Le risque de violation du cloud augmente, les équipes ont du mal à y remédier

Au cours des 12 derniers mois, plus d’un tiers des organisations ont eu un sécurité des nuages fuite ou violation de données, 83 % craignant que leur entreprise ne soit en danger, selon l’étude « State of Cloud Security 2021 » récemment menée par Fugue (un fournisseur d’automatisation de la sécurité et de la conformité du cloud), et Sonatype (fournisseur d’outils de développement pour l’automatisation et la sécurité de la chaîne d’approvisionnement logicielle).

Les équipes d’ingénierie et de sécurité interrogées avertissent qu’à mesure que l’adoption du cloud s’accélère et que l’échelle des systèmes cloud augmente, les risques – et les dépenses pour les atténuer – augmentent.

L’enquête de 300 professionnels du cloud – comprenant nuage ingénieurs; ingénieurs de sécurité; DevOps ; architectes – ont constaté que 36 % des organisations ont subi une fuite de données de sécurité dans le cloud ou une violation grave au cours des 12 derniers mois, et huit sur dix craignent d’être vulnérables à une violation de données majeure liée à une mauvaise configuration du cloud. 64% disent que le problème va s’aggraver ou rester le même au cours de l’année à venir.

« L’enquête de cette année révèle que la complexité et le dynamisme des environnements cloud à grande échelle dépassent la capacité des équipes à assurer leur sécurité », a déclaré Josh Stella, co-fondateur et PDG de Fugue. « Les équipes d’ingénierie et de sécurité continuent d’augmenter le temps et les ressources qu’elles investissent dans la sécurité du cloud, mais affirment qu’elles n’ont toujours pas la visibilité et l’automatisation dont elles ont besoin. »

Erreurs de configuration incorrecte du cloud : une menace interne majeure

Les principales causes de mauvaise configuration du cloud citées sont un trop grand nombre d’API et d’interfaces à gouverner (32 %), un manque de contrôles et de surveillance (31 %), un manque de sensibilisation aux politiques (27 %) et la négligence (23 %). 21 % ont déclaré qu’ils ne vérifiaient pas l’infrastructure en tant que code (IaC) avant le déploiement, et 20 % ne surveillaient pas correctement leur environnement cloud pour détecter une mauvaise configuration.

« L’adoption de l’IaC est une arme à double tranchant, elle met l’infrastructure cloud entre les mains des développeurs, mais expose également les organisations à de sérieux risques associés à une mauvaise configuration. » mentionné Matt Howard, vice-président exécutif de Sonatype. « Les résultats de l’enquête soulignent la nécessité de doter les développeurs de garde-corps de sécurité avancés et d’un retour d’information rapide pour garantir que l’infrastructure cloud est sécurisée et conforme aux réglementations pertinentes et aux politiques définies.

Cloud et infrastructure en tant que sécurité du code – un problème de personnes

Les défis de sécurité traditionnels joueraient un rôle important dans la sécurité du cloud, tels que la fatigue des alertes (citée par 21 %) et les faux positifs (27 %) et l’erreur humaine (38 %). La demande d’expertise en sécurité cloud continue de dépasser l’offre ; 36 % citent des défis dans l’embauche et la rétention des experts en sécurité cloud et 35 % citent des défis pour former suffisamment leurs équipes cloud à la sécurité.

Sécuriser l’infrastructure en tant que code et cloud coûte cher

Avec la moitié des équipes interrogées consacrant plus de 50 heures d’ingénierie par semaine à Sécurité IaC, l’adoption de l’IaC offrirait aux équipes cloud la possibilité de revoir les paramètres avant le déploiement. Ils consacrent la même quantité de travail à la protection des systèmes cloud qui sont déjà opérationnels. Le manque de politiques qui fonctionnent à travers le cycle de vie du développement cloud (CDLC) de l’IaC à l’exécution a été citée comme un problème important, 96 % d’entre eux affirmant qu’un tel cadre stratégique unifié serait précieux. 47 % ont déclaré avoir besoin d’une meilleure visibilité sur leurs environnements, et 43 % ont déclaré que des audits de conformité et des approbations automatisés seraient utiles.

Le Rapport sur l’état de la sécurité du cloud 2021 est disponible en téléchargement gratuit ici.