Solutions de sécurité pour le cloud hybride : comment comparer les fournisseurs

Les solutions de sécurité pour le cloud hybride protègent les utilisateurs, les applications et les données, tant au sein de l'infrastructure sur site que des services cloud. Il est difficile de comparer les fournisseurs, car ceux-ci utilisent le même vocabulaire pour désigner des produits très différents. Ce guide présente les catégories de solutions, les critères les plus importants à prendre en compte, ainsi qu'une méthode de notation permettant d'évaluer de manière comparative les fournisseurs de solutions de sécurité pour le cloud hybride.

Cet article fait partie du guide consacré à la sécurité du cloud hybride.

Types de solutions de sécurité pour le cloud hybride

Les solutions de sécurité pour le cloud hybride se répartissent en six grandes catégories, et la plupart des environnements hybrides en nécessitent plusieurs.

Le fait de savoir dans quelle catégorie un fournisseur vend réellement ses produits permet d'éviter les comparaisons erronées.

Ce guide se concentre sur les première et quatrième catégories : les solutions qui sécurisent les flux d'utilisateurs et de données entre les environnements cloud et sur site. C'est dans ce domaine que les choix architecturaux hybrides ont le plus d'impact sur les risques au quotidien. Pour en savoir plus sur l'architecture dans son ensemble, consultez le document « Sécurité du cloud hybride : architecture et bonnes pratiques ».

Les cinq critères à comparer

Comparez les fournisseurs de solutions de sécurité pour le cloud hybride en fonction de cinq critères : flexibilité de déploiement, protection des données, contrôle des politiques, intégration et migration.

1. Flexibilité de déploiement

Le modèle hybride n'est pas une simple case à cocher. Demandez précisément où l'exécution peut avoir lieu et ce qui dépend du cloud du fournisseur.

• Quelles sont les fonctionnalités disponibles dans chaque mode, et lesquelles sont fournies depuis le cloud du fournisseur, quel que soit l'endroit où le trafic est inspecté ?
• Les composants sur site sont-ils des équipements physiques, des machines virtuelles, des conteneurs, ou les trois à la fois ?
• Quelles sont les fonctions qui nécessitent toujours une connexion au cloud du fournisseur lorsqu'elles sont exécutées sur site (licences, mises à jour, renseignements sur les menaces, gestion) ?
• Le fonctionnement en « air-gap » ou hors réseau est-il pris en charge ?
• Les utilisateurs distants peuvent-ils accéder aux applications privées sans passer par un centre de données, et les utilisateurs sur site peuvent-ils y accéder sans passer par le cloud ?

La définition du glossaire de Gartner concernant security service edge précise que le SSE est principalement fourni dans le cloud, mais qu’il peut inclure des composants sur site ou basés sur des agents. Le degré de prise en charge de ces composants par les fournisseurs varie considérablement.

2. Protection des données

C'est en matière de protection des données que les solutions hybrides se distinguent le plus.

• Un seul moteur de politique DLP couvre-t-il le Web, le SaaS (en ligne et via API), les applications privées, les terminaux, la messagerie électronique et les outils d'IA générative ?
• La classification est-elle commune à tous les canaux ou configurée séparément pour chaque produit ?
• Le DSPM est-il intégré, de sorte que l'identification des données au repos alimente la politique en ligne ?
• Où le trafic est-il déchiffré, et où sont stockées les copies des incidents DLP ?

3. Contrôle des politiques

• Existe-t-il un moteur de politiques unique pour l'application des règles sur site et dans le cloud, ou une console unique gérant plusieurs moteurs distincts ?
• Une politique peut-elle être gérée comme du code, faire l'objet d'un contrôle de version et être annulée ?
• Comment les modifications apportées aux politiques sont-elles répercutées à chaque point d'application, et comment détecte-t-on les écarts ?
• Une politique peut-elle combiner l'identité, l'état de l'appareil, la classification des données et les indicateurs de risque ?

Le fait de disposer de moteurs distincts sous une même console entraîne toujours des divergences. Demandez au fournisseur de modifier une règle au cours de la démonstration et de montrer son application à la fois sur une passerelle sur site et sur un point de présence dans le cloud.

4. Intégration

• Quels sont les fournisseurs d'identité, les agents de terminal, les plateformes SIEM et SOAR, ainsi que les systèmes de gestion des tickets pris en charge en natif ?
• Les journaux peuvent-ils être transmis en continu vers votre SIEM en temps quasi réel, et leur destination peut-elle être limitée par région ?
• La solution s'intègre-t-elle aux modules de sécurité matériels et aux environnements de sandboxing existants ?
• Les API sont-elles suffisamment documentées et complètes pour permettre l'automatisation ?

5. Migration

La plupart des acheteurs remplacent un système existant, souvent un proxy obsolète.

• Existe-t-il une méthode bien définie pour transposer une politique existante ? Dans quelle mesure ce processus est-il automatisé, et quels éléments doivent être validés manuellement ?
• La nouvelle solution peut-elle fonctionner en parallèle avec la solution actuelle pendant la phase de validation ?
• Quels sont les services professionnels inclus, et à qui revient la responsabilité du plan de basculement ?
• Existe-t-il des programmes commerciaux permettant de compenser la valeur résiduelle du contrat relatif au produit remplacé ?

Consultez la liste de contrôle « Migration versSecure Web Gateway : basculement et retour en arrière ».

Liste de contrôle des exigences en matière de sécurité du cloud hybride

Considérez ces exigences en matière de sécurité du cloud hybride comme des critères d'admissibilité avant d'évaluer tout fournisseur :

• Mise en œuvre possible sur site et dans le cloud grâce à un moteur de politiques unique
• Option d'inspection TLS locale pour le trafic réglementé
• private access e par application (ZTNA) pour les utilisateurs à distance et sur site
• Une solution DLP unifiée couvrant le Web, les services SaaS, les applications privées, les terminaux et les outils d'IA
• Comportement documenté lorsque le cloud du fournisseur est inaccessible
• Contrôles relatifs aux journaux et à la localisation des données
• Certifications et autorisations pertinentes (par exemple : FedRAMP, SOC 2 Type II, ISO 27001, référentiels régionaux)
• Prise en charge de la migration en parallèle

Fiche d'évaluation

Évaluez l'importance de chaque critère en fonction de votre environnement, puis attribuez une note de 1 à 5 aux fournisseurs.

Les organisations soumises à une réglementation accordent souvent davantage d'importance à la protection des données et à la flexibilité de déploiement. Les organisations privilégiant le cloud, qui ne sont pas soumises à des exigences d'inspection sur site, peuvent quant à elles accorder davantage d'importance à l'intégration et à l'expérience utilisateur.

Questions à poser aux prestataires de services de sécurité dans le cloud hybride

Les bonnes questions obligent les fournisseurs à démontrer la cohérence de leurs politiques, leur gestion des données et leur comportement en cas de défaillance, plutôt que de se contenter de les décrire.

1. Veuillez nous présenter un exemple de modification de politique appliquée à la fois à une passerelle sur site et à un point de présence dans le cloud.
2. Où exactement notre trafic est-il déchiffré, et qui peut accéder au contenu déchiffré ?
3. Dans quels pays nos journaux, nos données relatives aux incidents et nos données de télémétrie seront-ils stockés, et pouvons-nous limiter cette localisation ?
4. Quelles sont les conséquences sur l'inspection et l'private access s si votre service cloud est inaccessible pendant quatre heures ?
5. Comment les composants sur site sont-ils mis à jour, et est-il possible de procéder à des mises à jour par étapes ?
6. Comment gérez-vous les connexions WebSocket et autres connexions de longue durée utilisées par les outils et agents d'IA ?
7. Quelles évaluations et certifications réalisées par des analystes indépendants portent sur les composants spécifiques que nous achetons ?
8. À quoi ressemble une migration type depuis notre produit actuel, en nombre de semaines, et qu'est-ce que les clients ont le plus souvent tendance à sous-estimer ?

Réalisation d'une démonstration de faisabilité

Une démonstration de faisabilité efficace permet de tester vos hypothèses les plus risquées, et non les meilleures fonctionnalités du fournisseur.

• Trafic : utilisez le trafic réel d'un groupe pilote, y compris un site à fort débit.
• Inspection TLS : mesurez la latence et le débit avec l'inspection activée, en simulant le volume de production prévu.
• Protection des données : alimentez les documents de test avec vos propres modèles de données sensibles et vérifiez la cohérence de la détection sur le Web, dans les solutions SaaS et lors des téléchargements vers des outils d'IA.
• Panne : simulez une perte de connectivité avec le cloud du fournisseur et observez ce qui continue de fonctionner.
• Exploitation : confiez à vos administrateurs, et non aux ingénieurs du fournisseur, la tâche de modifier les règles et de résoudre les problèmes liés au blocage d'un site.

Signaux d'alerte

Ces signaux d'alerte indiquent généralement que l'assistance hybride proposée par un fournisseur est moins complète que ne le laisse entendre sa campagne marketing.

• Le terme « hybride » signifie simplement que le cloud du fournisseur peut se connecter à votre centre de données.
• Les produits sur site et dans le cloud disposent d'une syntaxe de règles distincte ou de dictionnaires DLP distincts.
• Le fournisseur n'est pas en mesure d'indiquer où les données déchiffrées sont traitées.
• Private access pour les utilisateurs sur site, cela nécessite un aller-retour via le cloud.
• La migration est décrite comme une importation de fichiers sans étape de validation.

Le rôle d'Skyhigh Security

Skyhigh Security Convient aux organisations qui ont besoin d'une mise en application à la fois sur site et dans le cloud, régie par un seul moteur de règles.

Skyhigh Hybrid SSE Mesh regroupe les appliances SWG sur site, le ZTNA local et les contrôles de navigation sécurisée avec les solutions CASB, DSPM, DLP et RBI dans le cloud, le tout sous une seule console et un seul moteur de politiques. L'inspection TLS locale s'effectue sur l'infrastructure propre à l'entreprise, tandis que le trafic concerné est redirigé vers les services appliqués dans le cloud. Les politiques sont déployées sous forme de code vers les points d'application physiques, virtuels et dans le cloud.

Skyhigh Security a été classée en première position dans la catégorie « Cas d’utilisation avancés de la SSE » du rapport Gartner® « Critical Capabilities » de 2026 consacré aux solutions de gestion des identités et des accès ( Security Service Edge ) (communiqué). La plateforme bénéficie d’une autorisation FedRAMP High ainsi que d’autres certifications, notamment IRAP, BSI C5, SOC 2 Type II et CSA STAR Niveau 2, selon Skyhigh Security.

Sources

1. Gartner. « Security Service Edge » (SSE), Glossaire des technologies de l'information. https://www.gartner.com/en/information-technology/glossary/security-service-edge-sse
2. NSA et CISA. Les dix principales stratégies de prévention en matière de sécurité du cloud (7 mars 2024). https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3699169/nsa-releases-top-ten-cloud-security-mitigation-strategies/
3. NIST. SP 800-215 : Guide pour un environnement réseau d'entreprise sécurisé (novembre 2022). https://csrc.nist.gov/pubs/sp/800/215/final
4. Skyhigh Security. «Skyhigh Security classé n° 1 dans la catégorie « Cas d’utilisation avancés du SSE » dans le rapport Gartner de 2026 intitulé « Critical Capabilities for Security Service Edge» (5 août 2026). https://www.globenewswire.com/news-release/2026/08/05/3339504/0/en/skyhigh-security-ranked-1-in-advanced-sse-use-case-in-2026-gartner-critical-capabilities-for-security-service-edge.html
5. Skyhigh Security. Modernisation de Symantec Edge SWG (Blue Coat). https://www.skyhighsecurity.com/bluecoat-modernize.html

GARTNER est une marque déposée et une marque de service de Gartner, Inc. et/ou de ses filiales aux États-Unis et à l'international, et est utilisée ici avec autorisation. Tous droits réservés. Gartner ne cautionne aucun fournisseur, produit ou service mentionné dans ses publications de recherche.