Après avoir fait le Buzz sur les forums pendant toute l’année 2010, le taux d’adoption du Cloud Computing est aujourd’hui en réelle augmentation. Dans ce contexte où de nombreuses entreprises se lancent dans l’aventure, la sécurité apparaît comme un défi majeur pour les acteurs du secteur.
Par Jérémie T. Consultant spécialiste Data Center Automation chez D2SI
Pour quelles raisons la sécurité dans le Cloud fait-elle à ce point couler de l’encre ?
Le côté physique des infrastructures avait le mérite de rassurer les clients. L’arrivée du Cloud change la donne : on entre dans un univers nébuleux et flou qui entraîne un sentiment de perte de contrôle pour les utilisateurs. Tout l’enjeu pour les fournisseurs est de faire en sorte que le Cloud Computing soit digne de confiance. Le Cloud réveille les angoisses liées à la perte ou au vol d’informations stratégiques. Il faut garder à l’esprit que ces problématiques existent, dans un contexte de Cloud ou non et que les failles proviennent souvent d’erreurs humaines. Le Cloud fait ressurgir des questions déjà posées par la mise en place d’accès distants et de mobilité.
Les clouds publics permettent la mutualisation d’une plate-forme entre plusieurs clients : cela augmente incontestablement l’exposition aux risques. Les fournisseurs de Cloud se retrouvent face à une forte problématique d’étanchéité : ils doivent s’assurer qu’un client ne puisse surtout pas accéder aux données d’un autre client. C’est un peu la contrepartie de la flexibilité du Cloud, cela implique de renforcer les process de sécurité de façon transverse (workflows de contrôle, protection des locaux, des réseaux, des serveurs, du stockage, …).
Si un client exige une étanchéité forte, il optera plutôt pour la mise en place d’un Cloud privé naturellement moins poreux aux attaques externes et plus propice à la confidentialité. Le Cloud Hybride présente quant à lui le plus gros challenge en termes de sécurité. Comment imposer au cloud « externe » les règles de sécurité du cloud « interne » lorsque ces deux plate-formes doivent interagir ?
Existe-t-il des contraintes règlementaires dans le Cloud Computing ?
Un des challenges du Cloud consiste à donner accès à des données sans savoir où elles sont stockées physiquement. Le problème est crucial car les données peuvent être stockées dans un pays soumis à des contraintes règlementaires différentes. L’Europe dispose d’une directive de protection des données privées mais tous les pays ne disposent pas d’équivalent local de notre CNIL. Cela implique de connaître les lois du pays où les données sont hébergées. Un des défis pour les fournisseurs de Cloud est de garantir aux clients une visibilité permanente sur le lieu de stockage de leurs données, c’est une contrainte légale à respecter.
Pour le moment, il n’existe pas encore de normes ni de standards spécifiques, on se base en général sur les certifications ISO existantes. Mais cela évolue rapidement : on constate aujourd’hui que les professionnels du secteur se mettent en ordre de marche par rapport à cette problématique. Des organismes internationaux comme la Cloud Security Alliance (CSA) se développent pour rassembler les acteurs du secteur et définir collectivement les meilleures pratiques. L’objectif est de rédiger des recommandations communes, des dispositifs de normalisation, idéalement des accréditations. Pour renforcer la confiance, les clients auront besoin de se reposer sur des systèmes de certifications, des labels spécifiques pour les fournisseurs de Cloud.
Peut-être que des classements des hébergeurs de Cloud verront le jour cette année pour rassurer les clients et les guider dans leur choix.
En attendant, ces aspects doivent être négociés au préalable avec l’hébergeur. Il peut garantir une transparence à son client dans son contrat de service et s’engager sur le respect des normes prédéfinies de reporting.
La sécurité deviendrait donc un facteur de différenciation des solutions dans le Cloud ?
Effectivement, pour les acteurs du secteur, la sécurité devient une façon de se démarquer. Les clients vont exiger des garanties fortes afin que leurs données soient bien protégées. Les offres de Cloud devront proposer des indicateurs précis en matière de sécurité et de traçabilité : des techniques de suivi des données dans le Cloud vont être développées dans les années à venir. Enfin, il faudra se méfier des solutions existantes de sécurité « relookées » autour du Cloud. Globalement, il faut s’attendre à ce que les solutions les plus abouties en termes de sécurité soient aussi les plus coûteuses.
Quelles sont les solutions pour renforcer la sécurité dans le Cloud ?
Quand on parle de Cloud, on est loin du modèle statique et physique d’autrefois, l’enjeu consiste à s’adapter aux conditions dynamiques pour inclure des éléments de sécurité dans des structures virtuelles. Dans ce cadre, la sécurité est encore gérée de façon empirique.
Une erreur à éviter est par exemple de se baser sur les modèles de sécurité conçus pour des infrastructures physiques.
Le Cloud implique d’avoir mis en place des processus matures en matière de gestion des droits et des identités. Des mécanismes d’authentification forte, des mots de passe criptés, des workflows de contrôle renforcés, un encryptage du disque dur, des sauvegardes multiples sont autant d’éléments à valider tout en respectant un pré-requis : la disponibilité continue de la donnée.
Certaines offres du marché proposent des services de « colocation sécurisée » : elles permettent de déployer une véritable isolation, de bout en bout, qui cloisonne les données à chaque couche de l’infrastructure informatique (serveur – stockage – réseau).
Nous évoquions la nécessité de normaliser les processus de l’hébergeur pour plus de transparence, il faut aussi que les solutions technologiques soient « labélisées sécurité ». Les solutions de Cloud reposent sur les solutions de virtualisation. Pour Art Coviello, le patron de RSA (filiale sécurité de EMC), c’est la virtualisation qui va aider à améliorer la sécurité dans les environnements Cloud. L’entreprise a d’ailleurs mis en place un service Cloud Trust Authority afin de traiter ce sujet en profondeur.
Dans l’article publié par les Echos : « Le Cloud arrive en force dans les datacenters ! », le président d’Interxion France annonce que depuis quelques mois, il assiste à la mise en place d’infrastructures lourdes de Cloud Computing au sein des datacenters de l’entreprise.
