10 avril 2023
Par Rodman Ramezanian - Responsable mondial des menaces liées à l'informatique en nuage, Skyhigh Security
- Voici ce que vous pouvez faire
Avec des changements globaux massifs qui ébranlent le statu quo de la façon dont les organisations opèrent et sécurisent les données, il n'est pas étonnant que 2022 ait vu des changements assez importants dans de nombreux indicateurs de sécurité clés que nous suivons dans notre rapport annuel : The Data Dilemma : Cloud Adoption and Risk Report (Le dilemme des données : adoption de l'informatique dématérialisée et rapport sur les risques)..
Commençons par une vue d'ensemble des tendances à l'origine de ces changements et de l'important changement de paradigme actuellement en cours.
L'adoption du cloud s'accélère
Bien que le passage aux données et aux flux de travail basés sur l'informatique dématérialisée soit en cours depuis au moins une décennie, la pandémie a sans aucun doute servi de catalyseur qui a forcé les organisations à adopter des environnements de travail hybrides et à distance plus rapidement que ce à quoi beaucoup étaient préparés. Cette évolution a eu des conséquences notables sur la sécurité. Dans le sillage de ces changements globaux, de nombreuses organisations se trouvent dans une courbe d'apprentissage abrupte pour résoudre les problèmes de sécurité qui ont surgi.
Un nouveau paradigme émerge
La sécurité consiste fondamentalement à protéger les données. Maintenant que les données sont partout, résidant en dehors du réseau traditionnel de l'entreprise, il est devenu apparemment impossible de les sécuriser par des moyens traditionnels. Pour preuve, 90 % des organisations interrogées dans notre rapport ont subi une ou plusieurs failles de sécurité, 89 % ont été confrontées à des menaces de sécurité et 80 % ont été victimes de vols de données. En outre, 75 % des entreprises interrogées ont été confrontées à ces trois problèmes de sécurité en 2022.
Ce qui est clair aujourd'hui, c'est que l'approche standard axée sur la protection des données uniquement à la source est en train d'être radicalement inversée. Un nouveau paradigme émerge qui se concentre sur la protection des données elles-mêmes, plutôt que sur le périmètre où elles sont stockées. Le concept d'architecture de confiance zéro est un élément important de ce changement de paradigme et répond à de nombreux problèmes qui ont surgi à la suite de cette transformation numérique massive.
Les entreprises sont confrontées à une myriade de problèmes de sécurité
Les conclusions de notre rapport indiquent que les complexités et les défis liés à la sécurisation des données dans l'informatique dématérialisée sont nombreux. Les problèmes de sécurité signalés par les organisations dans notre étude sont les suivants :
- Les hypothèses et les erreurs de communication entre les membres de l'équipe sur la question de savoir qui est responsable de quelles données sont courantes.
- En moyenne, 51 % des services SaaS utilisés sont mis en service sans contrôle des services informatiques, et 46 % d'entre eux manquent de visibilité sur les données.
- Il y a un manque de contrôles de sécurité adéquats ou cohérents pour les données, accompagné de problèmes de gestion.
- Une énorme quantité de données sensibles est stockée dans le nuage, 61 % des données sensibles en moyenne étant stockées dans le nuage public, ce qui représente une augmentation par rapport aux 48 % de notre dernier rapport.
- Les risques liés à l'informatique fantôme préoccupent 75 % des entreprises, mais 60 % d'entre elles autorisent leurs employés à télécharger des données sensibles sur leurs appareils personnels, probablement pour des raisons de productivité.
- L'assemblage de solutions ponctuelles non intégrées entraîne une complexité de gestion et des lacunes en matière de sécurité.
- Les équipes de sécurité sont à bout de souffle dans un contexte de recrutement difficile.
Compte tenu de la multiplicité des problèmes en jeu, il n'est pas étonnant qu'un grand nombre d'organisations signalent des violations, des menaces et des vols de données. Les cybercriminels sont impatients de profiter de la prolifération des données sensibles stockées dans le nuage.
Davantage de données sensibles sont en jeu
Dans l'ensemble, le nombre moyen de services de cloud public utilisés par les organisations participant à l'enquête a augmenté de 50 %. Ce nombre est passé de 20 en 2019 à 30 en 2022. Près de la moitié des répondants ont déclaré qu'ils stockaient des données concurrentielles, des informations personnelles sur les clients et/ou de la documentation interne dans ces services. Plus d'un tiers stocke des informations personnelles sur le personnel, de la propriété intellectuelle exclusive et/ou des informations d'identification gouvernementales. Enfin, environ un quart des personnes interrogées stockent des informations relatives aux cartes de paiement, des mots de passe de réseau et/ou des dossiers médicaux dans ces services de cloud public.
Le vol de ces données peut nuire à la réputation de l'entreprise, à sa capacité à fonctionner et à sa situation financière, surtout si les autorités de réglementation lui infligent une amende pour n'avoir pas sécurisé les données. Les exigences de conformité augmentent en même temps que les cyber-menaces, il est donc plus important que jamais pour les organisations de donner la priorité à la sécurité.
En outre, d'ici 2024, Gartner prévoit que 75 % de la population mondiale verra ses données personnelles couvertes par des réglementations en matière de protection de la vie privée.
Les entreprises augmentent leurs investissements dans la cybersécurité
Pour lutter contre ces problèmes, les organisations se tournent vers diverses solutions, allant de la formation des employés à la cybersécurité (52 %) à la création de plans de reprise après sinistre/DLP (47 %), en passant par l'augmentation des investissements dans la cyberassurance (47 %). Quarante et un pour cent ont déclaré qu'ils prévoyaient d'adopter un modèle de sécurité sans confiance, et 39 % prévoient d'adopter une approche de microservice.
En particulier, 42% des organisations de notre étude utilisent des solutions cloud access security broker (CASB), 28% utilisent des passerelles web sécurisées (SWG), et 23% utilisent data loss prevention (DLP) et des mesures de cryptage une fois que l'informatique fantôme est découverte.
Plus de la moitié des organisations (56 %) prévoient d'augmenter leurs investissements dans la cybersécurité. C'est une bonne chose, mais cela indique néanmoins que les investissements actuels dans la cybersécurité sont incapables de gérer la complexité de la sécurisation des données dans l'informatique dématérialisée. Les résultats de l'enquête le confirment.
Notre conclusion
De nouveaux défis justifient de nouvelles approches et de nouvelles solutions.
Comme alternative aux complexités et aux lacunes de sécurité potentielles découlant des produits ponctuels, nous recommandons une solution Secure Service Edge (SSE) qui combine les solutions CASB, SWG et DLP avec zero trust network access (ZTNA) et la protection des applications cloud-natives (CNAPP) en une seule plateforme intégrée. En simplifiant et en intégrant la sécurité dans une solution d'un seul fournisseur, la sécurité peut être gérée de manière centralisée à partir d'un tableau de bord unique. Une solution ESS répond à la majorité des problèmes de sécurité mis en évidence dans notre rapport, tout en maximisant l'efficacité et la productivité des équipes de sécurité.
Comme le montre l'enquête, deux personnes en moyenne par organisation sont responsables de la sécurisation des données dans le nuage. Il s'agit des directeurs techniques (48 %), des directeurs informatiques (37 %), des responsables de la sécurité informatique (35 %), des responsables des réseaux informatiques (29 %), des responsables informatiques (28 %), des RSSI (22 %) et des architectes informatiques (6 %). Le fait que plusieurs personnes soient responsables de la même chose peut rendre l'appropriation des tâches confuse et conduire à des hypothèses dangereuses. Une plateforme d'ESS simplifierait grandement la désignation des rôles et des responsabilités parmi les membres de l'équipe, de sorte que rien ne passe à travers les mailles du filet et que les lacunes de sécurité pertinentes soient comblées.
La sécurisation des données est plus difficile que jamais. Mais avec une plate-forme ESS comme base d'une architecture de confiance zéro, cette tâche peut être facilitée et les avantages de l'informatique dématérialisée - évolutivité, économies et souplesse - peuvent être appréciés sans sacrifier la sécurité.
Pour en savoir plus, téléchargez le rapport Le dilemme des données : rapport sur l'adoption de l'informatique dématérialisée et les risques qui y sont associés.
Skyhigh SecurityBlog sur le rapport de risque sur le dilemme des données, préparé par Mary Karlton, Envision Technology Marketing, 22 mars 2023, V1
Retour à Blogs