Pas de cybersécurité sans visibilité des données
Selon Statista, le volume de données générées dans le monde devrait dépasser 180 zettaoctets à l'horizon 2025, soit une croissance annuelle moyenne de près de 40% sur cinq ans.
Peu d’attention est cependant accordée à la question du lieu de stockage de ces informations, alors qu’elle faisait l’objet d’un examen minutieux aux premiers jours du cloud et comporte de nombreux défis. Avec l’émergence du RGPD, en parallèle de l’accélération de l’adoption du cloud, les organisations ont dû s’atteler à la compréhension des flux de données. Cependant, elles ont progressivement placé une confiance injustifiée dans des tiers et partenaires en termes de résidence des données et/ou de leur souveraineté.
Il est essentiel de comprendre que si un fournisseur de services cloud basé aux États-Unis gère les données d’une entreprise en Allemagne, les flux de données ne concerneront pas uniquement ces deux pays. Pour des raisons réglementaires, ainsi que pour des motifs internes de protection des données, les équipes IT et de sécurité doivent donc identifier tous les territoires dans lesquels les données sont stockées, traitées, archivées, et par qui. Ainsi, alors que les organisations travaillent désormais quotidiennement avec des processeurs et sous-processeurs de données cloud, elles doivent comprendre et appliquer le contexte.
Or, il existe souvent une incompréhension concernant qui est en charge de la sécurité des données hébergées par un fournisseur de service cloud. Beaucoup d’entreprises se reposent entièrement sur ce dernier, mais il s’agit d’une responsabilité partagée. Il incombe par conséquent aux organisations de connaître les tenants et aboutissants de leur contrat avec ces tiers, afin de déterminer les missions de chacune des parties et d’assurer ainsi la cybersécurité adéquate des données et de leurs flux.
Au quotidien, des flux de données transitent depuis/vers les utilisateurs, depuis/vers des applications cloud ainsi que des sites web. Avec les outils de surveillance innovants, les équipes IT bénéficient d’une visibilité totale tout au long du processus. Il est ensuite possible de surveiller quand les politiques de sécurité ont été activées et appliquées de manière proactive. Ces règles vont de la sensibilisation des utilisateurs, au blocage automatique d’activités suspectes.
Ainsi, si un malware tente de se propager à partir d’instances cloud, peu importe leur localisation, le trafic et les données web et cloud sont acheminés vers d’autres régions du monde. Ces renseignements contextuels sont extrêmement importants pour les équipes en charge de la cybersécurité et de la protection des données. Ils représentent également un bon indicateur du niveau de cyber-hygiène des utilisateurs : si des comportements dangereux se répètent, les équipes IT savent alors qu’il est nécessaire de rappeler les bonnes pratiques via des formations ciblées, en fonction des besoins notés.
Grâce à une approche « cloud-native » et axée sur les données, il est en outre possible de disposer d’une visibilité optimale sur la législation qui doit être appliquée aux données en fonction de chaque pays. Compte tenu des juridictions de plus en plus sévères, tant en termes de protection des données personnelles que de confidentialité, il est essentiel de les respecter pour les applications cloud managées par les tiers et les entreprises, mais aussi pour le shadow IT. Or, on estime que les équipes IT n’ont de visibilité que sur 5 % des usages. Impossible dans ce contexte de protéger l’ensemble des données et d’appliquer les lois en vigueur.