Par Thomas Mannierre, Directeur EMEA Sud de BeyondTrust L’IA a fait entrer les braquages dans une nouvelle dimension. Plus besoin d’une cagoule noire désormais. En améliorant les attaques d'ingénierie sociale modernes, l’IA a donné naissance à un autre type de menaces : les deepfakes. Bienvenue dans ce qui pourrait être un épisode de Black Mirror ! Le faux CFO de Hong Kong En début d’année, une entreprise à Hong Kong s’est vue escroquée de 25,6 millions de dollars par un hacker utilisant l’IA et la technologie deepfake pour usurper l’identité d’un directeur financier. Si l'on en croit les rapports d’enquête, l'attaque a simulé un environnement de vidéoconférence complet et utilisé une fausse identité d'un important directeur financier de Hong Kong et d'autres participants à la réunion. La victime ciblée du département financier s'est d'abord méfiée d'un e-mail de phishing prétendant provenir du directeur financier. Cependant, la victime a rejoint une con
La sécurité des données dans le Cloud reste un frein pour certaines entreprises désireuses d'adopter cette technologie pour leurs applications ou leurs infrastructures informatiques. D'après une récente étude menée par PAC (Pierre Audoin Consultants), la sécurité est le premier frein à l'adoption du Cloud en France. Une certaine défiance existe donc encore. Pourtant les hébergeurs et les fournisseurs propriétaires de Data Centers prennent de nombreuses mesures visant à apporter aux entreprises un niveau de sécurité similaire à ce qu'elles peuvent avoir sur site au sein même de leurs locaux.
L'entreprise et son prestataire : un accompagnement et une transparence nécessaires
Lors de l'adoption d'une architecture Cloud, il est important de bien définir le besoin de l'entreprise car différentes règles de sécurité en découleront. C'est pourquoi, un hébergeur se doit de connaître son client et d'effectuer un véritable accompagnement personnalisé afin de l'aider à faire les meilleurs choix. La définition du projet amènera l'hébergeur et le client à se tourner vers le Cloud public, privé ou hybride – en fonction des besoins de performances mais aussi du caractère critique et sensible des données.
Différentes règles de sécurité s'appliquent selon les structures choisies. Pour les infrastructures en Cloud public et hybride, les hébergeurs mettent en place une isolation stricte entre les différents clients. Ainsi, un utilisateur présent sur le même serveur ne peut pas, par un moyen détourné, accéder à la machine virtuelle d'un autre utilisateur.
Dans le cas du Cloud privé, ce problème ne se pose pas car le serveur est dédié mais différents droits d'accès aux serveurs physiques sont mis en place pour garantir la sécurisation des données.
Une totale transparence entre l'entreprise et son prestataire est donc indispensable. Plusieurs points doivent être abordés afin de s'assurer que toutes les mesures de sécurité sont mises en place :
La localisation des Data Centers : certains hébergeurs possèdent plusieurs centres de données. Il faut donc que l'entreprise cliente soit en mesure de savoir où se localisent géographiquement ses données. Dans l'idéal, elle doit même pouvoir choisir l'emplacement de ces dernières afin de décider par quelle législation seront régies les données.
Des garanties d'audits et de contrats : le prestataire choisi doit pouvoir démontrer via différents audits que toutes les règles de sécurité sont optimales et à jour. Cela permet à l'entreprise cliente de s'assurer du sérieux du prestataire. En termes de contrat, un accord de réversibilité doit être inclus afin d'assurer aux clients la possibilité de reprendre la main à tout moment sur leurs données et leurs infrastructures.
Une disponibilité des données constante : la sécurité des données, c'est aussi s'assurer que ces dernières seront disponibles à tout moment et ne seront pas perdues – même en cas de soucis technique. Un bon prestataire doit proposer à l'entreprise un Plan de Reprise d'Activité (PRA) après sinistre, qui permettra de dupliquer les données et l'infrastructure Cloud afin que celles-ci restent disponibles même si les serveurs initiaux rencontrent un problème. Ce PRA peut être mis en place avec le même prestataire, si celui-ci dispose de plusieurs Data Centers, ou en collaboration avec un autre hébergeur.
La sécurisation des données en mouvement
La sécurité des données passe donc par la qualité du relationnel et la transparence administrative avec son prestataire, mais aussi par la qualité purement technique de son offre.
Les données sont vulnérables lorsqu'elles sont en mouvement. C'est pourquoi les flux sont hautement sécurisés par les hébergeurs de confiance. En utilisant un système de cryptage, un arsenal firewall et des liens dédiés entre les points de création de contenus et le Cloud, l'hébergeur assure l'intégrité des données. La totalité des transferts vers et depuis le Cloud garantissent ainsi une non-modification des données via divers protocoles lorsqu'elles sont en transit. Ces dernières peuvent également être monitorées et archivées sous forme de log, un outil tiers de monitoring. Plusieurs paramètres sont ainsi vérifiables comme le moment exact de la transmission du flux, si la donnée a été modifiée, et par qui.
La gouvernance des données est aussi un aspect important de la sécurisation. Les politiques d'accès doivent être rigoureuses afin que les clés de chiffrement ne soient pas entre toutes les mains. Par ailleurs, les hébergeurs mettent en place un protocole de droit d'accès aux serveurs physiques, doublé par de nombreuses mesures anti-intrusion, afin d'assurer à ses clients que seules certaines personnes auront accès aux serveurs.
Les données dans le Cloud sont donc soumises à différentes règles pour assurer à la fois leur confidentialité, leur intégrité mais aussi leur disponibilité à tout moment. Un accompagnement personnalisé et une relation de confiance avec un hébergeur, couplés à des offres de qualité, permettent donc d'assurer la sécurité des données dans le Cloud et de lever le principal frein empêchant une partie des organisations d'adopter cette architecture informatique.