Sécurité De L’informatique En Nuage. Dans Quelle Mesure Vos Données Sont-elles Sécurisées ?

Accueil / Stratégie de sécurité / Sécurité des données dans le cloud computing : dans quelle mesure vos données sont-elles sécurisées ?

Cet article est un compte rendu de niveau expert de nos services de sécurité par Anthony Dezilva. Anthony est un vétéran de l’industrie depuis 25 ans, avec une formation en virtualisation et en sécurité. Il est chef de produit pour les services de sécurité chez.

Leadership Et Partenariat Dans La Sécurité Du Cloud

Les définitions sont essentielles ; indispensable même. Le terme « leadership », par exemple, est défini simplement par le dictionnaire Google, comme « l’action de diriger un groupe de personnes ou une organisation ». Chez At, être leader dans notre industrie fait partie de notre ADN et de notre culture. Nous définissons le leadership comme la création de solutions innovantes, fiables, optimisées en termes de coûts et de classe mondiale que nos clients peuvent facilement consommer.

Dans cette veine, le terme « Cloud Infrastructure » (ou son prédécesseur « Cloud Computing ») a tendance à représenter plusieurs scénarios et solutions différents, mis en avant par des équipes marketing trop zélées. Sans une définition claire, la clarté autour des termes est au mieux alambiquée. La «sécurité du cloud», cependant, est plus souvent décrite comme représentant des préoccupations concernant la confidentialité des données, la confidentialité, la conformité réglementaire, la récupération, la reprise après sinistre et même la viabilité des fournisseurs. Nous visons à apporter de la clarté, de la spécificité et de la confiance dans cet espace grâce à nos solutions Data Security Cloud.

La Voie à Suivre : Le Paysage De La Sécurité

Selon Heng & Kim de Gartner, d’ici 2022, 60 % des entreprises subiront une défaillance quelconque, directement attribuée à l’incapacité de leur équipe informatique interne à gérer efficacement les risques. 87 % des près de 1 200 cadres dirigeants mondiaux interrogés par E&Y déclarent avoir besoin de 50 % de financement supplémentaire pour faire face à l’augmentation du paysage des menaces. Ce problème est aggravé par le fait que nous sommes confrontés à une pénurie mondiale de compétences dans les services de technologie et de sécurité. Ces problèmes ont un impact direct sur la capacité des organisations à maintenir et à conserver leur technologie de l’information et maintenant leur personnel de cybersécurité.

Alors que l’industrie se prépare à cette épidémie de sécurité potentielle, les prévisions indiquent qu’une consolidation du grand nombre de fournisseurs de services de sécurité va avoir lieu, ainsi qu’une concentration et une dépendance accrues sur les outils d’automatisation et d’apprentissage automatique. Malgré l’inquiétude du public, ce n’est peut-être pas une si mauvaise chose. La sophistication croissante de ces outils, la capacité d’effectuer des analyses et des corrélations dans de nombreuses dimensions, ainsi que les capacités d’automatisation, pourraient créer des gains d’efficacité ou potentiellement des avancées dans nos capacités défensives.

Les principaux fournisseurs de l’industrie dans ce domaine ne restent pas les bras croisés. En tant que tel fournisseur, est à l’avant-garde de nombreuses initiatives, allant du local à l’international. Par exemple, il est essentiel que nous commencions à favoriser les connaissances chez les enfants dès l’âge de l’école primaire pour qu’ils s’intéressent au domaine. En collaboration avec des organisations de l’industrie, nous parrainons des événements et assumons des rôles de leadership dans des organisations pour soutenir le développement et la sensibilisation des programmes. Nous menons des efforts dans le partage de renseignements sur les menaces et l’utilisation de sources de données disparates sur le dark web, pour créer une analyse prédictive qui peut être opérationnalisée pour l’identification précoce des vecteurs de menace. De plus, nous nous sommes associés aux forces armées des États-Unis et au département américain des anciens combattants pour fournir des voies aux militaires intéressés, afin d’avoir une faible barrière à l’entrée,

Le « leadership », nous le considérons comme notre responsabilité sociale et notre contribution à l’amélioration de la sécurité de notre segment de marché.

Pourquoi Est-ce Pertinent Pour La Sécurité Dans Le Cloud ?

Une étude Gartner de 2015 prévoyait un taux de croissance annuel de 16 % d’une année sur l’autre. La réalité est qu’à l’approche de 2022, nous constatons une augmentation de 32 % des dépenses informatiques en services cloud. Cette même étude a identifié qu’environ 40 % des budgets informatiques sont désormais alloués aux services liés au cloud ou au SaaS.

« Ces statistiques croissantes sont pertinentes car elles vont influencer considérablement votre stratégie cloud existante, ou si vous n’en avez pas, cela devrait vous alerter que vous en aurez bientôt besoin. »

Solutions Sécurisées De Notre Point De Vue Unique

Il est prudent de supposer que vous êtes déjà dans le cloud ou que vous y allez. Notre objectif est d’éduquer sur ce que nous pensons être les composants les plus importants d’une infrastructure cloud sécurisée, et comment ces composants complètent et soutiennent les besoins de sécurité des entreprises modernes. Tout comme la théorie du chemin-objectif met l’accent sur l’importance de la relation avec la réalisation de l’objectif, en tant que fournisseur de services technologiques, nous croyons au partenariat avec nos clients et à faire un effort supplémentaire pour devenir des conseillers de confiance mutuelle dans la création et la subsistance de produits. Le cloud est dans votre avenir pas trop lointain. Laissez-nous vous garder en sécurité et vous guider tout au long du chemin.

Chez, nous avons une perspective unique. En tant que fournisseur d’infrastructure, nous proposons un portefeuille de services d’outils et de services complémentaires pour fournir aux organisations des solutions globales, sécurisées et basées sur le cloud. Dans cet esprit, nous avons identifié une lacune dans l’espace des petites et moyennes entreprises (PME) et leurs barrières à l’entrée, pour l’accès à une technologie de pointe comme celle-ci. Nous savions ce que nous devions faire : nous avons développé les outils pour aider ces entreprises à accéder à une offre de solutions cloud sécurisées de classe mondiale, qui répondait et soutenait leurs besoins réglementaires. Nous plaçons la barre assez haut en matière de performances, de capacité de récupération, de continuité des activités, de sécurité et maintenant de conformité. Notre passion pour les petites et moyennes entreprises et notre dévouement à la sécurité sont la raison pour laquelle nous avons créé le Data Security Cloud.

Nous voulions un moyen de construire une solution qui serait la référence en matière de sécurité, mais aussi entièrement accessible à tous. Pour que cela se produise, nous devions banaliser les offres de services de sécurité traditionnellement consultatifs et les proposer à une structure de coûts OpEx abordable. C’est exactement ce qu’on a fait.

Saviez-vous que l’informatique confidentielle est l’une des nouvelles normes de sécurité du cloud ? Il s’agit de compléter le chiffrement des données au repos et en transit avec le chiffrement en cours d’utilisation.

La Sécurité Du Cloud Est Une Responsabilité Partagée

L’enquête 2017 sur l’adoption du cloud a révélé que 90,5 % des personnes interrogées pensent que le cloud computing est l’avenir de l’informatique. Pas moins de 50,5 % de ces répondants ont toujours identifié la sécurité comme une préoccupation. Parmi ces préoccupations, les domaines suivants présentaient un intérêt particulier :

• Les défis de l’intégration des données et des applications
• Défis de conformité réglementaire (54 % ont indiqué les exigences de conformité PCI)
• Inquiétudes concernant le « verrouillage » en raison des plates-formes de cloud public propriétaires
• Méfiance envers les grands fournisseurs de cloud
• Coût

Nous avons conçu notre solution à partir de zéro, en gardant ces perspectives à l’esprit. Nous avons identifié que nous devions surveiller, défendre activement et doter en ressources un centre d’opérations de sécurité, pour répondre aux incidents 24 heures sur 24, 7 jours sur 7 dans le monde. Nous avons conçu une solution où nous nous associons à chacun de nos clients pour partager la responsabilité de protéger leur environnement. En fin de compte, cette stratégie contribue à protéger la vie privée et la confidentialité des données privilégiées, financières, de santé et personnelles/démographiques de leurs clients ultérieurs. Nous avons entrepris de concevoir un système pour responsabiliser vos objectifs vers votre posture de sécurité.

Notre défi, comme nous l’avons vu, était de banaliser et de démystifier les types de sécurité dans le cloud computing. Nous avons investi des ressources importantes dans l’intégration d’outils et poussé les fournisseurs à passer d’un modèle de coût CapEx traditionnel à un modèle OpEx de paiement à la croissance. Au final, cette stratégie permet des structures tarifaires favorables à ce segment de marché et supprime toute barrière à l’entrée, afin que nos clients puissent accéder aux mêmes outils et techniques autrefois réservés à l’espace entreprise.

Qu’est-ce Qu’un Service Cloud ?

Lorsque nous parlons de Services Cloud, nous devons définir le contexte de :

Nuage Privé

• Un cloud privé représente généralement la solution de virtualisation que vous avez en interne ou celle que vous ou votre organisation pouvez héberger dans une colocation de centre de données.
• En optimisant l’utilisation du temps d’inactivité sur une charge de travail de calcul typique, en agrégeant plusieurs charges de travail sur un seul hôte, le cloud privé tirera parti du surprovisionnement des ressources inhérent à une plate-forme d’hyperviseur bare metal.
• Vous êtes propriétaire de votre Private Cloud. Il se trouve techniquement dans votre établissement, sous votre contrôle opérationnel. La confiance dans les contrôles de sécurité est donc élevée, mais dépend des compétences et des compétences des opérateurs et de leur capacité à maintenir une bonne hygiène de sécurité.
• Le défi, cependant, est que vous devez toujours vous procurer et maintenir le matériel, les logiciels, les licences, la planification d’urgence (sauvegarde et continuité des activités), et même les ressources humaines décrites ci-dessus. Y compris l’organisation entendue pour développer et gérer en continu ces ressources (formation, RH, régimes médicaux/dentaires, etc.).

Nuage Public

• Un cloud public est un environnement dans lequel un fournisseur de services met à disposition une infrastructure de virtualisation pour des ressources telles que des machines virtuelles, des applications et/ou du stockage. Ces ressources sont ouvertes à la consommation grand public sur Internet. Le cloud public est généralement un environnement exploité selon un modèle de paiement à l’utilisation, dans lequel le client ne paie que pour ce à quoi il s’est abonné et/ou s’est engagé.
• Nous pouvons catégoriser davantage le cloud public comme :
  • Logiciel en tant que service (SaaS). Un excellent exemple de SaaS est Office 365 de Microsoft. Bien que vous puissiez utiliser de nombreux outils via le navigateur Internet lui-même, vous pouvez également télécharger le logiciel orienté client, tandis que tout le travail réel se déroule dans l’environnement cloud.
  • Plate-forme en tant que service (PaaS). Une solution dans laquelle le fournisseur de cloud fournit des outils matériels et logiciels, généralement dans un modèle OpEx.
  • Infrastructure en tant que service (IaaS). Lorsque nous parlons de cloud public, il s’agit généralement du service auquel la plupart des gens se réfèrent. Un scénario typique est lorsque vous visitez un site Web et commandez un serveur Windows virtuel ; avec X quantités de processeurs, Y quantités de RAM et Z quantités de stockage. Chez, nous offrons ce style de service. Une fois provisionné, vous installez IIS et WordPress, vous téléchargez votre site et vous disposez maintenant d’un serveur Internet pour votre site Web. Les consommateurs attirés par ce modèle sont généralement soucieux des coûts et tentent de créer leur solution avec le moins de dépenses possible. Des éléments tels qu’un pare-feu accessible sur Internet peuvent être négligés ou entièrement ignorés. Des pratiques d’architecture système solides telles que la création de charges de travail distinctes pour les plates-formes Web et les plates-formes de base de données/de stockage (avec un pare-feu interne) peuvent également en pâtir.
• Notre proposition de valeur est que ce type de plate-forme cloud réduit la nécessité pour l’organisation d’investir et de maintenir son infrastructure sur site, ses ressources ou même ses contrats de service annuels. Bien que cela réduise les besoins en ressources, cela ne les éliminera pas. Comme la plupart des coûts de licence sont soit inclus via le fournisseur et très probablement disponibles à des prix considérablement réduits grâce aux économies d’échelle du fournisseur, vous êtes également assuré d’obtenir certains des meilleurs prix possibles.

Le tableau suivant compare le modèle d’allocation des coûts changeants :

Informatique Traditionnelle

Coûts des actifs

Coûts de main-d’œuvre pour maintenir l’infrastructure
Coûts physiques du centre de données

• Pouvoir
• Refroidissement
• Sécurité
• Assurance

Coûts d’externalisation/de conseil Coûts
de communication/de réseau

Nuage Public

Coûts de l’infrastructure virtuelle

Nuage Hybride

• Considérez le Cloud hybride comme une fusion entre le Cloud privé et le Cloud public. L’objectif souhaité est que les charges de travail dans ces deux environnements communiquent entre elles, y compris la possibilité de déplacer ces charges de travail de manière transparente entre les deux plates-formes.
• Bien que cela soit également possible dans les autres scénarios, dans le cas du cloud hybride, il est courant de voir un environnement de cloud public configuré comme un environnement sur site. Ce scénario pourrait avoir une segmentation appropriée du trafic nord-sud et, dans de rares cas, une segmentation appropriée du trafic est-ouest facilitée par des dispositifs de pare-feu virtuels ou, plus récemment, par la technologie de micro-segmentation basée sur VMware NSX.

Quel Rôle Jouent Les Cadres De Contrôle ?

Les cadres de contrôle sont des grandes lignes des meilleures pratiques. Un ensemble solide et défini de processus et de contrôles qui aident le fournisseur à adhérer à une posture de sécurité appropriée. Posture qui peut être évaluée, auditée et rapportée, en particulier lorsqu’elle est soumise à des exigences réglementaires vérifiées par un processus d’audit. Ce que cela signifie pour un consommateur, c’est que le fournisseur a construit une solution basée sur des normes qui est cohérente avec l’industrie. Ils n’ont pas rogné, ils se sont efforcés de créer un produit de qualité, fiable et interopérable si vous avez besoin de transférer ou de transférer des composants de votre infrastructure. Une approche basée sur les normes par le fournisseur peut également être mise à profit pour vos propres besoins de conformité réglementaire, tout comme les composants de votre liste de contrôle que vous pouvez attribuer au fournisseur.

S’associer Avec Les Meilleurs

Les nombres de parts de marché sont une mesure quantitative, bien que soumise à un niveau d’alpha, elle reste statistiquement solide. Intel et VMware sont des leaders incontestés et des innovateurs mondiaux dans ce domaine. La supériorité du produit, une mesure qualitative, est un atout crucial lors de l’intégration de composants pour créer des solutions innovantes dans un espace très exigeant. Chez, nous sommes fiers de nos partenariats continus et fiers de développer des produits avec ces partenaires. Nous croyons en la valeur des solutions co-marquées qui innovent tout en créant des plateformes stables en raison de la longévité et du leadership dans l’espace.

En développant notre offre de produits Data Security Cloud (DSC), nous avons eu le plaisir de travailler avec la dernière génération de chipsets Intel et le code produit VMware en version préliminaire. Nous avons conçu et mis en œuvre des outils et des techniques de nouvelle génération, non liés par l’héritage des solutions ou méthodologies précédentes.

Nous avons intégré les technologies vRealize Suite et vCloud Director de VMware dans une solution de classe mondiale. Chez, nous voulons non seulement donner à nos clients les moyens de gérer eux-mêmes leurs tâches opérationnelles, mais en utilisant la norme de l’industrie VMware comme plate-forme, nous pouvons créer des solutions cloud hybrides entre leurs implémentations sur site et Data Security Cloud.

Nouveau Départ

Comme nous voulions concevoir une offre de service cloud sécurisée, nous avons choisi de ne pas nous laisser influencer par l’héritage. En commençant par une toute nouvelle plate-forme de mise en réseau basée sur un réseau défini par logiciel, nous avons créé et construit une solution flexible et évolutive, intégrant les meilleures pratiques de micro-segmentation et d’isolation des données. Nous avons conçu ce niveau de flexibilité et de contrôle sur l’ensemble de la pile de la plate-forme de virtualisation et de la structure de communication interconnectée.

Méthodologie De Conception

Nous nous sommes appuyés sur notre vaste expérience pour atteindre les objectifs de conformité ; intégrant une approche cadre, utilisant les meilleures pratiques de l’industrie, anticipant les besoins et les limites hérités de l’obtention des certifications de l’industrie et de la conformité telles que PCI, HIPAA Compliance et ISO 27002 (à venir). Nous avons conçu une architecture flexible mais sécurisée, complétée par une plate-forme de collecte et d’agrégation de journaux VMware LogInsight, qui transmet les incidents liés à la sécurité à un SIEM LogRhythm, surveillé par notre centre d’opérations de sécurité (SOC) 24h/24 et 7j/7.

Nous L’avons Prouvé

Quelle meilleure façon de prouver que nous avons atteint nos objectifs dans une norme de sécurité que de nous faire valider et certifier par les organisations les plus respectées. Nous avons demandé à TrustedSec d’évaluer notre environnement et de leur faire attester qu’il répondait à leurs attentes. Cependant, nous ne nous sommes pas limités à la simple mise en conformité. De plus, en tant que professionnels de la sécurité, nous avons audité notre environnement, allant au-delà des normes réglementaires. Nous avons conçu notre cadre pour avoir une « approche sans compromis » et notre philosophie fondamentale de « faire ce qu’il faut » d’un point de vue technique et de sécurité. Prouvé par notre certification PCI de cette plate-forme cloud sécurisée.

Le Lancement De Notre Offre De Services De Sécurité

Après des années de tests approfondis et de commentaires de nos clients, nous avons intégré nos capacités de gestion des risques de sécurité et de réponse aux incidents dans une offre de services, disponible pour l’ensemble de notre clientèle. Nous avons amélioré nos opérations de sécurité grâce à l’intégration d’outils avancés d’orchestration de la sécurité et de tests automatisés, et grâce à des partenariats stratégiques avec des organisations publiques et privées de partage d’informations et de collaboration (ISAC). Renforcés par notre capacité à collecter des données sur les vecteurs de menace à l’échelle mondiale, en temps réel à partir de nos propres systèmes, des organisations membres et du dark web, nous utilisons des techniques d’enrichissement uniques pour effectuer un profilage prédictif de la structure sociale de cette société ; dans le but de créer des systèmes de renseignement exploitables ou d’alerte précoce, pour soutenir notre posture défensive.

Cela signifie que nous développons des outils avancés pour détecter les menaces avant qu’elles n’affectent votre entreprise. Nous utilisons ces outils pour prendre des mesures préventives afin de protéger les réseaux clients sous notre surveillance. Des actions qui pourraient voir passer la dernière menace sans vous inclure dans son sillage.

Approche En Couches Pour Créer Une Infrastructure Cloud Sécurisée

Base éprouvée

phoenixNAP a une longue expérience éprouvée dans la conception, le développement et l’exploitation de solutions d’infrastructure innovantes. Avec une société mère dans le secteur des transactions financières, nous avons une connaissance et une expertise approfondies dans les opérations sécurisées de ces solutions critiques. En tant qu’opérateur d’installations de centres de données mondiaux, nous avons établi une réputation et un processus opérationnel dignes de confiance, pour répondre aux besoins de notre vaste et diversifiée clientèle.

Nos certifications SOC-1, SOC-2 et SOC-3 établissent une base de référence pour le contrôle d’accès physique et logique, la sécurité des données et la gestion et les procédures de continuité des activités. Notre désignation de type II vérifie ces capacités dans la pratique. Notre certification PCI-DSS établit notre engagement et notre crédibilité à « faire ce qu’il faut » pour créer un environnement qui illustre vos préoccupations pour le plus haut niveau de sécurité.

Structure De Communication Globale Redondante

Chez, nous croyons que chaque client mérite la plus haute forme de sécurité et de protection. À notre niveau le plus consommateur, nos clients bénéficient d’un service Internet qui s’ajoute à une connexion mixte à six carrières, avec des technologies telles que l’atténuation des attaques DDoS intégrées dans le tissu de communication. Chacun de nos clients reçoit ce niveau exceptionnel de protection prêt à l’emploi. Forts de notre expertise en matière de disponibilité des centres de données, nous avons conçu une structure de commutation maillée aussi résistante que rapide, éliminant les points de défaillance uniques, ce qui nous donne la confiance nécessaire pour offrir une garantie de disponibilité de niveau de service (SLA) à 100 %.

Plate-forme Matérielle Hautement évolutive

« Une nouvelle plate-forme qui représente la plus grande avancée de plate-forme de centre de données en une décennie »

Lisa Spellman – Intel VP/GM de Xeon et Datacenter

Sécurisé à La Fondation

• Module racine de confiance (TPM)
• Jeux d’instructions intégrés pour la vérification (Intel TXT)
• Générateur de nombres aléatoires rapide et de haute qualité (RDSEED)
• Assurance du micrologiciel (BIOS Guard)

Écosystème Intégré

• Provisionnement et initialisation efficaces (Intel PTE)
• Gestion évolutive avec application des politiques (Intel CIT)
• Intégration directe avec HyTrust et VMware, etc.

Un Nouveau Niveau De Confiance

• Gestion sécurisée des clés d’entreprise
• Connectivité fiable
• Attestation à distance de la plateforme sécurisée
• Conformité et mesure au cœur

Conçue autour de la dernière technologie de processeur Intel Xeon et de notre vaste expertise dans la gestion de charges de travail hautement évolutives dans nos autres offres cloud, nous avons construit une plate-forme informatique qui a obtenu des gains de performances 1,59 fois supérieurs à ceux des générations précédentes. Ces augmentations qui sont répercutées sur les charges de travail de nos clients, leur offrant de meilleures performances et un environnement à plus haute densité pour optimiser leur investissement existant, sans aucune mise de fonds ; dans la plupart des cas sans aucun engagement OpEx supplémentaire.

Technologie D’hyperviseur Avancée

Nous construisons un engagement fondamental envers VMware et notre engagement à intégrer les derniers outils et techniques pour permettre à nos clients de faire ce dont ils ont besoin, quand ils en ont besoin.

En utilisant Hybrid Cloud Extender, nous pouvons aider les clients à combler les lacunes du réseau vers les services cloud hébergés tout en maintenant l’accès et le contrôle du réseau. Des outils comme VMWareNSX permettent la création de politiques de sécurité logiques qui peuvent être appliquées à une machine virtuelle quel que soit son emplacement (cloud ou sur site). L’intégration de la dernière boîte à outils Intel Cloud Integrity permet la sécurité de la plate-forme avec des capacités de protection et de conformité des données inégalées.

Notre intégration vRealize Suite et vCloud Director n’est pas différente. Nous fournissons à nos clients un accès direct aux outils dont ils ont besoin pour gérer et protéger efficacement leurs environnements de cloud hybride. Dans le cas où le client souhaite s’engager pour effectuer certaines de ces tâches, nous proposons des services gérés via notre réseau d’assistance NOC et tiers.

Composants Segmentés

L’expérience nous a appris à identifier et à prévenir les erreurs répétées, même celles commises par des partenaires stratégiques ou compétitifs dans le segment de l’industrie. L’une de ces leçons apprises est la meilleure pratique pour sectionner et séparer la plate-forme de calcul « Gestion » de la « plate-forme de calcul utilisateur ». La segmentation minimisera considérablement l’impact d’un plantage du « système de support », ou même d’une lourde charge de travail opérationnelle, sur l’ensemble de l’environnement informatique.

Gestion Des Menaces

Nous croyons que nous avons créé une solution d’infrastructure de pointe avec une sécurité et des fonctionnalités de classe mondiale. Cependant, la solution dépend toujours d’un opérateur humain. L’un, basé sur les compétences ou la formation, pourrait être le maillon le plus faible. Nous nous engageons donc dans une formation continue, principalement par le biais de nos divers engagements dans l’industrie et de nos efforts de leadership. Cette offre de service est conçue pour être un environnement hautement tactile, utilisant une méthodologie de confiance zéro. Un client, incapable de traiter les éléments d’un incident, peut nous voir intervenir en son nom et résoudre le conflit.

Si tout le reste échoue et que l’environnement est violé, nous nous appuyons sur des intervenants en cas d’incident pré-contractés par des tiers qui se déploient dans un format rapide. La bonne gestion de la réponse aux incidents de cybersécurité nécessite une composante de communication de crise. Une ou plusieurs personnes formées à la gestion des détails de la situation, à l’interface avec le public et les forces de l’ordre, et basées sur les concepts de la psychologie, sont formées pour être sensibles et soutenir les différents groupes de victimes de la situation.

Comme nous regroupons la sauvegarde et la restauration en tant que service de base dans nos offres, nous pouvons prendre des décisions de restauration de service en fonction du risque d’écrasement des données par rapport aux temps d’arrêt prolongés. En utilisant l’environnement cloud à notre avantage, nous pouvons isoler les systèmes et déployer des systèmes parallèles pour restaurer le service, tout en préservant le serveur impacté pour une analyse médico-légale plus approfondie par les forces de l’ordre.

Tout Est Dans Les Calques

Hiérarchie des technologies de sécurité de l’environnement virtuel

Les solutions de sécurité sont conçues pour défendre en profondeur. Si une couche est compromise, le processus de défense commence par faire passer les outils et les techniques au niveau suivant. Nous pensons qu’une approche en couches telle que décrite crée une solution sécurisée et stable qui peut facilement être mise à l’échelle latéralement à mesure que les besoins et la clientèle augmentent.

Pourquoi Tout Cela Est-il Important ?

Dans l’un de ses articles de la série CISO Playbook, Steve Riley met les responsables informatiques au défi de ne pas s’inquiéter du fait que la migration vers le cloud peut nécessiter l’abandon du contrôle total, mais les encourage à adopter un nouvel état d’esprit. Cet état d’esprit est axé sur la gestion des identités, la protection des données et les performances de la charge de travail.

Le principal est probablement une référence aux économies de coûts réalisées grâce à la consolidation et au transfert de responsabilité à un fournisseur de services.

• La conversion des dépenses CapEx en dépenses OpEx peut certainement améliorer les flux de trésorerie de ceux du marché des PME.
• La réduction des frais généraux techniques grâce à l’élimination des rôles qui ne sont plus nécessaires peut fournir beaucoup plus de capital d’exploitation et,
  en recentrant les ressources de base pour se concentrer sur les compétences de base, créer des avantages commerciaux dans les domaines qui sont importants pour l’organisation.

• Temps de projet plus courts : le cloud IaaS est une approche solide pour les essais et les erreurs, offrant la vitesse requise pour tester le succès du modèle commercial.
• Distribution géographique plus large : la distribution mondiale du cloud IaaS permet aux applications d’être rapidement déployées dans d’autres régions.
• Agilité et évolutivité : la ressource est facturée à l’utilisation. Si une application est conçue correctement, il est simple de faire évoluer la capacité sur une courte période.
• Disponibilité accrue des applications : comme décrit, nous avons démontré les plus hauts niveaux de sécurité et de fiabilité. Si vous avez la bonne conception d’application, vous pouvez développer la disponibilité des applications en conséquence.

Qu’est-ce Qui Alimente La Stratégie Cloud First ?

Nous entendons de nombreuses organisations adopter une stratégie axée sur le cloud, où elles optent par défaut pour une solution basée sur le cloud, jusqu’à ce qu’elle s’avère impossible ou non réalisable avant d’envisager d’autres options. Les facteurs à l’origine de cette tendance comprennent :

• Coûts d’infrastructure et d’exploitation réduits. Grâce à une réduction des dépenses d’investissement, à l’utilisation de l’élasticité des services cloud, à la baisse des coûts logiciels globaux et à la réduction potentielle du personnel informatique, les organisations rapportent environ 14 % d’économies.
• Flexibilité et évolutivité pour soutenir l’agilité de l’entreprise. L’agilité se définit par la capacité à mettre rapidement de nouvelles solutions sur le marché. La capacité de contrôler les coûts, de tirer parti de différents types de services et d’être flexible pour s’adapter aux conditions du marché.
• Les services cloud ont tendance à utiliser les dernières innovations. Étant en mesure de tirer parti du taux élevé d’innovation dans cet espace, une organisation peut en bénéficier en l’intégrant dans sa stratégie commerciale.
• Une stratégie axée sur le cloud peut stimuler la croissance de l’entreprise grâce à un écosystème de soutien.

Choses à Considérer

Toutes les charges de travail ne sont pas appropriées ou destinées aux plateformes de calcul basées sur le cloud. La partie cadrage de tout projet de migration vers le cloud doit commencer par identifier et sélectionner les charges de travail qui sont facilement migrées et implémentées dans une implémentation cloud multi-locataire.

Le client doit comprendre le profil et les caractéristiques de ses charges de travail. Pendant de nombreuses années, nous n’aurions jamais envisagé de déplacer les charges de travail des bases de données hors du matériel physique. Il s’agit d’un cas similaire où les charges de travail dépendantes d’E/S élevées ou de temporisateurs matériels (telles que le GPS ou le traitement des événements en temps réel) peuvent être sensibles au fait d’être dans un environnement informatique partagé et mutualisé.

• Plus important encore, les services cloud tournent principalement autour de plates-formes de serveur basées sur x86. Par conséquent, les charges de travail qui dépendent d’une autre architecture de processeur, ou même d’unités de traitement secondaires spécialisées ou même de dongles, ne constituent pas des candidats cloud idéaux.

En revanche, l’infrastructure basée sur le cloud permet :

• Agilité commerciale – pour un déploiement rapide, et même une transition rapide d’une plate-forme à une autre, avec de faibles coûts de transition.
• Choix de l’appareil – La flexibilité de déployer, démonter et redéployer diverses configurations d’appareils en quelques clics.
• Collaboration – Les fournisseurs de cloud fournissent généralement un service d’assistance de niveau expert, avec un accès direct à une communauté d’experts qui peuvent répondre à vos besoins.

Il existe de nombreuses raisons d’envisager une stratégie hybride dans laquelle vous combinez des charges de travail. Ce qui doit rester sur métal nu peut rester sur des serveurs métal nu, soit dans votre installation, soit dans une installation de colocation telle que la nôtre, tout en restant connecté à la plate-forme cloud via une interconnexion, bénéficiant des avantages des deux scénarios.

La sécurité du cloud computing  comprend un large éventail de préoccupations. Cela ne se limite pas à la seule confidentialité des données, mais concerne la confidentialité, la conformité réglementaire, la continuité et la récupération, et même la viabilité des fournisseurs. Rester en sécurité dans le cloud est cependant une « responsabilité partagée ». Elle nécessite des partenariats, notamment entre le client et son fournisseur de services d’infrastructure. Personne n’a besoin d’être convaincu que les violations de données sont fréquentes et souvent dues à la négligence de la direction ou de l’opérateur. Les clients en ont assez que leurs données soient divulguées puis utilisées contre eux. Plus récemment, abusé via un vecteur de menace basé sur le courrier électronique, où le mauvais acteur cite un identifiant d’utilisateur et un mot de passe violés, comme moyen de convaincre le destinataire cible d’effectuer une action indésirable, derrière le masque de l’authenticité perçue.

Toute organisation qui accepte les informations personnelles identifiables (PII) de sa clientèle établit avec ce client un contrat social implicite pour protéger ces informations. Chez, nous avons fait preuve de leadership dans le domaine des infrastructures à l’échelle mondiale, grâce à des partenariats avec des clients, des agrégateurs de solutions et des revendeurs. Nous avons créé des solutions innovantes pour relever les défis uniques auxquels sont confrontées les entreprises, allant au-delà pour atteindre les objectifs souhaités par l’organisation cible.

Au fil des ans, j’ai appris de nombreuses leçons importantes lorsqu’il s’agit de créer des solutions sûres et fiables. Voici quelques réflexions finales à méditer.

• Rien ne remplace une architecture solide. Faites les choses correctement et vous avez une base stable sur laquelle bâtir. Si vous vous trompez, vous jouerez à la taupe pour le reste de ce cycle de vie.
• Avoir une documentation détaillée. Mettre en œuvre des politiques et des procédures qui ont du sens. Documentation qui prend en charge le processus métier. Les politiques de sécurité pour le cloud ne peuvent pas peser sur les utilisateurs. S’ils le font, ils deviennent simplement une cible pour le shadow IT. La politique doit soutenir le processus existant tout en mettant en œuvre le contrôle dont il a absolument besoin. Un peu de contrôle vaut mieux que pas de contrôle en raison d’une solution de contournement.
• Prévoyez une brèche, planifiez d’être en panne, planifiez une invasion extraterrestre. Si vous le planifiez, vous ne serez pas pris dans un état de panique lorsque quelque chose se produira sans aucun doute. Plus un scénario semble hors des sentiers battus, mieux vous pouvez l’adopter lorsque des scénarios réels se présentent.
• Vous ne pouvez pas protéger ce que vous ne savez pas que vous avez. La gestion des actifs est la meilleure chose que vous puissiez faire pour votre posture de sécurité. Si c’est censé être là : documentez-le. Si ce n’est pas censé être là : assurez-vous que vous disposez d’un mécanisme pour le détecter et l’isoler. Même pour savoir qui l’a mis là, pourquoi et quand.
• Maintenant que vous savez ce que vous avez : surveillez-le. Apprenez à connaître ce qu’est un comportement normal. Apprenez à connaître sa « ligne de base ».
• Utilisez cette ligne de base comme jauge comparative pour détecter les anomalies. Ce système présente-t-il un comportement incohérent ?
• Mener une enquête. Avoir la capacité de voir l’alerte déclenchée par ce comportement incohérent. Êtes-vous une opération 24/7? Pouvez-vous vous permettre d’ignorer cet indicateur jusqu’au matin ? Vos parties prenantes, y compris vos clients, accepteront-elles votre capacité à détecter et à répondre à l’accord de niveau de service (SLA) que vous leur proposez ? Pouvez-vous prendre en charge les ressources nécessaires pour une opération 24 heures sur 24, 7 jours sur 7, ou avez-vous besoin d’externaliser le composant de gestion des menaces au moins dans un modèle d’extension de couverture ? Les meilleurs outils SIEM sont inutiles sans que quelqu’un actionne les alertes dès qu’elles apparaissent. L’apprentissage automatique aide, cependant, il ne peut pas encore remplacer l’opérateur.
• Atténuer le problème ou être en mesure de récupérer l’environnement. Comprenez quels sont vos objectifs de point de récupération (RPO) et vos objectifs de temps de récupération (RTO). Vos solutions actuelles répondent-elles à ces objectifs ? Ces mêmes objectifs peuvent-ils être atteints si vous devez vous rétablir dans un établissement à travers le pays, sans disponibilité de votre personnel actuel en raison de la crise à laquelle vous êtes confronté ? Comment allez-vous communiquer avec vos clients ? Avez-vous un communicateur de crise et un gestionnaire d’incidents au sein de l’équipe d’intervention ?
• Prenez vos leçons apprises, améliorez le processus et recommencez.

Aucun fournisseur ne peut vous fournir une « solution miracle ». Tout vendeur qui vous le dit est quelqu’un que vous devriez éviter. Les besoins de chaque client sont uniques. Chaque situation nécessite un mélange unique de solutions pour être efficace. D’où votre vaste réseau de relations partenaires, pour vous apporter les solutions dont vous avez besoin, sans chercher à vous faire rentrer dans l’une de leurs offres.

L’offre est toujours sur la table. Chez, nous serons heureux de répondre à l’appel pour discuter de vos préoccupations dans ce domaine et vous donner des conseils sur nos réflexions sur le sujet qui vous intéresse. Promouvoir et soutenir des environnements correctement sécurisés fait partie de notre responsabilité sociale. Cela fait partie de notre ADN et de la philosophie de base des produits de construction dans ce segment. Laissez-nous être votre partenaire dans ce voyage.

Utilisation D’architectures De Référence

L’un des avantages d’une infrastructure sécurisée basée sur le cloud, telle que notre Data Security Cloud, est la possibilité de mettre en œuvre des architectures de référence testées au combat qui, dans certains cas, vont au-delà des capacités standard de ce qui est possible dans l’environnement physique.

Dans ce que nous considérerions comme un cas extrême ; une architecture telle que décrite ci-dessus crée plusieurs couches de sécurité avec diverses passerelles pour accéder aux bases de données prisées que recherchent la plupart des acteurs malveillants. N’ignorons pas les mauvais acteurs qui veulent prendre le contrôle de l’infrastructure Web pour infecter les visiteurs avec des charges utiles infectieuses ; cependant, le vrai prix se trouve à l’intérieur de ces bases de données sous la forme de données PII, PHI ou PCI. Alors que les différents niveaux de composants défensifs sont conçus pour empêcher les mauvais acteurs de prendre d’assaut le château, la surveillance des menaces 24 × 7 détectera sans aucun doute les multiples tentatives et les comportements anormaux, déclenchant une activité d’enquête et de réponse.

Grâce à une combinaison robuste d’outils, de technologies, de services et d’un modèle de coût qui répond aux besoins de l’espace PME, nous pensons avoir démontré notre leadership, mais plus important encore, nous avons créé une solution qui vous sera bénéfique ; notre client PME. Notre objectif est d’avoir créé une solution de sécurité complète que vous pouvez faire évoluer au fur et à mesure que vous définissez votre stratégie cloud.

Notre Promesse

Nous avons réuni une équipe de classe mondiale de leaders hautement expérimentés et compétents, passionnés par la sécurité du cloud. En tant que leaders d’opinion mondiaux, nous concevons pour le monde et mettons en œuvre localement. Nous créons des solutions durables, comprenant l’appétit et le budget limité d’un client. Laissez-nous vous montrer comment nous pouvons contribuer à vos objectifs grâce à nos offres de solutions. Tenir notre promesse de « faire ce qu’il faut », car cela implique de trouver la meilleure solution pour vous.

Anthony Dezilva

Anthony Dezilva est un vétéran de l’industrie depuis 25 ans, avec une formation en virtualisation et en sécurité. Il est chef de produit pour les services de sécurité chez. Il est titulaire d’un MBA et est un ancien élève de la Thunderbird School of Global Management et d’un doctorat. apprenant à l’Université du Grand Canyon, spécialisé en psychologie industrielle et organisationnelle. Son domaine de recherche est de savoir comment le leadership éthique apparaît au suiveur en tant que structure de soutien, et comment cela peut atténuer l’impact de l’épuisement professionnel, en particulier chez les professionnels de la cybersécurité. En tant qu’universitaire et praticien, il a la perspective unique de créer des solutions basées sur des normes, pour des besoins quantifiables du marché.