Des politiques de sécurité cohérentes, tant dans le cloud qu’en local
- La gestion hybride des politiques repose sur un ensemble de règles unique, défini une seule fois, qui régit à la fois l'application des règles sur site et dans le cloud, avec pour seules exceptions celles qui sont documentées.
- La dérive des politiques est inévitable lorsque les environnements sont gérés séparément ; il est donc nécessaire de mettre en place un modèle opérationnel pour y remédier.
- Désignez des responsables, enregistrez chaque modification, procédez à un déploiement par étapes et prévoyez la possibilité d'une restauration.
- Un registre des exceptions et des contrôles de dérive programmés permettent d'assurer la cohérence entre l'application des règles au niveau local et dans le cloud.
- Un moteur de règles unique pour tous les points d'application élimine la majeure partie du travail de synchronisation et des erreurs de conversion.
La gestion hybride des politiques de sécurité consiste à définir une politique de sécurité une seule fois et à l'appliquer de manière cohérente à chaque point d'application, qu'il s'agisse d'une passerelle dans un centre de données, d'un appareil en succursale ou d'un point de présence dans le cloud. L'objectif est qu'un utilisateur, un appareil, un type de données ou une application soit traité de la même manière, quel que soit le point d'application qui gère le trafic.
Cet article fait partie du guide consacré à la sécurité du cloud hybride.
Pourquoi les politiques s'écartent-elles des objectifs dans les environnements hybrides ?
On parle de « drift » lorsque la même fonctionnalité est implémentée séparément à plusieurs endroits :
- Une passerelle sur site et un service cloud présentant une syntaxe de règles et des bases de données de catégories différentes
- Des exceptions ont été ajoutées en urgence dans un environnement et n'ont jamais été répercutées dans l'autre
- Différentes équipes chargées des politiques de sécurité des réseaux, du cloud et des données
- Les dictionnaires DLP ont été mis à jour pour une chaîne, mais pas pour une autre
- Modifications d'urgence effectuées directement sur les appareils, en dehors du processus habituel
Il en résulte que la sécurité dépend de l'endroit où se trouve l'utilisateur. Les auditeurs identifient ce problème, les pirates l'exploitent, et le dépannage est ralenti car personne ne sait avec certitude quelle politique s'applique. Les « dix principales stratégies d'atténuation des risques liés à la sécurité du cloud » de la NSA et de la CISA abordent directement cette question, en proposant des stratégies pour un déploiement automatisé sécurisé via l'infrastructure en tant que code, ainsi que pour gérer les complexités des environnements hybrides et multicloud.
Propriété
Une politique cohérente commence par une définition claire des responsabilités pour chaque domaine d'action, qui doivent être attribuées avant le choix des outils.
| Domaine d'action | Propriétaire type | Responsable de la validation |
|---|---|---|
| Accès au site Web et catégories | Équipe chargée de la sécurité des réseaux ou de la sécurité Web | Responsables de la sécurité, RH : utilisation acceptable |
| Accès privé aux applications | Équipe chargée de l'identité et des accès | Responsables d'applications |
| Protection des données (DLP) | Équipe chargée de la sécurité des données | Propriétaires des données, protection de la vie privée, conformité |
| Protection contre les menaces | Opérations de sécurité | Direction de la sécurité |
| Décryptage et contournement du protocole TLS | Équipe chargée de la sécurité Web | Confidentialité et mentions légales |
| Exceptions | Demande émanant d'un chef d'entreprise | Responsable du domaine d'action |
Chaque règle doit pouvoir être rattachée à un responsable et à une raison métier.
Gestion des versions
Considérez la politique de sécurité comme du code, de sorte que chaque modification soit examinée, consignée et réversible :
- Enregistrez les définitions des règles de la boutique dans un système de gestion de versions, ou utilisez une plateforme qui conserve l'historique complet des versions.
- Exigez une description, un numéro de ticket et le nom d'un validateur pour chaque modification.
- Vérifiez les modifications avant le déploiement, notamment en comparant celles-ci avec la version actuelle.
- Des balises sont créées afin de permettre l'identification et la restauration de tout état de déploiement.
Les mesures de contrôle de gestion de configuration de la norme NIST SP 800-53, révision 5, notamment la configuration de référence (CM-2) et le contrôle des modifications de configuration (CM-3), s'appliquent autant à la politique de sécurité qu'aux serveurs. La norme NIST SP 800-128 décrit les pratiques de gestion de configuration axées sur la sécurité qui viennent les étayer.
Déploiement
Mettez en œuvre les modifications de politique par étapes afin que les problèmes apparaissent d'abord au sein d'un petit groupe avant de toucher l'ensemble des utilisateurs :
- Vérifiez le fonctionnement dans un environnement de test ou à l'aide d'un outil de simulation de politiques.
- Canary pour un petit groupe d'utilisateurs ou un seul site.
- Suivez les taux de blocage, les erreurs et les tickets d'assistance par rapport aux valeurs de référence.
- Déployez-vous progressivement sur l'ensemble des sites et des régions cloud.
- Vérifiez que tous les points d'application signalent bien la nouvelle version.
Pour les modifications urgentes motivées par une menace, définissez une procédure accélérée qui permette néanmoins d'enregistrer la modification et de la synchroniser partout.
Exceptions
C'est dans les exceptions que la cohérence s'érode le plus rapidement.
Maintenez un registre d'exceptions unique couvrant tous les environnements :
- Champ d'application : utilisateurs, groupes, destinations, classes de données et canaux
- Environnements : aux quels points d'application l'exception s'applique-t-elle ?
- Justification et propriétaire
- Date d'expiration ou de révision
- Commandes de compensation
Les exceptions doivent être définies dans la stratégie centrale et répercutées ; elles ne doivent en aucun cas être configurées directement sur les appareils individuels.
Contrôles de dérive
La détection des écarts consiste à comparer la politique prévue avec celle qui est effectivement mise en œuvre.
- Vérification de la version : chaque point d'application signale la version active de sa politique ; une alerte est déclenchée en cas de divergence.
- Comparaison des configurations : exportez régulièrement la configuration déployée et comparez-la à la configuration de référence approuvée.
- Test comportemental : effectuez des tests d'URL et d'applications au niveau de la passerelle locale, puis effectuez des tests de protection des données sur le chemin vers le cloud vers lequel la passerelle transfère les données ; comparez ensuite les résultats avec la politique que vous avez définie.
- Audit des exceptions : comparez les exceptions au niveau des périphériques avec le registre central.
Prévoyez des contrôles de dérive au moins une fois par semaine et après chaque fenêtre de modification.
Rétroaction
La restauration devrait permettre de rétablir la version précédente de la politique sur tous les points d'application en une seule opération.
- Conservez la version précédente de la politique à disposition afin de pouvoir la redéployer sur tous les points d'application.
- Définissez qui est habilité à autoriser une restauration et dans quelles conditions.
- Vérifiez que la restauration en arrière s'applique aux points d'application dans le cloud et sur site au cours de la même opération.
- Consignez les annulations en précisant les motifs et assurez-en le suivi par un examen.
Modèles de synchronisation
Il existe quatre modèles de synchronisation, et le risque de dérive diminue à mesure que la gestion des politiques devient plus unifiée.
| Modèle | Comment cela fonctionne-t-il ? | Risque de dérive |
|---|---|---|
| Gestion distincte | Chaque environnement dispose de sa propre console et de ses propres règles | Élevé |
| Synchronisation par script | Règles d'exportation et d'importation des outils entre les plateformes | Moyen ; lacunes dans la traduction et problèmes de synchronisation |
| Listes partagées | Des règles distinctes, mais des listes d'autorisation et de blocage communes synchronisées | Moyen |
| Moteur de gestion unique | Une seule politique appliquée à tous les points de contrôle | Faible |
Les moteurs de politique uniques nécessitent toujours des contrôles de dérive, car les appareils peuvent ne pas se mettre à jour, mais ils suppriment la conversion entre les langages de règles.
Liste de contrôle pour la gestion centralisée des politiques de sécurité
Utilisez cette liste de contrôle pour vous assurer que la gestion de la politique de travail hybride est bien maîtrisée.
- Chaque domaine d'action dispose d'un responsable et d'un décideur
- Toutes les modifications apportées aux politiques sont associées à un numéro de ticket et à une version.
- Les changements sont mis en œuvre par étapes, avec un suivi
- Un seul registre d'exceptions couvre tous les environnements
- Les points de contrôle indiquent les versions actives des politiques
- Les contrôles de dérive sont effectués selon un calendrier préétabli et après chaque modification
- La procédure de restauration a été documentée et testée
- Des tests synthétiques confirment qu'une politique définie produit le résultat attendu pour chaque session, au point d'application chargé de la gérer
Comment Skyhigh favorise la mise en œuvre d'une politique hybride cohérente
Skyhigh garantit la cohérence de la politique hybride en déployant un ensemble unique de règles, sous forme de code, vers chaque point d'application.
Skyhigh utilise une architecture « policy-as-code » qui déploie automatiquement les politiques sur les appliances physiques, les systèmes virtuels et les nœuds cloud, sans nécessiter de réconciliation manuelle entre les environnements (Skyhigh Security). Son SWG hybride prend en charge la migration en un clic des politiques sur site vers le cloud ainsi que la synchronisation en temps réel des politiques unifiées ; de plus, le suivi des règles permet d’identifier quelle politique a affecté le trafic d’un utilisateur donné (Skyhigh Security). La mise à jour de la plateforme de mars 2026 a ajouté une gestion unifiée des politiques indépendante de l’emplacement ainsi qu’un cadre de politiques programmable et extensible. Grâce au Skyhigh Hybrid SSE Mesh, la politique est définie une seule fois dans la console cloud et s’applique à chaque session. Les contrôles « Secure Web Gateway », «Zero Trust Access» et «Secure Browser Controls» sont appliqués de manière native sur la Secure Service Gateway sur site, tandis que les contrôles de sécurité DLP, CASB, DSPM, RBI et basés sur l’IA sont appliqués via le cloud Skyhigh.
Sources
- NSA et CISA. Les dix principales stratégies de prévention en matière de sécurité du cloud (7 mars 2024). https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3699169/nsa-releases-top-ten-cloud-security-mitigation-strategies/
- NIST. SP 800-53, rév. 5 : Mesures de sécurité et de protection de la vie privée pour les systèmes d'information et les organisations. https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
- NIST. SP 800-128 : Guide pour la gestion de la configuration des systèmes d'information axée sur la sécurité. https://csrc.nist.gov/pubs/sp/800/128/upd1/final
- Skyhigh Security. « Moderniser votre infrastructure Symantec Edge Secure Web Gateway , grâce à Skyhigh Hybrid SSE Mesh » (15 juillet 2026). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
- Skyhigh Security. « L'adoption de l'hybride est désormais plus simple grâce à la plateforme Skyhigh SSE » (3 octobre 2024). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html
- Skyhigh Security. «Skyhigh Security annonce de nouvelles solutions pour renforcer sa plateforme SSE universelle révolutionnaire » (24 mars 2026). https://www.skyhighsecurity.com/about/newsroom/newswire/skyhigh-security-announces-new-solutions-to-strengthen-disruptive-universal-sse-platform.html