Le cloud computing face à la sécurité

0
1

L’EPITA a organisé un colloque au cours duquel la sécurité du cloud a été discutée. Ne pas interdire est souvent difficile. Le cloud privé peut être une solution.

Le cloud computing est-il un renoncement à la confidentialité ? La question mérite d’être régulièrement posée, ce qu’a fait l’école d’ingénieurs Epita au cours d’un colloque le 24 mars 2011. Une table ronde réunissait ainsi (de gauche à droite sur la photo) : Sylvain Thiry (RSSI de la SNCF), Patrick Langrand (directeur de la gestion des risques IT de La Poste), Nicolas Arpajian (journaliste animateur), l’Amiral Michel Benedittini (directeur général adjoint de l’ANSSI) et Sébastien Bombal (RSSI d’Areva, enseignant à l’Epita).

« Quand on ne maîtrise pas son système d’information, en cas d’externalisation notamment, il est difficile de savoir si l’hygiène informatique, cet ensemble de règles et de bonnes pratiques pour se prémunir des risques, est bien respecté » a souligné l’Amiral Michel Benedittini. Il a dénoncé l’opacité des contrats de la plupart des fournisseurs de prestations de type cloud et la régulière absence de clauses de niveau de service et de sécurité. Si certains très grands comptes peuvent négocier ces clauses, c’est absolument exclu pour les PME. « Même des dizaines de milliers d’utilisateurs ne permettent pas toujours de négocier » s’est offusqué Sébastien Bompal.

Où sont les nuages ?

Or l’une des questions posée par le militaire a aussi des répercutions en terme de conformité légale aux dispositions dites « informatique et liberté » : selon l’endroit où seront les données « cloudifiées », le gouvernement local ou ses services peuvent-ils accéder aux données et le cas échéant, comme cela s’est déjà vu, les transmettre à ses propres industriels nationaux ?

L’Etat compte, pour répondre à cette problématique sans se priver des avantages du cloud, fabriquer un « cloud de confiance », avant tout pour ses propres usages.

Comme il est impossible de dire systématiquement « non » au cloud, le recours à des clouds privés ou soigneusement sélectionnés parmi des opérateurs strictement nationaux peut être aussi une solution. Enfin, il est aussi possible de ne mettre dans le cloud que des traitements et des données non-sensibles sur le plan stratégique et de conserver sur des plate-formes traditionnelles ce qui doit être strictement contrôlé.

Les métiers dans les nuages et le brouillard

Pour Sylvain Thiry, l’émergence du cloud a radicalement modifié la perception de la sécurité pour trois raisons principales.

Tout d’abord, les prestations de type cloud et notamment SaaS sont de plus en plus souvent gérées directement par les directions métier utilisatrices et plus par la DSI. Or les DSI sont habituées à gérer les questions de sécurité, pas les métiers. Le RSSI doit donc de nouveau prendre son bâton de pèlerin.

Ensuite, le cloud est très attractif et l’interdire ou le limiter est compliqué car le recours à ce modèle implique une absence de rigidité : la direction métier peut tester, utiliser ou arrêter quand elle veut le recours à un tel service sans le moindre investissement. C’est le triomphe de l’Opex sur le Capex.

Enfin, le cloud étant par définition une vaste ressource mutualisée très souple, la traçabilité de ce qui s’y passe est quasiment nulle.

 

Source : CIO

LAISSER UN COMMENTAIRE

S'il vous plaît entrez votre commentaire!
S'il vous plaît entrez votre nom ici

Notifiez-moi des commentaires à venir via e-mail. Vous pouvez aussi vous abonner sans commenter.

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.