Il y a une poussée sans cesse croissante vers le cloud.
Cela se caractérise par des menaces croissantes de la part de partenaires, de fournisseurs et de tiers, des vulnérabilités et des erreurs de configuration qui peuvent être compromises par toutes sortes de méthodes, et complexes les chaînes d’approvisionnement des applications logicielles et les installations qui compliquent le retrait.
Alors que les entreprises s’inquiètent de toutes ces ramifications, beaucoup n’ont pas encore mis en place d’outils innovants de sécurité cloud et de prévention des pertes de données (DLP), selon un rapport lancé cette semaine par Proofpoint, Inc., en collaboration avec la Cloud Security Alliance (CSA).
Hillary Baron, analyste d’étude de recherche à la CSA et auteur principal du rapport, a souligné la ruée vers le changement numérique en plein COVID-19. Bien que cela ait facilité le travail à distance et maintenu les services opérationnels, il y a eu des conséquences et des difficultés involontaires dues à des modifications structurelles massives et exécutées à la hâte.
« L’un de ces défis consiste à développer une approche cohérente des risques liés au cloud et au Web tout en gérant l’infrastructure de sécurité héritée et sur site », a déclaré Baron.
Problèmes accrus dans des environnements complexes
« Les obstacles à la sécurité du cloud et du Web en 2022 » ont interrogé plus de 950 spécialistes de l’informatique et de la sécurité représentant de nombreux marchés et tailles d’organisation.
Notamment, 81 % des participants ont déclaré être modérément à fortement préoccupés par les menaces entourant les fournisseurs et les partenaires, et 48 % sont particulièrement préoccupés par la perte potentielle de données à la suite de tels risques.
Cela semble être un problème nécessaire, expliquent les auteurs de l’étude : 58 % des organisations participantes ont suggéré que des tiers et des fournisseurs étaient la cible de violations basées sur le cloud en 2021.
Troublant, 43 % des participants ont déclaré que la protection des données des consommateurs était leur principal objectif de sécurité cloud et Web pour 2022, mais seulement 36 % avaient en fait mis en place des options DLP dédiées.
Également extrait du rapport :
- Une grande partie des personnes interrogées étaient extrêmement inquiètes (33 %) ou modérément inquiètes (48 %) concernant la sécurité lors de la collaboration avec des fournisseurs et des partenaires.
- 47 % ont déclaré que les systèmes traditionnels constituaient une difficulté essentielle pour améliorer leur posture de sécurité dans le cloud.
- 37 % ont déclaré qu’ils avaient besoin d’entraîner un comportement plus sûr et sécurisé des employés.
- 47 % ont déclaré avoir implémenté la sécurité des terminaux, 43 % ont déclaré avoir effectivement implémenté des services de gestion des identités et 38 % ont déclaré avoir effectivement exécuté un accès privilégié à la gestion.
D’autre part, les entreprises craignent que les applications cloud ciblées contiennent ou fournissent un accès à des données telles que les e-mails (36 %), l’authentification (37 %), le stockage/partage de fichiers (35 %), la gestion de la relation client (33 % ), et l’intelligence d’entreprise d’entreprise (30 %).
Les structures en évolution ont besoin d’outils de sécurité cloud avancés
Les professionnels et les organisations s’accordent à dire qu’il y a beaucoup à faire pour améliorer les processus existants de gestion des tiers systèmes de parti et intégrations.
Le contexte fait souvent défaut aux plates-formes SaaS (logiciels en tant que service) : les données qu’elles contiennent, les combinaisons qu’elles facilitent, les conceptions d’accès sur place, a déclaré Boris Gorin, cofondateur et PDG de Canonic Security.
Ceux-ci ne sont pas surveillés en permanence. Il a recommandé aux entreprises de se demander si elles disposent d’un inventaire de toutes les combinaisons et modules complémentaires tiers, et quel accès et quelle portée ces combinaisons ont dans leur environnement – ou si elles sont actives du tout.
« Beaucoup de violations se produisent parce que nous n’avons pas exécuté une politique, pas parce que nous n’en avions pas », a déclaré Gorin. Les contrôles sont négligés, créant ainsi des vulnérabilités.
Dave Burton, responsable marketing principal chez Dig Security, a également gardé à l’esprit qu’il existe de nombreuses incertitudes non résolues autour de la complexité du cloud qui rendent difficile pour les entreprises de comprendre exactement où les données cloud sont enregistrées, comment elles sont utilisées, s’il contient des informations délicates et s’il est protégé.
Les entreprises doivent comprendre tous leurs magasins de données, s’assurer qu’elles disposent de capacités de sauvegarde sur place, effectuer régulièrement des mises à jour logicielles et utiliser l’outillage idéal, a-t-il déclaré. Des outils tels que DLP et la gestion de la posture de sécurité des données (DSPM) sont également importants.
Pratiques tactiques, changements de culture
Un autre des nombreux sous-produits de l’adoption de l’innovation cloud est la perte de gouvernance, a déclaré Shira Shamban, PDG de Solvo. Trop souvent, des informations délicates sont découvertes à des endroits où elles ne devraient pas se trouver et ne sont pas correctement sécurisées.
En fin de compte, il n’est pas raisonnable de ne pas stocker d’informations dans le cloud, a-t-il reconnu, mais les organisations ne doivent le faire que dans les cas où cela est absolument nécessaire, et pas seulement de manière arbitraire. L’accès à doit également être clairement défini et limité.
Aussi, sérieusement : « la sécurité ne peut pas être simplement un audit annuel », a déclaré Shamban. « Il s’agit d’une procédure continue qui comprend des audits, des confirmations et des mises à jour fréquents, tout comme les applications cloud elles-mêmes. »
De même, les meilleurs outils ne sont efficaces que lorsqu’ils sont associés à une culture de la sécurité au sein et autour d’une entreprise, a déclaré Mayank Choudhary, EVP et GM pour la protection des détails, la sécurité du cloud et la conformité, chez Proofpoint.
« Alors que les entreprises adoptent les installations cloud pour prendre en charge leurs environnements de travail distants et hybrides, elles ne doivent pas oublier que les individus constituent le tout nouveau périmètre », a-t-il déclaré. « Il est de la responsabilité d’une entreprise de former et d’informer correctement les employés et les parties prenantes sur la manière d’identifier, de résister et de signaler les attaques avant que des dommages ne soient causés. »
La mission de VentureBeat est être une place publique numérique permettant aux décideurs techniques de comprendre l’innovation commerciale transformatrice et de négocier. En savoir plus sur l’abonnement.
.
Toute l’actualité en temps réel, est sur L’Entrepreneur
