Politiques communes ou services natifs : relever les défis de sécurité multicloud

Politiques communes ou services natifs : relever les défis de sécurité multicloud

Les services de sécurité natifs du cloud réduisent l’efficacité opérationnelle dans les environnements multicloud.

La sécurité des applications intervient de plus en plus tôt dans le cycle de développement. Par conséquent, les équipes DevOps assument une responsabilité croissante en matière de sécurité. Si leur maîtrise des processus du cycle de développement leur permet d’intégrer efficacement les exigences de sécurité dès les premières étapes du cycle de vie des logiciels, ces équipes ne disposent pas toujours des ressources nécessaires pour anticiper les menaces, ni d’une expertise suffisamment étendue pour mettre en œuvre les différentes solutions et politiques de sécurité requises afin de protéger les applications modernes.

Les services de sécurité natifs du cloud offrent aux équipes DevOps et aux développeurs des unités opérationnelles des options propres à chaque plateforme, adaptées à de nombreux besoins applicatifs. Toutefois, à mesure que les entreprises adoptent des solutions multicloud, les coûts de ces services natifs finissent par l’emporter sur leurs avantages. Alors que quelques services de sécurité suffisaient sur une seule plateforme cloud, il en faut beaucoup plus pour assurer le même niveau de protection sur deux plateformes cloud ou davantage. Chaque plateforme possède ses propres exigences en matière de gestion des identités, politiques de sécurité, API et procédures de gestion, ce qui réduit l’efficacité globale. L’amélioration de l’efficacité opérationnelle et de la sécurité est une priorité absolue des initiatives de transformation numérique et des objectifs stratégiques de la direction des entreprises.

Baisse d’efficacité due à la surcharge de gestion

La complexité de la mise en œuvre et de la gestion des services de sécurité natifs constitue la première source majeure d’inefficacité opérationnelle. Les difficultés liées à la gestion de l’ensemble des composants de plusieurs services de sécurité natifs peuvent avoir de graves conséquences pour une entreprise. Les failles de sécurité dues à des erreurs de configuration ont été exploitées dans 66 % des attaques (soit parce que les attaquants ont exploité une faille du pare-feu d’application web pour accéder aux identifiants de comptes, soit parce qu’ils ont tiré parti d’une ressource mal configurée). Les ingénieurs DevOps ont pour mission de réduire au maximum le délai de mise sur le marché. En diminuant la charge liée à la maintenance et à la compréhension des politiques de sécurité chez plusieurs fournisseurs de services cloud, les équipes DevOps peuvent mieux concentrer leur attention et leurs ressources sur cet objectif.

Le recours à un prestataire tiers capable d’appliquer une politique de sécurité cohérente à l’ensemble des applications dans un environnement multicloud peut réduire considérablement la charge liée à la mise en œuvre de la sécurité qui incombe aux équipes DevOps. Ce type de service permet de réduire la fréquence à laquelle des erreurs de configuration de sécurité sont déployées dans les environnements de production. Il simplifie l’intégration des politiques et des configurations dans les pipelines CI/CD en fournissant aux équipes DevOps un ensemble d’outils d’automatisation pouvant être utilisés à des fins de standardisation, ce qui permet ensuite d’intégrer les services de sécurité aux chaînes d’outils d’automatisation existantes de l’entreprise.

Baisse d’efficacité due à une visibilité réduite sur la sécurité de l’infrastructure cloud

Le manque de visibilité sur la sécurité de l’infrastructure cloud constitue une autre source de baisse de l’efficacité opérationnelle liée à l’utilisation de services de sécurité natifs. Bien que les entreprises bénéficient d’un déploiement plus rapide lorsqu’elles utilisent des services natifs, 36 % des personnes interrogées reconnaissent que ces services natifs n’offrent pas une visibilité suffisante sur l’infrastructure de sécurité du cloud. Alors que les équipes DevOps prennent de plus en plus en charge le déploiement et la gestion de la sécurité des applications, la supervision de la sécurité de l’entreprise et la création de rapports relèvent toujours des équipes SecOps. Le recours à des services de sécurité cloud distribués et natifs implique que les rapports et les analyses de sécurité seront eux aussi, par défaut, distribués et propres à chaque cloud. Cette fragmentation des analyses masque la situation globale du système en matière de sécurité. Par conséquent, les équipes SecOps risquent de ne pouvoir formuler que des recommandations isolées et propres à chaque fournisseur. Le recours à des services de sécurité communs, mis en œuvre par l’intermédiaire d’un fournisseur de solutions de sécurité multicloud standardisées, garantit l’application des mêmes politiques de sécurité à toutes les applications. Les équipes SecOps peuvent ainsi formuler des recommandations fondées sur des analyses de sécurité partagées, au bénéfice de l’ensemble du système.

Baisse d’efficacité due à l’alourdissement des contraintes de conformité

La nécessité d’adopter une stratégie de sécurité multicloud garantissant la conformité entre les différents fournisseurs de services cloud constitue une autre source d’inefficacité opérationnelle liée aux services de sécurité natifs. Les équipes DevOps doivent respecter les exigences de sécurité internes et sectorielles. Traditionnellement, les équipes InfoSec centralisées contribuent à mettre en place et à auditer les contrôles de sécurité dans l’ensemble des applications, en particulier au sein d’organisations telles que les établissements de santé et les services financiers, qui traitent des informations personnelles sensibles ou protégées. Avec le déplacement vers l’amont de la sécurité des applications, les équipes DevOps sont désormais tout aussi responsables que les équipes SecOps du respect des exigences de sécurité de l’entreprise. Il est difficile de satisfaire à ces exigences lorsque les politiques de sécurité natives sont propres à un fournisseur de services cloud donné, qu’il s’agisse d’AWS, d’Azure ou de Google Cloud. Les audits perdent également en efficacité. Le déploiement de politiques de sécurité multicloud communes réduit le temps consacré à l’audit des configurations de sécurité. L’intégration de solutions de visibilité peut permettre à une organisation de créer un guichet unique qui simplifie les tests de conformité et améliore la collaboration entre les équipes.

L’adoption de politiques de sécurité communes améliore l’efficacité du DevSecOps

L’évolution des pratiques de développement d’applications a accru les responsabilités liées à la sécurité qui relèvent du périmètre DevOps. Il est donc plus juste de parler d’équipes DevSecOps et de considérer cette approche comme faisant partie du modèle opérationnel de sécurité SecOps. Le maintien de politiques de sécurité natives propres à chaque fournisseur entraîne une importante surcharge de gestion, annulant une grande partie des avantages du modèle DevOps. La standardisation autour d’une solution de sécurité d’entreprise multicloud améliore l’efficacité opérationnelle et permet de nouer des relations avec de nouveaux partenaires stratégiques en matière de sécurité, réduisant ainsi le risque de perte d’efficacité opérationnelle lors du passage à un environnement multicloud.

Contenu associé

Le laboratoire F5 Cloud Services est désormais sur GitHub

Découvrez comment les professionnels du DevOps s’adaptent à un monde centré sur les applications.