En 2018, l’Office of Management and Budget a lancé une nouvelle stratégie visant à fournir aux organisations une feuille de route pour migrer leurs applications vers le cloud. Baptisées Cloud Smart, ces orientations ont fait progresser la stratégie fédérale de cloud computing (plus connue sous le nom de « Cloud First »), dévoilée en 2017, en fournissant aux agences des « conseils pratiques de mise en œuvre afin de concrétiser pleinement les promesses et le potentiel des technologies cloud ».
Alors que Cloud First autorisait essentiellement les agences à commencer à étudier leurs premières initiatives dans le cloud, Cloud Smart vise à réduire les obstacles à la migration vers le cloud. Cette stratégie fournit des orientations solides et pertinentes dans trois domaines importants : la sécurité, les achats et les ressources humaines.
Sécurité Cloud Smart : trois choses à savoir
Intéressons-nous au volet sécurité de Cloud Smart. Plusieurs aspects méritent d’être mentionnés.
Cloud Smart souligne la nécessité de recourir à des connexions Internet de confiance (TIC). Toutefois, cette stratégie reconnaît que les TIC traditionnelles sont devenues « relativement rigides et incompatibles avec les exigences de nombreuses agences ». Ces agences ont besoin d’une solution plus agile et plus souple pour gérer les flux de trafic Internet et offrir une sécurité encore meilleure.
Cloud Smart demande également aux organisations de dresser un inventaire complet des applications présentes dans leurs environnements. Elles sont invitées à évaluer la nécessité de ces applications, leur emplacement, les services dont elles ont besoin pour fonctionner correctement et en toute sécurité (répartition de charge, pare-feu d’applications web, etc.), entre autres.
Enfin, Cloud Smart préconise une protection continue des données ainsi qu’une vigilance constante. Plus précisément, les recommandations suggèrent aux agences de mettre en place « des protections au niveau de la couche de données, en complément de celles appliquées aux couches réseau et infrastructure physique ». À cette fin, Cloud Smart recommande de mettre en œuvre le Federal Risk and Authorization Management Program (FedRAMP), qui fournit une méthode normalisée pour évaluer la sécurité et surveiller en permanence les menaces.
Le message de Cloud Smart est clair : la définition traditionnelle du périmètre réseau s’est estompée ; les applications constituent désormais la nouvelle périphérie du réseau. En effet, nous sommes entrés dans une nouvelle phase de transformation numérique dominée par les services cloud et les applications multicloud. Ces applications reposent sur des données hautement sensibles qui circulent librement entre les environnements sur site et hors site. Ces flux d’informations attirent les pirates informatiques, qui cherchent constamment à exploiter les éventuelles failles de cet environnement. Les données doivent être protégées à tout prix, qu’elles se trouvent sur site ou hors site, qu’elles soient au repos ou en transit.
Cloud Smart : plus descriptif que prescriptif
Mais si Cloud Smart fournit des orientations solides en matière de sécurité des applications et des données dans le cloud, celles-ci restent davantage descriptives que prescriptives. Le dispositif n’entre pas vraiment dans le détail de la manière dont les agences doivent mettre en œuvre leurs mesures de sécurité, ni des outils qu’elles peuvent utiliser pour protéger leurs données. Les organisations disposent donc d’une grande latitude quant aux technologies qu’elles peuvent employer pour protéger leurs données.
De nombreux clients de F5, notamment ceux qui utilisent à la fois des centres de données sur site et hors site, s’appuient sur les points d’accès au cloud (Cloud Access Points, CAP) et les piles de sécurité pour centres de données virtuels (Virtual Data Center Security Stacks, VDSS). Ces technologies sont homologuées par la Defense Information Systems Agency (DISA), qui en a fait des composants essentiels de son architecture de cloud computing sécurisé (Secure Cloud Computing Architecture, SCCA). Ensemble, elles garantissent que les applications hébergées dans un centre de données cloud bénéficient du même niveau de protection que celles conservées sur site.
Les CAP connectent les centres de données sur site aux environnements cloud hébergés, créant ainsi un canal sécurisé entre les deux. Les utilisateurs bénéficient d’une connexion dédiée aux applications, quel que soit l’endroit où elles sont hébergées.
Un VDSS est une zone sécurisée dans laquelle les clients hébergent l’ensemble de leur infrastructure de sécurité. Il se compose généralement de pare-feu d’applications web (WAF) et de pare-feu de nouvelle génération destinés à protéger les applications et les données hébergées hors site. Le trafic web transite par cette zone sécurisée avant d’accéder à l’application elle-même. Cette zone protège l’application contre le trafic malveillant et les menaces potentielles.
Des solutions intelligentes pour les initiatives Cloud Smart
Les organisations ont besoin de différentes solutions pour assurer la sécurité au sein des CAP et des VDSS. Elles ont besoin d’ensembles de solutions capables de fournir des WAF bidirectionnels qui utilisent l’analyse comportementale, la protection contre les bots et le chiffrement des données afin de protéger les applications hébergées comme celles déployées sur site. Ces solutions sont idéales pour sécuriser et gérer le trafic à destination et en provenance des applications hébergées dans des centres de données de colocation.
En bref, les organisations ont besoin de solutions qui renforcent leur posture de sécurité et les aident à respecter l’exigence de Cloud Smart visant à garantir « la confidentialité, l’intégrité et la disponibilité des informations fédérales lorsqu’elles transitent sur les réseaux et sont stockées dans les systèmes, que ces environnements soient gérés localement, hors site, par une entité gouvernementale ou par un prestataire ». Cliquez ici pour en savoir plus sur la manière dont F5 aide ses clients à sécuriser leurs applications, leurs données et leurs sites.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.