est sécurisé, si ses paniers sont sécurisés et si ses cartes de crédit sont traitées correctement.
Jeu de rattrapage.
THQ :
Et comme vous l’avez mentionné, nous ne faisons pas cela depuis si longtemps. Dans quelle mesure pensons-nous que les entreprises sont prêtes à assumer cela ? Techniquement, ils doivent être en mesure de fournir ce type de gouvernance, sinon ils arrêtent de fonctionner, n’est-ce pas ?
Ko :
Eh bien, comme je l’ai mentionné, c’est l’une des choses dans le cloud natif, comme avec Kubernetes, ou avec les services de cloud public – souvent, ils viennent avec cette capacité à gérer les identités des machines intégrées. Donc, des choses comme les certificats TLS , ou de nouveaux types d’identités comme SPIFFE sont intégrés. Et donc ce qui se passe, c’est que les développeurs commencent à les utiliser, et ils entrent en production.
Maintenant, les équipes de sécurité n’ont pas été impliquées dans ces développements. Et les équipes de sécurité sont responsables de la protection de l’entreprise. Ce que nous voyons alors, ce sont des erreurs ou un manque de fiabilité, car il y a une mauvaise configuration dans les identités des machines qui devient alors un problème de sécurité.
L’équipe de sécurité ne l’a pas déployé. Ils ne l’ont pas conçu, mais maintenant ils sont responsables. Les équipes de cybersécurité rattrapent leur retard dans ces nouveaux environnements de cloud public et natifs du cloud que les développeurs ont créés. Et cela conduit à un déficit de compétences.
Avons-nous des contrôles qui fonctionnent réellement dans ces environnements ? Saurions-nous même quoi faire ? A quoi ressemble la bonne gouvernance ? Quelle est la politique d’authentification à suivre ?
Ce sont des choses que les équipes de sécurité rattrapent, c’est pourquoi la gouvernance dans les environnements cloud natifs et multicloud est un problème émergent.
Bien que nous ayons Kevin dans le fauteuil, nous avons poussé ce point plus loin avec lui. Dans le prochain article de cette série, nous nous pencherons sur le rôle émergent de l’équipe d’ingénierie de la plate-forme et sur la façon dont les exigences de la gouvernance multi-cloud et native du cloud commencent à remodeler les besoins des entreprises – et les équipes qui y répondent. besoins.
.
Toute l’actualité en temps réel, est sur L’Entrepreneur
