Discussion :

[Stéphane le calme]

Plus de la moitié des entreprises estiment que la sécurité est en retard sur l'adoption du cloud,
d'après une enquête de Symantec

Selon les résultats d'une nouvelle enquête, 54% des entreprises pensent que la sécurité de leur entreprise n'est pas assez mature pour suivre le développement rapide des applications cloud.

L’étude de Symantec portant sur plus de 1 200 décideurs en matière de sécurité dans le monde montre que 53% de l’ensemble de la charge de travail informatique de l’entreprise ont été migrés vers le cloud, mais 93% des personnes interrogées signalent des problèmes de suivi de l’ensemble de leurs charges de travail dans le cloud.

Selon les personnes interrogées, l’organisation moyenne estime que ses employés utilisent 452 applications cloud. Cependant, selon les propres données de Symantec, le nombre réel d’applications Shadow IT utilisées au sein des entreprises est presque quatre fois plus élevé : il est de 1 807. Cette situation, combinée à des pratiques en sécurité qui ne sont pas optimales (notamment une configuration médiocre ou le fait de ne pas utiliser le chiffrement ou l’authentification multifactorielle) signifie que les entreprises sont confrontées à un risque accru de menaces internes. Les données montrent que 65% des entreprises n’implémentent pas d’authentification multifactorielle dans les configurations IaaS et 80% n’utilisent pas le chiffrement.

« L'adoption de nouvelles technologies a presque toujours conduit à des lacunes en matière de sécurité, mais nous avons constaté que les lacunes créées par le cloud computing posent un risque plus grand que nous ne le réalisons, compte tenu de la richesse des données sensibles et critiques stockées sur le cloud. En fait, nos recherches montrent que 69% des entreprises pensent que leurs données sont déjà sur le Web sombre et craignent un risque accru de violations de données en raison de leur migration vers le cloud », déclare Nico Popp, senior vice president, Cloud and Information Protection chez Symantec.

« Les fuites de données peuvent avoir un impact clair sur les résultats des entreprises, et les équipes de sécurité cherchent désespérément à les prévenir. Cependant, notre Cloud Security Threat Report 2019 montre que ce n'est pas la technologie cloud sous-jacente qui a aggravé le problème des fuites de données - ce sont des pratiques de sécurité qui n’étaient pas matures, le personnel informatique surchargé et le comportement à risque des utilisateurs finaux en ce qui concerne l'adoption du cloud ».

Les données du rapport indiquent que 25% des alertes de sécurité du cloud ne sont pas traitées. Une majorité (64%) des incidents de sécurité se produisent au niveau du cloud et plus de la moitié des personnes interrogées admettent qu’elles ne peuvent suivre le rythme des incidents de sécurité. De plus, 83% estiment ne pas avoir de processus en place pour réagir efficacement aux incidents de sécurité dans le cloud.

Le comportement a risque dans le cloud est également un problème. 93% des personnes interrogées déclarent que le sur-partage constitue un problème, estimant que plus du tiers des fichiers dans le cloud ne devraient pas y figurer. En outre, le cloud n’est pas à l’abri du même comportement à risque que les technologies antérieures: les répondants signalaient des utilisateurs avec des mots de passe faibles (37%), l’utilisation des applications de cloud non autorisées (36%) et des connexions. avec des appareils personnels (35%).

Source : rapport Symantec (au format PDF)

Et vous ?

Êtes-vous surpris par les résultats de cette enquête ?
Face à la montée en puissance du cloud, que préconiseriez-vous pour protéger au mieux les données des entreprises ?

Voir aussi :

Les revenus de l'infrastructure du cloud computing continuent d'augmenter malgré le ralentissement des dépenses en 2019, selon IDC
Développeurs : les principaux résultats du rapport Skill Up sur les langages, le cloud, l'IA, la blockchain, l'open source...
Apple met l'application iCloud à disposition des utilisateurs de Windows 10 au travers du Microsoft Store
Google donne plus de détails sur l'incident de mise en réseau de ses services cloud après l'explication de son vice-président de l'ingénierie

[Anselme45]

Face à la montée en puissance du cloud, que préconiseriez-vous pour protéger au mieux les données des entreprises ?

La réponse est simple... Ne pas utiliser le cloud!!!


Il est amusant de constater que cette étude considère que les problèmes de sécurité liés à l'usage du cloud ont pour seules origines les vilains et incompétents utilisateurs. Il n'y a évidemment que les méchantes langues qui vont considérer que l'étude est arrangée pour faire la promotion des produits "Symantec Security Cloud"

En réalité, c'est le concept même du cloud qui est une connerie: Quand on veut s'assurer de la sécurité de ses données, on ne va pas les "planquer" chez un tiers dont on ne connait rien, ni ses capacités techniques, ni le sérieux de ses collaborateurs, ni le lieu des serveurs qui stockent ses données. Quand on veut préserver son intimité, on ne choisit pas de déambuler à poil, les fesses à l'air, le long des Champs Élysées!

Est-il nécessaire de rappeler ici que même les GAFAM doivent périodiquement reconnaître qu'ils se sont fait voler des données?

[Kulvar]

La réponse est simple... Ne pas utiliser le cloud!!!


Il est amusant de constater que cette étude considère que les problèmes de sécurité liés à l'usage du cloud ont pour seules origines les vilains et incompétents utilisateurs. Il n'y a évidemment que les méchantes langues qui vont considérer que l'étude est arrangée pour faire la promotion des produits "Symantec Security Cloud"

En réalité, c'est le concept même du cloud qui est une connerie: Quand on veut s'assurer de la sécurité de ses données, on ne va pas les "planquer" chez un tiers dont on ne connait rien, ni ses capacités techniques, ni le sérieux de ses collaborateurs, ni le lieu des serveurs qui stockent ses données. Quand on veut préserver son intimité, on ne choisit pas de déambuler à poil, les fesses à l'air, le long des Champs Élysées!

Est-il nécessaire de rappeler ici que même les GAFAM doivent périodiquement reconnaître qu'ils se sont fait voler des données?

Chiffrer les données, ne pas connecter tout et n'importe quoi à internet, vérifier ce qui entre et sort, avoir la maîtrise de la machine physique.

[i5evangelist]

En réalité, c'est le concept même du cloud qui est une connerie: Quand on veut s'assurer de la sécurité de ses données, on ne va pas les "planquer" chez un tiers dont on ne connait rien, ni ses capacités techniques, ni le sérieux de ses collaborateurs, ni le lieu des serveurs qui stockent ses données. Quand on veut préserver son intimité, on ne choisit pas de déambuler à poil, les fesses à l'air, le long des Champs Élysées!

J'oserais même dire que même si on sait ou sont les serveurs, qu'on connais la boite, qu'est-ce qui empêche les salariés de cette boite de récupérer de l'information.
Petite blagounette éclairante : 2 types discutent et l'un dit à l'autre "mon andouille de fils a posté des photos de lui à poil sur internet, quel idiot !" et l'autre de répondre "ho tu sais, ma boite elle, elle dématérialise ses factures sur internet (ses clients, ses tarifs, etc.)"

[Anselme45]

Chiffrer les données, ne pas connecter tout et n'importe quoi à internet, vérifier ce qui entre et sort, avoir la maîtrise de la machine physique.

Et quel est l'intérêt de "chiffrer les données" quand les clés de cryptage sont connues et stockées par le fournisseur du Cloud?

Certains devraient lire les conditions générales par exemple des services de Microsoft comme BitLocker / OneDrive. Ils ne s'en cachent même pas... D'ailleurs officiellement, c'est juste pour rendre service à leur benêts de clients qui perdent leurs clés de cryptage et ne peuvent plus récupérer leur données

Inutile de préciser que, au grand jamais, jamais, jamais, ces clés ne seront utilisées par qui que se soit pour prendre connaissance de ces données...

[jeromevdl]

C'est désolant de lire ce genre de commentaires. Et c'est signe d'une mauvaise connaissance du cloud public (je ne parle pas d'incompétence). Vous pouvez utiliser vos propres clés pour crypter des données. Pour ce qui est de l'accès par les salariés, ou de l'accès à l'infrastructure en général, il y a des audits faits par des auditeurs externes, qui délivrent des certifications aux providers cloud, pour assurer que personne n'accède aux données des clients... Etc. Il ne faut pas critiquer ce que l'on ne connait pas. Je vous encourage à essayer, si vous êtes un peu geek, vous allez adorer.