Déplacer des fichiers, une messagerie ou une application métier dans le cloud ne transfère pas automatiquement toute la sécurité au fournisseur. Le prestataire protège une partie de l'environnement, mais l'entreprise conserve des responsabilités sur ses comptes, ses habilitations, ses données, ses configurations et, selon le service utilisé, une partie plus ou moins large des systèmes. C'est le premier point à vérifier avant de parler d'outils.
Pour une PME, une bonne sécurité cloud repose surtout sur des choix cohérents : savoir quelles données sont hébergées où, limiter les accès, activer une authentification robuste, prévoir des sauvegardes réellement restaurables et vérifier ce que le contrat impose au fournisseur. Le niveau de sécurité doit être adapté à la sensibilité des données et au coût qu'aurait une interruption de service.
Qu'est-ce que la sécurité cloud ?
La sécurité cloud regroupe les mesures techniques, organisationnelles et contractuelles qui protègent les données, les applications et les services hébergés dans un environnement cloud. Elle fait partie de la securite informatique au sens large : il s'agit de préserver la confidentialité, l'intégrité et la disponibilité des informations et des services dont dépend l'entreprise.
Le cloud ajoute toutefois une difficulté : plusieurs acteurs interviennent sur le même système. La CNIL recommande de formaliser la répartition des responsabilités entre le fournisseur et le client, tout en rappelant que le client doit lui aussi sécuriser ses données et ses traitements. Cette répartition varie selon l'offre retenue et ne doit donc pas être résumée à « l'hébergeur protège les serveurs, le client protège le reste ».
Qui est responsable de la sécurité des données dans le cloud ?
Le fournisseur et le client ont chacun des responsabilités, mais leur périmètre dépend du modèle de service, des options souscrites et du contrat. Avec une infrastructure IaaS, l'entreprise administre généralement davantage d'éléments qu'avec un logiciel SaaS. Dans tous les cas, elle doit vérifier qui gère les comptes, les mises à jour, les sauvegardes, le chiffrement, les journaux, la réponse aux incidents et la récupération des données.
| Type de service | Ce que le fournisseur prend généralement en charge | Ce que l'entreprise doit notamment vérifier |
|---|---|---|
| SaaS | L'application, la plateforme et l'infrastructure sous-jacente | Comptes, habilitations, paramétrage, données, sauvegarde et réversibilité selon le contrat |
| PaaS | L'infrastructure et une partie de la plateforme d'exécution | Applications déployées, identités, données, secrets, configurations et journalisation |
| IaaS | Datacenters, matériel, réseau physique et couche de virtualisation selon l'offre | Systèmes invités, correctifs, applications, règles réseau, identités, données et sauvegardes |
Ce tableau donne un repère, pas une règle contractuelle. Deux offres appartenant à la même catégorie peuvent répartir différemment certaines tâches. Avant de signer, il faut donc partir du contrat et de la documentation du service, pas du seul sigle SaaS, PaaS ou IaaS.
À vérifier en priorité : pour chaque service cloud critique, identifiez noir sur blanc qui protège l'infrastructure, qui administre les comptes, qui sauvegarde les données et qui intervient lorsqu'un incident survient.
Comment mettre en place une sécurité cloud efficace ?
La première erreur consiste à empiler des outils sans savoir précisément ce qui doit être protégé. Commencez par recenser les services cloud réellement utilisés, y compris les applications SaaS choisies directement par un service ou un collaborateur. Cette cartographie permet de repérer les comptes oubliés, les données sensibles placées dans un service inadapté et les abonnements qui échappent à l'administration de l'entreprise.
Les mesures de base à appliquer sans exception
Pour une PME, les priorités restent relativement simples. Elles doivent cependant être appliquées à tous les services critiques et pas seulement à la messagerie ou au compte administrateur principal.
- activer l'authentification multifacteur sur les comptes sensibles et, si possible, sur l'ensemble des utilisateurs ;
- attribuer uniquement les droits nécessaires à chaque fonction et retirer rapidement les accès devenus inutiles ;
- maintenir les postes, applications, systèmes et composants administrés par l'entreprise à jour ;
- chiffrer les données sensibles au repos et en transit lorsque le niveau de risque le justifie, avec une gestion adaptée des clés ;
- journaliser les connexions et les opérations importantes afin de pouvoir détecter et analyser une activité anormale ;
- organiser des sauvegardes séparées du service principal et tester régulièrement leur restauration.
Ces mesures sont cohérentes avec les précautions publiées par la CNIL pour les traitements dans le cloud. Elles doivent être complétées par la protection des postes de travail, la sensibilisation à l'hameçonnage et une gestion rigoureuse des appareils qui accèdent aux services en ligne.
La gestion des accès reste un point critique
Un compte utilisateur donne souvent accès à plusieurs services, parfois à des fichiers sensibles ou à des fonctions d'administration. Le principe du moindre privilège consiste à n'accorder que les droits nécessaires au travail réel de la personne. Il faut également prévoir une procédure simple pour créer, modifier et supprimer les comptes lors d'une arrivée, d'un changement de poste ou d'un départ.
Dans une PME, je regarde d'abord les comptes administrateurs et les comptes qui ne sont plus rattachés à un salarié actif. Un accès ancien, jamais supprimé, peut rester exploitable pendant des mois sans que personne ne s'en aperçoive. La bonne pratique consiste à revoir périodiquement les habilitations et à séparer autant que possible les comptes d'administration des comptes utilisés au quotidien.
Qu'est-ce que l'authentification multifacteur (MFA) ?
L'authentification multifacteur, ou MFA pour « Multi-Factor Authentication », demande plusieurs preuves distinctes avant d'autoriser l'accès. Un mot de passe peut par exemple être complété par une validation sur un appareil ou par un facteur de possession. L'intérêt est simple : le vol du mot de passe ne suffit plus, à lui seul, à ouvrir le compte.
L'ANSSI recommande de privilégier l'authentification multifacteur et d'adapter la robustesse du mécanisme au risque. Pour une entreprise, il faut au minimum protéger ainsi les comptes d'administration, la messagerie, les accès distants et les applications contenant des données sensibles.
Chiffrement, journaux et détection doivent être configurés
Le fait qu'un fournisseur propose du chiffrement, des journaux d'activité ou des alertes de sécurité ne signifie pas que ces fonctions sont correctement activées pour votre organisation. Vérifiez ce qui est fourni par défaut, ce qui doit être configuré et ce qui entraîne un coût supplémentaire. Pour le chiffrement, la question de la gestion des clés est particulièrement importante : selon l'architecture choisie, le fournisseur peut conserver une capacité technique d'accès aux données.
Les journaux doivent être conservés assez longtemps pour permettre une investigation après un incident et être consultés ou analysés, pas simplement stockés. Sur les services les plus sensibles, une alerte sur une connexion inhabituelle, la création d'un administrateur ou une modification de règle d'accès peut faire gagner un temps précieux.
Point de décision : avant d'acheter une nouvelle solution de sécurité, vérifiez si les fonctions déjà incluses dans vos services cloud sont activées, correctement paramétrées et réellement surveillées.
Comment protéger la continuité d'activité dans le cloud ?
La disponibilité fait partie de la sécurité. Un service cloud peut être très bien protégé contre l'intrusion et pourtant devenir indisponible à la suite d'une panne, d'une erreur de configuration, d'un compte bloqué ou d'une suppression accidentelle. L'entreprise doit donc prévoir comment poursuivre ou reprendre son activité si le service principal ne répond plus.
Les sauvegardes du fournisseur suffisent-elles ?
Pas nécessairement. Il faut distinguer la redondance technique du fournisseur, ses éventuelles sauvegardes internes et la sauvegarde dont l'entreprise a besoin pour restaurer ses propres données. Le contrat doit préciser ce qui est sauvegardé, pendant combien de temps, avec quelle granularité et selon quelle procédure de restauration.
La CNIL recommande de prendre les services cloud en compte dans les plans de continuité et de reprise d'activité, de réaliser des sauvegardes et d'éviter une stratégie qui conserverait toutes les copies dans le même centre de données. Pour une PME, le test de restauration est décisif : une sauvegarde jamais restaurée reste une hypothèse, pas une garantie.
Comment réagir en cas d'incident de sécurité dans le cloud ?
Il faut d'abord contenir l'incident sans effacer les éléments utiles à l'analyse : désactiver ou isoler les comptes compromis, révoquer les sessions ou clés concernées, préserver les journaux et contacter le fournisseur selon la procédure prévue. Cybermalveillance.gouv.fr recommande notamment d'isoler les systèmes attaqués et de préserver les preuves et journaux. Ensuite viennent l'analyse de la faille de sécurité, la restauration des services et, si nécessaire, les obligations de notification liées aux données personnelles.
Le plan doit être préparé avant l'incident. Il doit contenir les contacts techniques, les accès d'urgence, l'emplacement des sauvegardes, les responsabilités internes et les modalités d'escalade chez le fournisseur. Une attaque ransomware montre vite la différence entre une sauvegarde théorique et une procédure de reprise réellement testée.
Le cloud est-il plus sûr qu'un serveur sur site ?
Il n'existe pas de réponse universelle. Un fournisseur cloud peut disposer de moyens de sécurité physique, de redondance et de supervision difficiles à reproduire dans une petite structure. En contrepartie, l'entreprise dépend davantage des comptes en ligne, de la configuration du service, de sa connexion et du fournisseur. Un serveur sur site donne davantage de maîtrise directe, mais impose de gérer soi-même le matériel, les correctifs, les sauvegardes, la sécurité physique et la continuité.
Le bon choix dépend donc de la sensibilité des données, de la disponibilité attendue, des compétences internes, du budget et de la capacité à administrer correctement la solution. Dans les deux cas, la protection des postes reste nécessaire. Un pare feu ordinateur correctement configuré participe à cette protection, mais il ne remplace ni la gestion des identités ni la sécurisation des services cloud eux-mêmes.
Faut-il choisir un fournisseur certifié ou qualifié ?
Une certification ou une qualification peut apporter un élément objectif pour évaluer un fournisseur, à condition d'en vérifier le périmètre exact. Elle ne dispense pas d'analyser le service utilisé, le contrat et vos propres configurations. Pour les besoins de confiance élevés, l'ANSSI précise que la qualification SecNumCloud porte sur une offre cloud déterminée et qu'elle ne préjuge pas du niveau de sécurité du service numérique que le client héberge dessus.
Autrement dit, le logo du fournisseur ne suffit pas. Demandez le nom précis de l'offre couverte, la durée de validité de la qualification ou de la certification et les services réellement inclus dans votre contrat.
Que faut-il vérifier dans le contrat d'un fournisseur cloud ?
Le contrat est le point où les promesses commerciales deviennent des engagements vérifiables. Pour les données personnelles, la CNIL recommande notamment de définir les responsabilités, les exigences d'authentification, la gestion des incidents, les conditions de restitution ou de destruction des données et les moyens permettant de contrôler les garanties du sous-traitant.
Avant de signer ou de renouveler un service critique, vérifiez au minimum les éléments suivants :
- le niveau de disponibilité annoncé, les exclusions et les éventuelles compensations prévues ;
- la localisation des données et les conditions applicables aux transferts hors de l'Union européenne lorsqu'il y en a ;
- les sauvegardes, leur fréquence, leur rétention et la procédure de restauration ;
- les mesures de sécurité incluses, celles qui sont optionnelles et leur coût ;
- la procédure de notification et de traitement d'un incident de sécurité ;
- les conditions de réversibilité, le format de restitution des données et leur suppression en fin de contrat.
Le coût de la sécurité cloud ne se résume donc pas au prix mensuel de la licence. Il peut inclure des options de journalisation, de sauvegarde, de gestion des identités, de supervision, du temps d'administration, un accompagnement externe et les opérations de sortie. Je préfère comparer ces postes séparément plutôt que d'utiliser un tarif moyen par utilisateur, trop variable selon le service et le niveau d'exigence.
Pour commencer concrètement, prenez vos trois services cloud les plus critiques et vérifiez quatre points : l'authentification multifacteur est-elle active, les droits sont-ils à jour, une restauration de sauvegarde a-t-elle déjà été testée et savez-vous exactement ce que le fournisseur prend en charge en cas d'incident ? Si une de ces réponses est floue, vous avez déjà identifié la priorité du prochain audit.
> Quelles sont les mesures de sécurité à prendre pour votre site internet ? > Quel est le but de la sécurité informatique ? > Sécurité Cloud : quelles sont les bonnes pratiques ?
