Une nouvelle étude de Proofpoint menée en collaboration avec The Cloud Security Alliance -CSA-, démontre que 58 % des organisations interrogées ont déclaré que leurs fournisseurs ont été victimes d'une faille de sécurité dans le cloud l’an dernier.
Cette étude baptisée « Cloud and Web Security Challenges 2022 », recense le témoignage de plus de 950 professionnels des technologies de l'information et de la sécurité issus d'organisations de tailles et de localisations diverses. L’objectif est d’évaluer les connaissances et les pratiques concernant les cyber menaces dans le cloud.
On apprend ainsi que les organisations peinent à sécuriser les environnements cloud mis en place pendant la pandémie du COVID-19, tout en essayant de maintenir les équipements existants et d'adapter leur stratégie de sécurité globale aux évolutions de la menace.
Dans le contexte du COVID-19, les organisations ont considérablement accéléré leurs initiatives de transformation numérique pour s'adapter à une main-d'œuvre à distance. Bien que ces initiatives visent à améliorer la productivité des employés et la qualité des services, les changements structurels requis entraînent des conséquences imprévues et des défis. L'un de ces défis étant de développer une approche cohérente pour gérer les cybermenaces, tout en gérant les infrastructures de sécurité existantes et sur site. Hillary Baron, auteure principale et analyste de recherche chez CSA.
La crainte de perte des données sensibles.
• 47 % des organisations interrogées ont indiqué que la perte de données sensibles (données clients, données d'authentifications, PI) était le résultat le plus préoccupant des attaques sur le cloud et le web, à cause des implications en terme de réputation, juridique (RGPD) et financières. Tandis que pour 10% des personnes interrogées, le " paiement d'une rançon " est moins préoccupant que la perte des données et que la perte d'accès aux systèmes.
Tiers, partenaires et fournisseurs de plus en plus ciblés
• 58 % des personnes interrogées ont vu un tiers et/ou un partenaire pris pour cible dans une violation du cloud. Les organisations sont préoccupées par le fait que les applications cloud ciblées contiennent ou donnent accès à des données telles que la messagerie électronique (36 %), l'authentification (37 %), le stockage/le partage de fichiers (35 %), la gestion de la relation client (33 %) et la veille économique (30 %).
Seules 7% des organisations indiquent de pas avoir de problèmes de sécurité avec leurs partenaires et fournisseurs.
Ce chiffre est conforté par une autre étude de l'Université d'état du Colorado indiquant que 66% des brèches de sécurité proviennent des fournisseurs et des tiers.
En effet, avec l'adoption croissante du Cloud computing, la dépendance à l'écart des tiers augmente en conséquence. Ce critère est par ailleurs analysé dans la matrice de confiance Cloud développé par B2CLOUD.
C'est pour cette raison que les organisations doivent tenir compte des tiers qui traitent des données sensibles, y compris dans le choix de leurs fournisseurs cloud.
La transformation digitale a fragilisé les entreprises dans la gestion des menaces
En moyenne, les entreprises utilisent jusqu'à 4 services cloud différents, mais seules 16% ont recours à des solutions de préventions des attaques.
• Près de la moitié des personnes interrogées (47 %) considèrent que la gestion des systèmes existants et sur site est le principal problème lié à la sécurité, tandis que 37 % estiment qu'elles doivent encourager les employés à adopter un comportement plus sûr notamment en télétravail.
L'absence de stratégie de gouvernance cloud est l'une des raisons majeures à ces problèmes récurrents de gestion de la sécurité.
64% des organisations ont évalué la maturité de leur gouvernance cloud à 3 niveaux en dessous du modèle de maturité de sécurité cloud de l'IANS. La gouvernance cloud est également un critère clé de mesure évalué dans la matrice de confiance développée par B2Cloud
On apprend ainsi que 52% des équipes de sécurité dans les entreprises sont cross fonctionnelles et non dédiées à la sécurité cloud, exception faite pour les entreprises opérant dans le domaine IT et de la finance.
Seul un tiers (36 %) des entreprises interrogées ont mis en place une solution de prévention des pertes de données (DLP). Les autres solutions mises en œuvre comprennent la sécurité Endpoint (47 %), les solutions de gestion des identités (43 %) et la gestion des accès privilégiés (38 %), dans une approche de sécurité "Zero Trust".
Les brèches de sécurité par environnement
Sans surprise, ce sont les environnements IaaS (45%) et les application tierces (40%) qui sont le plus exposés au brèches de sécurité. Même si aujourd'hui elles ne sont impactées qu'à 32%, les applications web demeurent le vecteur d'attaque en plus forte croissante ces deux dernières années.
Alors que la gestion des infrastructures on premise est une des préoccupation majeures des organisations et qu'elles ont amorcé leurs virages vers le cloud, elles n'ont pas pu pour autant mettre en place une gouvernance cloud de sécurité à niveau (scripts encore exécutés manuellement pour 37%) et y dédier des équipes de sécurité.
Les principaux problèmes résultent encore d'erreurs de configurations en IaaS et PaaS et de la vulnérabilité liée aux applications tierces et O-Auth.