Mauvaise configuration cloud : principaux risques et checklist

Définition

Une mauvaise configuration cloud désigne tout paramètre de vos comptes cloud qui expose des données ou des systèmes plus que prévu, ou qui vous empêche de détecter des problèmes et de vous en remettre. Elle tend à s'accumuler à mesure que les équipes grandissent, que les projets sont créés rapidement et que des changements temporaires deviennent permanents. Les principales catégories sont les mêmes sur AWS, Microsoft Azure et Google Cloud. Identités et accès : rôles trop larges, clés d'accès à longue durée de vie, comptes partagés et absence de MFA. Stockage : buckets, blobs ou snapshots lisibles par tous ou partagés trop largement. Réseau : groupes de sécurité ou règles de pare-feu ouverts à toutes les adresses, ports d'administration exposés et réseaux plats sans segmentation. Secrets : identifiants présents dans le code, les fichiers d'environnement ou les images de conteneurs. Journalisation : journaux d'audit désactivés, non conservés ou jamais examinés. Chiffrement : données sensibles stockées sans chiffrement ou avec des clés mal gérées. Résilience : sauvegardes absentes, non testées ou stockées dans le compte même qu'elles protègent. Gouvernance : comptes inconnus, ressources sans étiquettes et projets sans responsable.

Public concerné

Cette checklist est utile pour :

• Les startups et PME dont l'environnement cloud s'est développé rapidement sans conception formelle
• Les équipes qui se préparent à une revue de sécurité client ou à une due diligence
• Les organisations qui prévoient d'exécuter des charges de travail d'IA ou de données dans le cloud
• Les managers qui ont hérité de comptes cloud d'anciens collaborateurs ou fournisseurs

Ce qu'il aide à clarifier

Parcourir la checklist aide à clarifier :

• Qui dispose d'un accès administrateur, et si cet accès est protégé et toujours nécessaire
• Quelles données sont accessibles publiquement, intentionnellement ou non
• Si vous remarqueriez une activité suspecte et pourriez enquêter à son sujet
• Si vous pourriez restaurer les systèmes critiques en cas de compromission d'un compte

Ce qui est inclus

• Imposez la MFA à tous les utilisateurs humains, en particulier aux administrateurs et au compte root ou propriétaire
• Remplacez les clés d'accès à longue durée de vie par des rôles ou des identifiants de courte durée lorsque c'est possible
• Vérifiez que les rôles respectent le moindre privilège et supprimez les utilisateurs et autorisations inutilisés
• Bloquez par défaut l'accès public au stockage et examinez toute exception
• Restreignez les ports d'administration et les bases de données à des réseaux connus ou à un accès privé
• Transférez les secrets vers un service de gestion des secrets et analysez les dépôts pour détecter les clés divulguées
• Activez la journalisation d'audit dans chaque compte et chaque région utilisés, et conservez les journaux de manière sécurisée
• Configurez des alertes pour les événements à haut risque, comme l'ajout d'un administrateur, la désactivation de la journalisation ou un stockage rendu public
• Chiffrez les données sensibles au repos et contrôlez qui peut gérer les clés
• Sauvegardez les données critiques dans un compte ou un emplacement distinct et testez la restauration
• Tenez à jour un inventaire des comptes, des projets et des responsables de ressources
• Utilisez l'infrastructure as code et examinez les changements avant leur application

Ce qui n'est pas inclus

• L'affirmation qu'un environnement examiné ne peut pas être compromis
• Un audit cloud formel, une certification ou une approbation de conformité
• Des tests d'intrusion, sauf périmètre distinct
• Une surveillance continue ou une exploitation managée, sauf accord distinct

Quand le choisir

Utilisez cette checklist lorsque vous n'avez pas examiné vos comptes cloud depuis un certain temps, avant une revue de sécurité par un client ou un investisseur, après des changements de personnel ou de fournisseur, et avant d'introduire de l'IA ou d'importantes charges de travail de données. Si vous ne pouvez pas dire rapidement qui dispose d'un accès administrateur à chaque compte, commencez par là.

Notre approche

Donnez la priorité aux identités, car la plupart des autres contrôles en dépendent. Supprimez ensuite l'exposition publique, sécurisez les secrets et assurez-vous que la journalisation et les sauvegardes permettraient la détection et la reprise. Traitez les corrections comme un travail d'ingénierie, avec des responsables et une gestion des changements, et non comme un nettoyage ponctuel. Notre service Cloud Platform & Production Engineering couvre les décisions d'architecture, les pipelines de mise en production, l'observabilité, la sauvegarde et les runbooks de reprise pour les environnements convenus, les changements en production n'étant effectués que dans le cadre d'un plan approuvé et sur autorisation écrite explicite. Si vous avez d'abord besoin d'une vue documentée de la situation, une Security Baseline Review peut fournir des observations classées par gravité, et une revue AI & Cloud Readiness fournit un tableau d'évaluation de la préparation et un registre de décision axés sur les fondations nécessaires aux charges de travail d'IA. Les tests d'intrusion d'applications hébergées dans le cloud peuvent faire l'objet d'un périmètre distinct. Revenez régulièrement sur la checklist ; la configuration dérive à mesure que les équipes et les projets évoluent.

service Cloud Platform & Production Engineering

Foire aux questions

Articles connexes