Intitulée « The State of Cloud-Native Security Report 2023 », l’étude de Prisma Cloud porte sur l'état de la sécurité cloud-native et les solutions à mettre en œuvre pour répondre à l'évolution constante des menaces.
Premier constat, cette étude révèle que 42 % des personnes interrogées ont signalé une augmentation du délai moyen de résolution des menaces et des incidents de cybersécurité.
Pour répondre à l'afflux de vulnérabilités en matière de cybersécurité, 81 % des entreprises ont intégré des professionnels de la sécurité dans leurs équipes de développement et d'exploitation.
Une sécurité pas toujours prise en compte
Autre tendance mise en avant : la fréquence de déploiement continue d'augmenter dans tous les domaines. Désormais, 77 % des entreprises déploient un code nouveau ou mis à jour en production chaque semaine et 38 % engagent un nouveau code chaque jour.Résultat, les modèles de déploiement se réduisent, mais la sécurité n'est pas quelque chose qui vient automatiquement à l'esprit de la plupart des professionnels…
Or, si la sécurité n'est pas prise en compte dans le processus de déploiement, les entreprises risquent de passer à côté d'importantes vulnérabilités CI/CD, telles que celles définies dans le Top 10 des risques de sécurité CI/CD de l'OWASP.
Dans l'ensemble, le rapport n'a pas révélé de résultats surprenants. Il a plutôt validé de nombreuses tendances constatées depuis quelques années. Cependant, l'enquête a révélé certaines immaturités dans les pratiques d'observabilité cloud-native.
Par exemple, l'une des conclusions accablantes est que 75 % des entreprises n'activent toujours pas les journaux de suivi du cloud sur AWS. Or, les entreprises continuent d'évoluer dans l'adoption de leur infrastructure cloud et de déplacer davantage de charges de travail vers le cloud public.
Le rapport indique que 53 % des workloads sont hébergées sur des clouds publics. Cependant, il est intéressant de noter que toutes ces charges de travail ne sont pas techniquement cloud-natives.
Des angles morts
Seulement 37 % des applications sont cloud-native, c'est-à-dire qu'il s'agit de nouvelles applications entièrement conçues dans le cloud. Un peu plus d'un tiers (36 %) des migrations vers le cloud sont de type « lift-and-shift », c'est-à-dire qu'elles ont été migrées vers le cloud en l'état, avec seulement des modifications mineures. Et 27 % ont été remaniés ou reconstruits.La technologie cloud-native est pourtant devenue le choix par excellence pour le développement de nouvelles applications. Gartner prévoit que d'ici 2025, plus de 95 % des nouvelles charges de travail numériques seront déployées sur des plateformes natives du cloud.
Cependant, une fois la migration vers le cloud et les composants cloud-native achevée, il peut être difficile de maintenir ces environnements en raison de l'épuisement professionnel et du renouvellement des équipes de développement logiciel. D’ailleurs, 75 % des personnes interrogées ont signalé un taux de rotation plus élevé que d'habitude dans les fonctions DevOps.
Autre constat inquiétant, la plupart des professionnels de la sécurité ont du mal à comprendre leur posture de sécurité cloud-native et les données que ces systèmes produisent. Cela est en partie dû à un paysage d'outils de sécurité fragmenté.
Il n’est donc pas étonnant que 77 % des organisations aient du mal à identifier les outils de sécurité nécessaires pour atteindre leurs objectifs, et la plupart signalent que le nombre élevé d'outils utilisés crée des angles morts. D’ailleurs, 90 % des organisations ne peuvent pas détecter, contenir et résoudre les menaces de cybersécurité en moins d'une heure.
Pour combler cette lacune, il faudrait peut-être améliorer la visibilité et la centralisation des outils de sécurité. La majorité (78 %) des personnes interrogées s'accordent à dire que la sécurité dans le cloud a besoin d'une visibilité et d'un filtrage de la hiérarchisation des risques plus prêts à l'emploi, avec un minimum d'apprentissage.
