Avec la généralisation des architectures cloud natives, PaaS et IaaS, les frontières du périmètre sécuritaire sont devenues floues, la visibilité s’est perdue et le contrôle des approbation moins rigoureux. Une approche composable et évolutive permettrait d'étendre les contrôles de sécurité aux actifs distribués en dissociant l'application des politiques des actifs à protéger.
Tirées par les progrès des technologies de l'information et de la communication ont les infrastructures critiques modernes sont de plus en plus complexes et interconnectées, et d'évoluent en permanence. L'interrelation de plus en plus complexe entre ces systèmes crée de nouvelles vulnérabilités, qui peuvent être exploitées par des utilisateurs malveillants pour compromettre des données sensibles, y compris des systèmes tiers très éloignés de la zone visée. L'identification et l'analyse de ces interactions complexes représentent un défi pour l'évaluation de la vulnérabilité réelle de chaque système critique.
Un nouveau rapport publié par Vectra AI révèle les angles morts de la sécurité dans les environnements PaaS et SaaS. Alors que les entreprises adoptent les architectures cloud distribuées, « la visibilité est perdue lorsque les services se déplacent vers le cloud, ce qui peut vous rendre aveugle aux comptes et rôles compromis et à l'abus de mauvaises configurations, qui augmentent tous les risques », explique le rapport. L'enquête, menée auprès de responsables informatiques utilisant AWS, a révélé qu'un nombre élevé d'organisations répondantes ne disposent pas d'une procédure formelle d'approbation du déploiement, ce qui signifie que des personnes peuvent apporter des modifications sans qu'un processus ne soit en place.
Défaut de maîtrise des accès
Bien que la majorité des décideurs interrogés (64 %) déclarent qu’ils sont en train de déployer des solutions de sécurité, 30 % des organisations interrogées n'ont pas de procédure d'approbation formelle avant la mise en production, et 40 % ont déclaré ne pas avoir de flux de travail DevSecOps. Par ailleurs, le contrôle des accès aux services n’est pas toujours maîtrisé : 71 % des organisations participantes comptent plus de 10 utilisateurs ayant accès à l'ensemble de l'infrastructure cloud et ayant la possibilité de la modifier.
« Cela montre que le cloud s'est tellement développé qu'il est presque impossible de le configurer en toute sécurité », explique le rapport. Et si quelques applications peuvent être configurées pour accéder aux bons services, avec un si grand nombre de personnes ayant accès à la modification des applications et des services, le risque est plus important. Par ailleurs, l’étude met en lumière le fait que40 % des personnes interrogées déclarent ne pas disposer d'un flux de travail DevSecOps, lequel permettrait aux développeurs et administrateurs de collaborer en continu sur la surveillance des opérations.
« De nombreux actifs informatiques se trouvant désormais hors des périmètres traditionnels des entreprises, les responsables informatiques doivent repenser la sécurité, conclut le rapport. L'architecture maillée de cybersécurité est une approche composable et évolutive qui permet d'étendre les contrôles de sécurité aux actifs distribués en dissociant l'application des politiques des actifs à protéger ».
