Gestion de la posture de sécurité cloud (CSPM)
Outil qui lit en continu la configuration des comptes cloud d'une entreprise et signale les erreurs, comme un stockage ouvert au public ; le questionnaire cyber demande s'il existe et qui traite ses alertes.
La gestion de la posture de sécurité cloud (CSPM, cloud security posture management) est la catégorie d'outils qui lisent en continu la configuration des comptes cloud d'une entreprise, chez Amazon Web Services (AWS), Microsoft Azure ou Google Cloud, et signalent ce qui s'écarte d'une règle. Un compartiment de stockage lisible par tout internet, un port d'administration ouvert au monde, une clé d'accès jamais renouvelée, un journal d'audit coupé : voilà les cas d'école. L'outil passe par les interfaces de programmation (API) du fournisseur, sans agent sur les machines, et compare ce qu'il trouve à des référentiels comme les benchmarks du Center for Internet Security (CIS). Le cas que citent les souscripteurs est Capital One, révélé en juillet 2019 : un pare-feu applicatif mal configuré dans son environnement AWS a permis de lire les données de plus de cent millions de personnes. En 2020, l'Office of the Comptroller of the Currency (OCC) a infligé à la banque une amende de 80 millions de dollars, en lui reprochant notamment de ne pas avoir évalué les risques avant de migrer vers le cloud public. Le mécanisme est celui du modèle de responsabilité partagée : le fournisseur tient son infrastructure, le client répond de ce qu'il configure, et c'est cette moitié que le CSPM surveille. Les questionnaires cyber récents posent la question en deux temps. Un outil de ce type est-il en place ; les alertes critiques sont-elles traitées dans un délai écrit. Le second temps pèse plus que le premier, parce qu'un outil qui produit des milliers d'alertes que personne ne lit ne change rien à l'exposition. La réserve de praticien : le CSPM ne voit que les comptes qu'on lui a branchés. Un compte ouvert par une équipe de développement avec une carte bancaire, hors de l'organisation cloud de l'entreprise, lui échappe, et c'est souvent là que traîne le compartiment ouvert.
Cas d'école, chiffres inventés : une plateforme de commerce en ligne déclare un outil CSPM sur ses 14 comptes AWS. En entretien, le responsable de la sécurité des systèmes d'information (RSSI) indique 2 300 alertes ouvertes, dont 40 critiques, sans délai de traitement écrit. Le scan externe trouve un compartiment de stockage public qui contient des exports de commandes. Le souscripteur lit la réponse au questionnaire comme un « oui » de forme : l'outil existe, le contrôle ne tourne pas. Il le note dans sa cotation et pose la fermeture du compartiment en subjectivité.
CSPM, posture de sécurité cloud, contrôle des mauvaises configurations cloud, outil CSPM
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.