DSPM pour la sécurité des données dans un environnement multicloud : une visibilité unifiée sur AWS, Azure et GCP

Pourquoi le multicloud modifie la donne en matière de sécurité des données

Les équipes chargées du cloud opèrent rarement au sein d’un seul et même écosystème. AWS est souvent utilisé pour la richesse de son offre de services et la maturité de ses contrôles de stockage. Azure est courant dans les entreprises axées sur Microsoft. GCP est largement adopté pour l’analyse de données, l’ingénierie des données et l’apprentissage automatique. Chaque plateforme cloud offre une certaine flexibilité, mais chacune propose également un modèle de sécurité différent.

AWS organise l’accès aux données autour de plusieurs couches de contrôle qui se recoupent, notamment les politiques de compartiment S3, les politiques IAM, les listes de contrôle d’accès, les points d’accès et les politiques de contrôle des services. Son modèle de périmètre de données exige des organisations qu’elles définissent des identités de confiance, des ressources de confiance et les chemins réseau attendus. Azure intègre la sécurité du stockage au contrôle d’accès basé sur les rôles, aux paramètres des comptes de stockage, à la prévention des accès anonymes et aux configurations de points de terminaison privés. Les recommandations « Zero Trust » de Microsoft pour le stockage Azure mettent l’accent sur la protection des données dans leurs trois états — au repos, en transit et en cours d’utilisation — tout en appliquant les principes d’accès au privilège minimal et une vérification continue. Google Cloud met en œuvre la sécurité du stockage via Cloud IAM, des politiques d’organisation, des contrôles d’accès uniformes au niveau des compartiments et des contraintes de prévention de l’accès public. Google Cloud s’est également orienté vers des politiques d’organisation plus strictes, sécurisées par défaut, comprenant des contrôles qui empêchent automatiquement l’accès public aux compartiments de stockage et imposent des modèles d’autorisation cohérents.

Cette même exigence en matière de protection des données — empêcher l'accès du public aux fichiers sensibles — nécessite des approches de mise en œuvre différentes selon les plateformes. C'est pourquoi un processus de vérification manuelle, cloud par cloud, s'avère inefficace à grande échelle.

Ce qu'apporte le DSPM

Le DSPM offre aux équipes de sécurité une couche axée sur les données qui apporte des réponses à quatre questions concernant l'ensemble de l'environnement cloud :

Où se trouvent les données ? De quel type de données s'agit-il ? Comment sont-elles mises à disposition ? Qui y a accès ?

Les solutions DSPM efficaces assurent un inventaire continu couvrant ces quatre dimensions essentielles du risque lié aux données dans le cloud : l'emplacement, la sensibilité, le contexte d'exposition et les voies d'accès.

Les plateformes DSPM modernes sont capables d’identifier les informations sensibles dans les systèmes de stockage d’objets, les bases de données gérées, les référentiels de lacs de données, les systèmes de sauvegarde, les instantanés de machines virtuelles et les ensembles de données d’entraînement de l’IA. Des moteurs de classification avancés identifient les informations à caractère personnel (PII), les documents financiers, la propriété intellectuelle, les identifiants, les clés API et les types de données réglementées, tout en intégrant le contexte métier. Le contexte d’exposition comprend l’accès à l’Internet public, les autorisations d’accès anonymes, les rôles IAM trop généraux, les listes de contrôle d’accès (ACL) héritées, le partage entre comptes et les entités de service disposant de privilèges excessifs. La cartographie des voies d’accès permet d’identifier les utilisateurs humains, les comptes de service, les applications et les identités fédérées susceptibles d’accéder à des données sensibles par le biais d’autorisations directes, d’héritage de rôles ou de voies d’escalade des privilèges.

Le référentiel MITRE ATT&CK recense les techniques pertinentes pour le cloud impliquant l'abus d'autorisations et l'accès privilégié, ce qui souligne pourquoi le DSPM doit évaluer le contexte d'accès ainsi que l'emplacement des données.

Pourquoi la visibilité en continu est-elle essentielle ?

Les évaluations ponctuelles ne suffisent plus. Dans les environnements multicloud, les configurations de stockage, les paramètres de partage et les relations d'identité évoluent en permanence. Un ensemble de données qui est privé le lundi peut devenir public le mardi à la suite d'une erreur de configuration, d'une modification de la politique d'accès rendant celle-ci plus permissive ou d'un nouveau chemin d'intégration.

La détection continue est plus efficace que les évaluations ponctuelles, car elle permet de repérer les vulnérabilités dès leur apparition. La hiérarchisation des risques réduit également la charge opérationnelle en aidant les équipes à se concentrer sur les vulnérabilités les plus critiques. Au lieu de générer de longues listes de problèmes présentant tous le même niveau de gravité, le DSPM établit une corrélation entre la sensibilité des données et la gravité de la vulnérabilité, ce qui permet aux équipes de remédier en priorité aux problèmes ayant le plus fort impact.

Cela revêt une importance tant sur le plan opérationnel que technique. Le rapport 2026 de Verizon sur les enquêtes relatives aux fuites de données a révélé que l'exploitation des vulnérabilités était devenue le principal point d'entrée des attaques, représentant 31 % des incidents. Si les attaquants recherchent de plus en plus les failles des systèmes exposés et les erreurs de configuration, alors la visibilité sur l'exposition des données devient un moyen de défense concret, et non plus seulement une simple fonction de reporting.

Le rapport 2025 d'IBM sur le coût des fuites de données a révélé que le coût moyen d'une fuite s'élevait à 4,44 millions de dollars américains à l'échelle mondiale, ce qui renforce l'intérêt économique d'une meilleure visibilité et de contrôles plus stricts des données dans les environnements distribués.

Comment le DSPM favorise la conformité et la gouvernance

Le DSPM permet de renforcer la conformité et la gouvernance en offrant une visibilité permanente sur le traitement des données réglementées sur l'ensemble des plateformes cloud. Il permet de générer des rapports indiquant où se trouvent les données réglementées, qui y a accès et dans quelle mesure les contrôles d'accès sont conformes aux exigences réglementaires.

Cela ne remplace pas un programme de conformité plus global, mais cela réduit la charge de travail manuel liée à l'inventaire, à la classification et à la collecte de preuves. Il en résulte une vision plus actualisée des risques liés aux données et un moyen plus pratique d'accompagner les audits et les examens de gouvernance interne.

Le DSPM peut aider à mettre en correspondance les données identifiées avec les exigences réglementaires et les politiques internes applicables. Sa valeur fondamentale ne réside pas dans l'étiquette en soi, mais dans la combinaison de l'identification, de la classification et de l'analyse des accès, qui rend les décisions en matière de gouvernance plus fiables.

S'appuyer sur les contrôles natifs du cloud

Le DSPM fonctionne de manière optimale lorsqu'il est capable d'interpréter les commandes natives déjà proposées par chaque fournisseur de services cloud.

AWS met l’accent sur les contrôles du périmètre des données et les limites d’accès basées sur l’identité. Son modèle de gouvernance du stockage repose sur une application des politiques à plusieurs niveaux, dans lequel la fonctionnalité « S3 Block Public Access » sert de référence fondamentale pour prévenir toute exposition accidentelle. Les recommandations d’Azure en matière de stockage s’alignent étroitement sur les principes du « Zero Trust », notamment en ce qui concerne le principe du privilège minimal, la connectivité privée et la prévention des accès anonymes. Google Cloud recourt de plus en plus à des politiques d’organisation « sécurisées par défaut », à un accès uniforme au niveau des compartiments et à la prévention des accès publics afin de réduire les schémas d’exposition courants avant qu’ils ne se propagent.

Un programme DSPM efficace doit prendre en compte ces mesures de protection natives, puis évaluer si les configurations réelles correspondent bien au niveau de sécurité visé.

Le DSPM dans l'architecture globale de sécurité

Le DSPM n'est pas conçu pour fonctionner de manière autonome.

Le CNAPP se concentre sur la sécurité des charges de travail, la gestion des vulnérabilités, les erreurs de configuration de l'infrastructure et la protection en temps réel. Le DSPM se concentre sur l'emplacement des données, leur sensibilité et les modèles d'accès. La solution SSE protège les données en transit grâce à des fonctionnalités SWG, CASB et ZTNA, tandis que la solution DSPM se concentre sur les données au repos et le contexte d’exposition au sein des services d’infrastructure cloud. La solution DLP excelle dans la surveillance des mouvements de données et la prévention des partages non autorisés, tandis que la solution DSPM fournit un inventaire et un contexte de risque. La solution CASB se concentre sur la gouvernance SaaS, l’analyse du comportement des utilisateurs et l’application des politiques en ligne, tandis que la solution DSPM étend la visibilité aux services d’infrastructure cloud.

Comme ces outils répondent à des problématiques différentes, ils sont d’autant plus efficaces lorsqu’ils sont intégrés. La plateforme SSE Skyhigh Security combine des fonctionnalités SWG, CASB, ZTNA, DLP, RBI et de sécurité des données, permettant ainsi aux organisations d’appliquer des politiques cohérentes, de corréler les résultats entre les différents domaines de sécurité et de rationaliser les workflows de correction. Skyhigh a été classé « acteur de niche » dans le Magic Quadrant 2025 de Gartner Magic Quadrant Security Service Edge a obtenu le meilleur score dans le cas d’utilisation « Sécurité des données » du rapport Critical Capabilities SSE » 2025 de Gartner. Les résultats du DSPM doivent s’intégrer aux API, aux connecteurs SIEM, aux systèmes de tickets et à la synchronisation des politiques avec les plateformes SSE.

Les critères à prendre en compte pour choisir un programme DSPM

Une stratégie DSPM multicloud efficace doit inclure la couverture des services natifs, l'intégration des identités, le contexte réseau et la prise en charge de la journalisation native du cloud sur AWS, Azure et GCP. Elle doit également pouvoir s'adapter à plusieurs comptes cloud, abonnements et projets, tout en conservant des performances et des coûts acceptables.

Une solution DSPM multicloud doit prendre en charge l'intégration native avec des services tels qu'Amazon S3, RDS et Redshift ; Azure Blob Storage, SQL Database et Synapse ; ainsi que Google Cloud Storage, Cloud SQL et BigQuery. La solution doit également tenir compte des référentiels de données et des services d'analyse spécifiques au cloud, au-delà du stockage d'objets et des bases de données de base.

Une classification avancée des données doit associer la reconnaissance de motifs, l'apprentissage automatique, l'évaluation du contexte et l'intégration des métadonnées métier. L'analyse des accès multiplateforme doit cartographier les relations entre les identités et les autorisations au sein des différents systèmes IAM (gestion des identités et des accès) dans le cloud afin d'identifier les chemins d'accès et les possibilités d'escalade des privilèges.

Les fonctionnalités de correction automatisée peuvent aider les équipes à remédier aux expositions à haut risque, telles que l'accès public ou des contrôles d'accès trop laxistes, tout en préservant les pistes d'audit. Les meilleurs résultats sont généralement obtenus en associant les recommandations de correction à des workflows de révision et à l'application des politiques, et non en cherchant à mettre en place une automatisation totale avant d'avoir bien compris l'environnement.

Une approche pratique de la mise en œuvre

La mise en œuvre doit commencer par une phase de diagnostic, puis s'étendre à la phase de correction. Cette séquence permet de garder le projet gérable et aide les équipes à démontrer rapidement la valeur ajoutée de leur travail.

La phase initiale devrait se concentrer sur le recensement des données sensibles, l'identification des expositions présentant les risques les plus élevés et la cartographie des chemins d'accès dans les environnements cloud. Une fois que l'équipe dispose d'une vue d'ensemble fiable du parc de données dans le cloud, elle peut passer à l'harmonisation des politiques, à l'intégration des flux de travail et à la planification des mesures correctives.

Les organisations commencent souvent par un phase de recensement et de hiérarchisation des risques avant de passer à la mise en œuvre de mesures correctives et à la surveillance continue.