Au-delà du CSPM : combler les lacunes en matière de sécurité des données dans le cloud

La gestion de la posture de sécurité dans le cloud (CSPM) est désormais un dispositif de contrôle essentiel pour identifier les erreurs de configuration dans le cloud, les écarts par rapport aux politiques et les paramètres non sécurisés du plan de contrôle ; toutefois, elle ne répond pas à toutes les questions liées aux données auxquelles les équipes de sécurité ont besoin de réponses.

Le CSPM est conçu pour automatiser l'évaluation de la posture de sécurité et détecter les dérives dans les environnements cloud. Il permet d'identifier les services exposés, les rôles IAM dotés de privilèges excessifs, les stockages non chiffrés, les instantanés publics et les violations de politiques sur AWS, Azure, Google Cloud et d'autres plateformes IaaS. Cette fonctionnalité est essentielle. Les rapports DBIR de Verizon continuent de montrer que les erreurs et les erreurs de configuration restent des facteurs importants de violation ; l'infographie du DBIR 2024 indiquait que les erreurs représentaient 28 % des violations, les erreurs de configuration constituant un schéma d'erreur courant.

Cependant, les outils CSPM traditionnels se concentrent sur la configuration de l'infrastructure et la sécurité du plan de contrôle, et non sur le contenu ou la sensibilité des données. Ils n'analysent pas en profondeur le contenu des ressources de données, le degré de sensibilité de ces données, ni qui peut réellement y accéder par le biais de différents chemins d'accès. Un compartiment de stockage peut être conforme d'un point de vue configurationnel tout en exposant néanmoins les dossiers des clients en raison de permissions d'accès trop larges ou de liens externes.

Cette lacune est importante, car les risques liés aux données dans le cloud ne se limitent pas aux erreurs de configuration évidentes. De nombreuses voies d'attaque dans le cloud impliquent l'utilisation d'identifiants compromis et l'exploitation abusive de comptes valides, et non pas uniquement des erreurs de configuration technique. Le référentiel MITRE ATT&CK répertorie des techniques dans lesquelles les attaquants utilisent des comptes cloud valides pour accéder à des ressources et exfiltrer des données vers des solutions de stockage dans le cloud. Dans ces scénarios, l'infrastructure peut sembler correctement configurée alors que les données restent exposées. Source : https://attack.mitre.org/

La gestion de la sécurité des données dans le cloud nécessite de savoir où les données sensibles sont stockées, comment elles circulent, qui y a accès et comment leur exposition évolue au fil du temps. Cela implique d'aller au-delà des simples contrôles de sécurité pour s'intéresser à l'inventaire, à la classification, à l'analyse de l'exposition et à la surveillance continue dans les environnements cloud et SaaS – autant de capacités qui définissent une approche globale de gestion de la sécurité des données (DSPM).

Les points forts du CSPM

CSPM excelle dans la détection des problèmes d'infrastructure cloud qui présentent des risques au niveau du plan de contrôle. Il surveille en permanence les configurations cloud par rapport aux références et aux cadres de conformité. Il peut mettre en évidence des problèmes tels que :

• Espace de stockage accessible au public

• Rôles dotés de privilèges excessifs et autorisations trop étendues

• Ressources non chiffrées / chiffrement désactivé

• Groupes de sécurité ouverts et services / bases de données exposés

• Violations des politiques internes ou des exigences réglementaires

Pour les équipes chargées du cloud, cette visibilité est précieuse. Elle permet d'identifier les lacunes en matière de renforcement de la sécurité, d'appliquer les politiques et de réduire les risques courants liés aux dérives de configuration. Elle offre également la possibilité d'effectuer des contrôles systématiques chez plusieurs fournisseurs de cloud, ce qui est difficile à réaliser manuellement à grande échelle.

Les lacunes du CSPM

La limite réside dans le champ d'application. Le CSPM valide l'environnement, mais il ne vous indique pas ce que cet environnement contient.

Un conteneur peut satisfaire à toutes les exigences de contrôle de configuration tout en contenant néanmoins des données réglementées. Un espace de travail collaboratif peut respecter les paramètres approuvés, alors même qu’un fichier sensible est partagé à un trop grand nombre de personnes. Une base de données dans le cloud peut être sécurisée au niveau de la couche réseau, mais les utilisateurs de l’application, les comptes de service ou les autorisations héritées peuvent créer des failles de sécurité imprévues.

C'est pourquoi le CSPM ne peut à lui seul répondre aux questions qui préoccupent le plus les équipes de sécurité :

• Où se trouvent les données sensibles ?

• De quel type de données s'agit-il ?

• Qui peut y accéder ?

• Comment cela est-il diffusé ?

• Quels sont les risques qui présentent le plus grand danger pour l'entreprise ?

Les solutions CSPM traditionnelles offrent également une visibilité limitée sur les flux de données entre différentes plateformes. L'outil qui sécurise votre environnement AWS peut ne pas avoir de visibilité sur la manière dont les données circulent entre AWS et Microsoft 365, Salesforce ou d'autres services cloud. Il peut également passer à côté de référentiels parallèles créés via des services de stockage cloud personnels, une utilisation non autorisée de SaaS ou des exportations vers des outils de collaboration externes.

Pourquoi le contexte des données modifie les priorités

Les équipes de sécurité peuvent être confrontées à un volume important de résultats d'évaluation de la posture de sécurité, mais sans contexte de données, elles peuvent avoir du mal à hiérarchiser les risques les plus graves. Un environnement de test à faible risque contenant des données synthétiques ne devrait pas faire l'objet de la même urgence qu'un système de production contenant les dossiers financiers des clients.

C'est précisément cette distinction qui explique l'importance d'une visibilité fondée sur les données. Elle permet de distinguer les problèmes techniques importants de ceux qui sont véritablement critiques pour l'entreprise. Une alerte concernant un espace de stockage public est grave, mais si la ressource ne contient aucune information sensible, la réponse peut différer de celle apportée à un référentiel exposé de manière similaire contenant des documents soumis à une réglementation ou de la propriété intellectuelle.

La gouvernance des accès constitue un autre angle mort. Le CSPM permet certes de vérifier que des politiques générales en matière d'infrastructure sont en place, mais il ne rend pas pleinement compte de la manière dont les accès s'accumulent à travers les groupes, les autorisations d'application, les ressources partagées, les accès basés sur des jetons ou les intégrations tierces. Au fil du temps, ces relations peuvent créer des vulnérabilités que les contrôles de conformité de base ne permettent pas de détecter.

Ce qu'apporte la gestion de la posture de sécurité des données (DSPM)

La gestion de la posture de sécurité des données (DSPM) étend la visibilité de l'infrastructure aux données. Elle vise à identifier les informations sensibles, à les classer, à comprendre comment elles sont exposées et à surveiller l'évolution de cette exposition.

Une gestion rigoureuse de la sécurité des données commence par un inventaire complet des environnements cloud et SaaS. Elle doit permettre d'identifier où se trouvent les données, que ce soit dans des solutions de stockage cloud, des outils de collaboration ou des applications autorisées et non autorisées.

À partir de là, la classification apporte une dimension métier. L'analyse du contenu ne suffit pas à elle seule ; il faut également évaluer la sensibilité et l'impact des données. Cela implique de faire la distinction entre les fichiers courants et les documents soumis à une réglementation, tels que les données à caractère personnel, les données PCI, les documents financiers ou la propriété intellectuelle.

L'analyse de l'exposition cartographie ensuite les différentes voies d'accès aux données. Cela inclut les autorisations, les paramètres de partage, les liens externes, l'accès hérité des groupes, l'exposition via l'API, les intégrations et le comportement des utilisateurs. Elle examine également comment un attaquant pourrait accéder aux données en piratant un compte ou en procédant à une élévation de privilèges.

Enfin, une surveillance continue permet de détecter en temps réel toute modification concernant le transfert, le partage et l'accès aux données. Dans les environnements cloud, les risques d'exposition peuvent évoluer rapidement à mesure que les équipes collaborent, automatisent leurs processus et connectent de nouveaux services.

Le CSPM et le DSPM sont complémentaires

Le CSPM et le DSPM ne se substituent pas l'un à l'autre. Ils répondent à des besoins différents et fonctionnent mieux lorsqu'ils sont utilisés conjointement.

Le CSPM assure la sécurité de la couche infrastructure. Il vous indique si les ressources cloud sont correctement configurées et si les contrôles de base sont en place. Le DSPM étend la visibilité à la couche données. Il vous indique quelles données sensibles existent, où elles sont stockées, qui peut y accéder et comment elles pourraient être exposées.

Cette vue d'ensemble offre aux équipes de sécurité une réponse plus complète aux questions relatives tant à l'infrastructure qu'aux données. Elle permet également de mieux hiérarchiser les risques, car l'équipe peut établir un lien entre une erreur de configuration et les ressources et données qu'elle affecte réellement.

Les entreprises qui s'appuient sur des plateformes unifiées, telles que la solution complète Security Service Edge SSE) Skyhigh Security, peuvent intégrer à la fois une visibilité axée sur l'infrastructure et une visibilité axée sur les données afin de couvrir l'ensemble des aspects liés à la gestion des données dans le cloud et des risques associés.

Exemple concret

Prenons l'exemple d'une équipe de développement qui exporte du code source vers un service de stockage dans le cloud à des fins de collaboration. Le CSPM peut indiquer que le compte de stockage est chiffré, privé et conforme aux politiques de référence. Du point de vue de l'infrastructure, cela semble acceptable.

Mais une analyse fondée sur les données pourrait révéler une réalité différente. Le référentiel peut contenir des algorithmes propriétaires, des droits d'accès obsolètes accordés à des sous-traitants ou des liens partagés qui n'ont jamais été révoqués. Dans ce cas, le risque ne réside pas uniquement dans la configuration du cloud. Il réside dans la combinaison de la configuration, du contenu et des voies d'accès.

Il en va de même pour les outils de collaboration SaaS. Les fichiers peuvent être stockés dans des applications approuvées, mais être partagés avec des tiers, hérités via l'appartenance à un groupe ou accessibles via des applications connectées et des intégrations d'API. Le CSPM n'est pas conçu pour cartographier ces relations de partage de données en détail.

Pourquoi les applications cloud modernes ont besoin de ces deux approches

À mesure que l'utilisation du cloud se généralise, les données sensibles se répartissent entre un nombre croissant de services, d'identités et de canaux de collaboration. Les contrôles au niveau de l'infrastructure restent indispensables, mais ils ne suffisent plus à eux seuls.

Une stratégie de sécurité cloud aboutie nécessite une visibilité unifiée à la fois sur les plans de contrôle et les plans de données. Cela implique d'associer le CSPM à des fonctionnalités centrées sur les données, capables d'identifier les contenus sensibles, de cartographier les expositions et de prendre en charge une réponse fondée sur les risques.

Les organisations qui combinent ces approches sont mieux à même de répondre à des questions telles que :

• La ressource cloud est-elle configurée de manière sécurisée ?

• Contient-il des données sensibles ?

• Les personnes concernées peuvent-elles y accéder ?

• Ces informations sont-elles divulguées par le biais du partage, d'intégrations ou de liens externes ?

• Quels problèmes faut-il résoudre en priorité ?

Ces questions permettent de distinguer une configuration sécurisée d'une posture de sécurité des données.