Sécurité des données dans le cloud : risques, bonnes pratiques et comment protéger les données dans le cloud

La sécurité des données dans le cloud a changé.

Les données sensibles ne résident plus dans une poignée de bases de données ou d'espaces de stockage cloud. Elles sont présentes dans les applications SaaS, les entrepôts de données, les lacs de données, les systèmes de stockage d'objets, les plateformes de collaboration, les environnements de développement, les services natifs du cloud, les API, les applications d'IA, les systèmes de stockage vectoriel, les modèles, les agents et les infrastructures hybrides.

Le identités L'accès à ces données a également évolué. Les employés partagent désormais cet accès avec des applications, des comptes de service, des identités machine, des API, des copilotes et des agents d'IA autonomes.

Cela soulève une question de sécurité plus complexe que de simplement se demander si l'infrastructure cloud est sécurisée :

Quelles sont les données sensibles présentes dans votre environnement cloud, qui et quoi peut y accéder, comment sont-elles exposées ou déplacées, et quels risques nécessitent une action prioritaire ?

Moderne sécurité des données dans le cloud Elle répond à ces questions en reliant la découverte et la classification des données à la posture, l'identité, l'accès, l'activité, la politique, l'IA, la détection et la correction.

Qu’est-ce que la sécurité des données dans le cloud ?

La sécurité des données dans le cloud consiste à découvrir, classer, surveiller, gouverner et protéger les données sensibles sur l'ensemble de l'infrastructure cloud, des applications SaaS, des plateformes de données, des environnements hybrides et des systèmes d'IA.

Son objectif est de protéger la confidentialité, l'intégrité et l'utilisation appropriée des données tout au long de leur cycle de vie, tout en réduisant les risques tels que l'accès non autorisé, les autorisations excessives, les erreurs de configuration, le partage inapproprié, la perte de données, les activités malveillantes et les violations de conformité.

Une sécurité efficace des données dans le cloud peut inclure :

• Découverte et classification des données
• Gestion de la sécurité des données (DSPM)
• Gouvernance des identités et des accès
• moindre privilège
• Surveillance de l'activité des données
• Prévention des pertes de données dans le cloud (DLP)
• Chiffrement et gestion des clés
• Configuration du cloud et contrôles de posture
• Minimisation des données
• gouvernance de la sécurité et de l'accès à l'IA
• Détection et réponse
• Application et correction des politiques

Aucun mécanisme de contrôle ne garantit à lui seul la sécurité des données dans le cloud. Les organisations ont besoin de plusieurs niveaux de protection qui relient l'infrastructure cloud à la sensibilité, la propriété, l'accès, l'utilisation et la valeur commerciale des données qu'elle contient.

Sécurité des données dans le cloud vs. Sécurité du cloud

La sécurité des données dans le cloud et la sécurité du cloud se recoupent, mais elles répondent à des questions différentes.

Les organisations ont besoin des deux. La sécurité de l'infrastructure permet d'identifier une configuration cloud à risque, tandis que la sécurité des données cloud apporte le contexte nécessaire pour comprendre si cette configuration expose des données clients, des identifiants, de la propriété intellectuelle, des informations financières, du code source ou d'autres données sensibles.

Pourquoi la sécurité des données dans le cloud est-elle devenue plus complexe ?

L'adoption du cloud a changé bien plus que le simple lieu d'hébergement des infrastructures des entreprises. Elle a transformé la vitesse à laquelle les données peuvent être créées, copiées, partagées, analysées, intégrées et consultées.

Un seul ensemble de données peut circuler entre une base de données cloud, une plateforme d'analyse, une application SaaS, un environnement de développement, un outil de collaboration, un pipeline d'IA et un service tiers.

Parallèlement, les environnements cloud évoluent sans cesse. Les équipes créent de nouveaux espaces de stockage, comptes, applications, intégrations, autorisations, API, comptes de service et flux de travail d'IA plus rapidement que les audits de sécurité manuels ne peuvent les recenser.

Il en résulte une surface d'attaque de données dynamique qui s'étend à travers les fournisseurs, les applications, les identités et les systèmes d'IA.

Comment le modèle de responsabilité partagée s'applique-t-il aux données du cloud ?

Les fournisseurs de services cloud et leurs clients partagent la responsabilité de la sécurité, mais la répartition exacte dépend du service et du modèle de déploiement.

Un fournisseur de services cloud peut sécuriser l'infrastructure sous-jacente, les installations physiques et certains éléments de la pile technologique. Le client conserve néanmoins d'importantes responsabilités quant à la configuration des services, la gestion des identités et des autorisations, la protection des identifiants, la gouvernance des applications et l'utilisation de ses données.

En matière de sécurité des données, les organisations doivent encore comprendre :

• Quelles informations sensibles stockent-ils ou traitent-ils ?
• Où se trouvent ces informations
• Qui et quoi peut y accéder
• Si les autorisations sont appropriées
• Comment les données sont partagées et déplacées
• Quelles politiques et réglementations s'appliquent
• La question de savoir si les données devraient encore exister
• Quels systèmes d'IA peuvent le récupérer ou agir en conséquence ?

Le fournisseur de services cloud ne peut pas prendre ces décisions commerciales et de gouvernance des données à la place du client.

Principaux risques liés à la sécurité des données dans le cloud

1. Données inconnues et fantômes

Les organisations ne peuvent pas protéger les données qu'elles ne trouvent pas.

Les services cloud facilitent la création de copies, d'instantanés, de jeux de données de test, d'exportations, de fichiers temporaires, de référentiels non gérés et de nouveaux espaces de stockage de données. Avec le temps, les équipes de sécurité peuvent perdre la visibilité sur l'emplacement des informations sensibles.

Découverte et classification continues des données aider à établir un inventaire précis dans les environnements structurés, non structurés, cloud, SaaS, hybrides et connectés à l'IA.

2. Mauvaises configurations du cloud

Le stockage public, le partage non sécurisé, l'authentification faible, les rôles trop étendus, les instantanés exposés et les configurations de service inappropriées peuvent rendre des données sensibles accessibles au-delà de leur portée prévue.

La gravité d'un problème de configuration dépend en partie des données qu'il expose. Associer les résultats de l'analyse de configuration à la sensibilité des données permet aux équipes de se concentrer sur les problèmes ayant le plus fort impact potentiel.

3. Accès excessif

Les autorisations cloud peuvent s'accumuler via les rôles, les groupes, les applications, les comptes de service, les droits hérités, les API et les intégrations.

Une identité ayant accès à des informations à faible risque ne crée pas la même exposition qu'une identité ayant un large accès à des documents réglementés, des titres de compétences, des données financières, de la propriété intellectuelle ou des ensembles de données de production.

Identification des accès excessifs aide les organisations à identifier les autorisations inutiles liées à des informations sensibles et à renforcer le principe du moindre privilège.

4. Risque lié à l'identité de la machine et au compte de service

Les environnements cloud dépendent fortement de l'accès non humain.

Applications, automatisation, API, comptes de service, charges de travail et autres identités de machines Ces utilisateurs peuvent se voir attribuer des autorisations permanentes ou étendues. Les équipes de sécurité doivent déterminer les ressources auxquelles ces identités peuvent accéder et vérifier si leur accès demeure approprié.

5. Exposition des données publiques et externes

Les données sensibles du cloud peuvent être exposées via l'accès public, le partage externe, les paramètres de collaboration, les comptes invités, les liens, les intégrations et des politiques trop permissives.

Les organisations doivent établir un lien entre l'exposition aux données, leur sensibilité et leur propriété afin que les équipes puissent prioriser les mesures correctives.

6. Prolifération et sur-rétention des données

Chaque copie inutile d'informations sensibles constitue un actif supplémentaire à sécuriser.

Les données obsolètes, dupliquées, redondantes et inutiles peuvent accroître la surface d'attaque, les coûts de stockage, les contraintes de conformité et l'exposition à l'IA.

Minimisation des données aide les organisations à identifier les données inutiles et à prendre des mesures concrètes pour les réduire.

7. Transfert de données à risque

Les données sensibles circulent constamment entre les services cloud, les applications SaaS, les utilisateurs, les plateformes de collaboration, les terminaux, les API, les environnements analytiques et les flux de travail d'IA.

Les téléchargements, les exportations, les copies, les partages, les transferts et les utilisations inhabituelles peuvent engendrer un risque de perte de données même lorsque le service cloud sous-jacent reste correctement configuré.

8. Accès aux services tiers et aux solutions SaaS

Les fournisseurs, les sous-traitants, les applications SaaS, les intégrations et les services externes peuvent bénéficier d'un accès légitime aux données du cloud.

Les équipes de sécurité ont besoin de visibilité sur les tiers qui peuvent accéder aux informations sensibles, sur les raisons de cet accès et sur sa pertinence pour l'entreprise.

9. Accès de l'IA aux données du cloud

Les copilotes, les assistants IA, les applications RAG, les agents autonomes, les API et les fonctionnalités d'IA embarquées permettent de plus en plus de récupérer et de traiter les données d'entreprise.

Ces systèmes peuvent hériter des accès via des applications, des API, des comptes de service, des identités machine, des connecteurs et des autorisations existantes.

La question de sécurité pertinente n'est plus simplement de savoir si une application d'IA existe. C'est Quelles données sensibles du cloud l'IA peut-elle atteindre et que peut-elle faire avec cet accès ?.

Comment l'IA transforme la sécurité des données dans le cloud

L'IA élargit la capacité des systèmes d'entreprise à récupérer, synthétiser, combiner, déplacer et exploiter les données du cloud de manière autonome.

Cela soulève plusieurs nouvelles considérations en matière de sécurité :

• Les systèmes d'IA peuvent hériter des autorisations des applications et des utilisateurs connectés.
• Les systèmes RAG peuvent récupérer des informations sensibles à partir de référentiels cloud.
• Les agents d'IA peuvent interagir avec les applications, les API, les bases de données et les flux de travail.
• Les messages et les résultats peuvent contenir des informations sensibles ou réglementées.
• Les artefacts de stockage et de récupération vectoriels peuvent contenir des informations sensibles relatives au contexte de l'entreprise.
• Les outils d'IA non approuvés peuvent recevoir des données d'entreprise en dehors des contrôles établis.

Gouvernance de l'accès à l'IA connecte les agents d'IA, les copilotes, les applications et les systèmes autonomes aux données sensibles, aux autorisations, aux activités et aux risques afin que les équipes puissent identifier les accès excessifs et renforcer le principe du moindre privilège.

Qu’est-ce que le DSPM dans la sécurité des données cloud ?

Gestion de la sécurité des données (DSPM) aide les organisations à découvrir en permanence les données sensibles, à comprendre l'exposition, à prioriser les risques liés aux données et à piloter les mesures correctives dans les environnements de données modernes.

DSPM ajoute une couche de contexte essentielle à la sécurité du cloud, car toutes les failles de sécurité ne présentent pas le même niveau de risque.

Par exemple, deux environnements de stockage cloud peuvent présenter des problèmes de configuration similaires. Si l'un contient des ressources marketing publiques et l'autre des données personnelles, des identifiants et des données financières de clients, les équipes de sécurité ne doivent pas les considérer comme présentant des risques équivalents.

DSPM facilite la connexion :

• Sensibilité des données
• Emplacement
• Exposition
• Identité et autorisations
• Possession
• Activité
• Contexte politique et réglementaire
• Impact sur l'entreprise

Ce contexte aide les équipes de sécurité à prioriser les risques liés aux données dans le cloud qui sont les plus importants.

DSPM vs. CSPM vs. DLP Cloud

DSPM, CSPM (Cloud Security Posture Management) et DLP (Cloud Data Loss Prevention) traitent différents aspects de la sécurité du cloud.

Ces approches peuvent se compléter. La CSPM peut identifier les problèmes d'infrastructure, la DSPM peut déterminer quelles données sensibles ces problèmes mettent en péril, et DLP en nuage peut aider à détecter et à réagir aux mouvements à risque ou à l'utilisation d'informations sensibles.

12 bonnes pratiques en matière de sécurité des données dans le cloud

1. Découvrir en continu les données du cloud

Tenir un inventaire des données réparties sur l'infrastructure cloud, les applications SaaS, les bases de données, les entrepôts de données, le stockage d'objets, les systèmes de fichiers, les plateformes de collaboration, les environnements de développement et les systèmes connectés à l'IA.

La phase de découverte doit prendre en compte les données structurées et non structurées, car les environnements évoluent.

2. Classer les données sensibles et critiques

Identifier les informations personnelles, réglementées, confidentielles, exclusives, d'accréditation, financières, de santé et autres informations de grande valeur.

La classification fournit le contexte nécessaire à l'application des contrôles appropriés en matière de sécurité, d'accès, de conservation et de politiques.

3. Identifier l'exposition des données dans le cloud

Trouver des informations sensibles ayant un accès public, externe, interne étendu, lié à des applications non essentielles ou automatisé.

Prioriser l'exposition en fonction de la sensibilité, de l'emplacement, de la propriété, des autorisations, de l'activité et de l'impact potentiel sur l'entreprise.

4. Appliquer le principe du moindre privilège

N’accordez aux utilisateurs, aux applications, aux comptes de service, aux identités des machines et aux systèmes d’IA que l’accès nécessaire à leur finalité.

Examinez les autorisations héritées, obsolètes, trop larges et inutiles à mesure que les environnements cloud évoluent.

5. Renforcer l'authentification et la sécurité des identifiants

Utilisez une authentification forte, une authentification multifactorielle, la gestion des secrets, des contrôles de session appropriés et la rotation des identifiants pour réduire les accès non autorisés au cloud.

6. Chiffrer les données sensibles

Utilisez un chiffrement approprié pour les données sensibles au repos et en transit, et maintenez des pratiques de gestion des clés sécurisées.

Le chiffrement doit compléter, et non remplacer, les contrôles d'accès, de posture, de surveillance et de gouvernance des données.

7. Surveiller l'activité relative aux données sensibles

Les autorisations indiquent ce que les identités peuvent faire. L'activité révèle ce qu'elles font réellement.

Surveillance de l'activité des données peut permettre de mieux comprendre comment les informations sensibles sont consultées, déplacées, partagées, téléchargées, modifiées ou supprimées.

8. Protéger les mouvements de données sensibles

Surveiller les téléchargements, les partages, les copies, les exportations, les transferts et autres mouvements impliquant des informations sensibles.

Utilisez le contexte des données pour améliorer les politiques de protection contre la perte de données (DLP) et hiérarchiser les événements en fonction de leur sensibilité, de l'accès, de la propriété, de l'activité et du risque.

9. Minimiser les données inutiles dans le cloud

Identifiez les informations obsolètes, dupliquées, redondantes, insignifiantes et inutiles qui augmentent la surface d'attaque et les contraintes de conformité.

Associez la minimisation à la conservation, la suppression, la propriété, les politiques et les flux de travail justifiables.

10. Gouverner l'accès de l'IA aux données du cloud

Identifier les agents d'IA, les copilotes, les applications, les assistants et les flux de travail pouvant accéder aux données du cloud.

Comprendre comment ces systèmes héritent des autorisations, quelles informations sensibles ils peuvent atteindre et où un accès excessif crée des risques.

11. Détecter les activités de données à risque

Surveillez toute activité pouvant indiquer une compromission d'identité, un risque interne, une exfiltration de données, un partage non autorisé, un ransomware ou d'autres menaces impliquant des informations sensibles.

Détection et réponse aux données relie les données sensibles au contexte d'identité, d'accès et d'activité pour aider à prioriser les menaces significatives.

12. Automatiser la remédiation

Identifier les risques liés aux données dans le cloud n'est utile que si les équipes peuvent les réduire.

Utilisez des flux de travail basés sur des politiques pour traiter les accès excessifs, les configurations risquées, les données exposées, les violations de politiques, les données inutiles et autres problèmes de sécurité.

Remédiation automatisée permet d'acheminer les résultats, d'attribuer les responsabilités, de faire appliquer les politiques et de coordonner les mesures correctives.

Comment prioriser les risques liés à la sécurité des données dans le cloud

Les environnements cloud peuvent générer des milliers de résultats. Traiter chaque problème comme étant également urgent crée du bruit et ralentit la résolution.

Le contexte des données aide les équipes à distinguer une faiblesse théorique du cloud d'un problème de sécurité impliquant des informations hautement sensibles ou critiques pour l'entreprise.

Prenez en compte des facteurs tels que :

• Sensibilité: Que contiennent les données ?
• Exposition: Est-ce un document public, externe, largement partagé ou inutilement accessible ?
• Identité: Quels utilisateurs, applications, comptes de service, machines et systèmes d'IA peuvent y accéder ?
• Autorisations : Quelles actions ces identités peuvent-elles effectuer ?
• Activité: Comment les données sont-elles concrètement consultées ou déplacées ?
• Emplacement: Où sont stockées les données, et la localisation a-t-elle une importance ?
• Possession: Qui est responsable des données ?
• Valeur commerciale : Quelle importance revêt cette information pour l'organisation ?
• Politique: Quelles sont les exigences applicables en matière de sécurité, de confidentialité, de conservation ou de réglementation ?

La découverte la plus importante en matière de sécurité du cloud n'est pas toujours celle qui présente la plus grande gravité au niveau de l'infrastructure. C'est celle qui expose significativement les données les plus sensibles.

Liste de contrôle de préparation à la sécurité des données dans le cloud

Comment BigID contribue à sécuriser les données dans le cloud

BigID aborde la sécurité des données dans le cloud en partant des données elles-mêmes.

BigID aide les équipes de sécurité à découvrir les données sensibles et à les relier au contexte nécessaire pour comprendre et réduire les risques, notamment identité, autorisations, exposition, localisation, propriété, activité, politique, accès à l'IA et contexte commercial.

BigID aide les organisations :

• Découvrir et classer les données du cloud : Trouvez des informations sensibles, réglementées, personnelles, confidentielles, exclusives et essentielles à l'activité de l'entreprise dans des environnements structurés, non structurés, cloud, SaaS, hybrides, sur site et connectés à l'IA.
• Prioriser les risques liés aux données dans le cloud : Associer la sensibilité à l'exposition, à l'accès, à l'identité, à la localisation, à la propriété, à l'activité et au contexte commercial afin d'identifier les risques qui requièrent une attention particulière.
• Accès au gouvernement : Comprendre qui et quoi peut accéder aux données sensibles et identifier les autorisations inutiles ou excessives pour les utilisateurs, les applications, les comptes de service, les identités de machines, les API et les systèmes d'IA.
• Surveiller l'activité des données sensibles : Comprendre comment les informations sensibles sont consultées, déplacées, partagées, téléchargées, modifiées ou supprimées.
• Renforcer la protection contre la perte de données dans le cloud : Connectez la découverte, la classification, l'accès, la propriété, l'activité et le contexte de risque des données sensibles aux flux de travail de déplacement des données et de DLP à travers le cloud, le SaaS et l'IA.
• Détecter les activités à risque et y réagir : Combinez les données sensibles, l'identité, l'accès et le contexte d'activité pour hiérarchiser les menaces et accélérer la réponse.
• Accès à l'IA de gouvernance : Identifier les agents d'IA, les copilotes, les applications et les systèmes autonomes pouvant accéder aux données sensibles de l'entreprise et repérer les situations où des autorisations excessives créent des risques.
• Réduisez au minimum les données inutiles : Identifiez les informations obsolètes, dupliquées, redondantes, insignifiantes et inutiles qui augmentent les risques liés au cloud et la surface d'attaque.
• Remise en état du lecteur : Réduire l'exposition, révoquer les accès excessifs, appliquer les politiques, attribuer la propriété et coordonner les actions correctives grâce à des flux de travail axés sur les politiques.

La sécurité des données dans le cloud ne doit pas se limiter à l'identification des risques. Elle doit fournir aux équipes de sécurité le contexte et les actions nécessaires pour réduire en permanence l'exposition aux risques à mesure que les environnements cloud et d'IA évoluent.

FAQ sur la sécurité des données dans le cloud

Qu’est-ce que la sécurité des données dans le cloud ?

La sécurité des données dans le cloud consiste à découvrir, classer, surveiller, gouverner et protéger les données sensibles sur l'ensemble de l'infrastructure cloud, des applications SaaS, des plateformes de données, des environnements hybrides et des systèmes d'IA.

Pourquoi la sécurité des données dans le cloud est-elle importante ?

La sécurité des données dans le cloud aide les organisations à protéger les informations sensibles dispersées entre l'infrastructure cloud, les applications SaaS, les plateformes de données, les outils de collaboration, les systèmes d'IA et les environnements hybrides. Elle permet aux équipes d'identifier les expositions, les accès excessifs, les activités à risque, les partages inappropriés, les erreurs de configuration et autres conditions susceptibles de mettre en péril les données critiques.

Quelle est la différence entre la sécurité du cloud et la sécurité des données dans le cloud ?

La sécurité du cloud protège globalement l'infrastructure, les réseaux, les charges de travail, les applications, les identités et les configurations cloud. La sécurité des données cloud se concentre spécifiquement sur les informations sensibles présentes dans ces environnements et entre eux, notamment leur emplacement, les personnes ou les systèmes qui y ont accès, leur utilisation et les situations où une exposition nécessite une intervention.

Quels sont les principaux risques liés à la sécurité des données dans le cloud ?

Les risques courants liés à la sécurité des données dans le cloud incluent les données sensibles inconnues, les données fantômes, les erreurs de configuration, les accès excessifs, l'exposition publique et externe, la surconservation, les déplacements de données risqués, l'accès par des tiers, les risques liés à l'identité des machines, la compromission des comptes cloud et l'accès inapproprié de l'IA aux informations sensibles.

Qu'est-ce que la DSPM ?

La gestion de la posture de sécurité des données aide les organisations à découvrir en permanence les données sensibles, à identifier les risques d'exposition et d'accès, à prioriser les résultats en fonction du contexte des données et à piloter la remédiation dans les environnements cloud, SaaS, hybrides, sur site et d'IA.

Quelle est la différence entre DSPM et CSPM ?

La gestion des données de sécurité (CSPM) se concentre principalement sur la configuration de l'infrastructure cloud et le niveau de sécurité. La gestion des données de sécurité (DSPM), quant à elle, s'intéresse aux données elles-mêmes en établissant un lien entre la sensibilité et l'exposition, l'accès, l'identité, la propriété, l'activité, la localisation et le contexte métier. Les organisations peuvent utiliser les deux approches conjointement.

Quelle est la différence entre DSPM et Cloud DLP ?

La gestion des données sensibles (DSPM) vise à identifier les données sensibles, à évaluer le niveau de sécurité et d'exposition, à hiérarchiser les risques et à mettre en œuvre des mesures correctives. La protection contre la perte de données dans le cloud (Cloud DLP) se concentre plus directement sur la protection des données sensibles lors de leur accès, partage, copie, téléchargement, exportation, transfert ou autre utilisation dans les environnements cloud, SaaS et d'IA.

Comment le principe du moindre privilège améliore-t-il la sécurité des données dans le cloud ?

Le principe du moindre privilège limite l'accès des utilisateurs, des applications, des comptes de service, des identités machine et des systèmes d'IA aux seules autorisations nécessaires à leur finalité. La réduction des autorisations inutiles permet de diminuer l'exposition des données sensibles et de limiter l'impact potentiel d'une identité compromise ou utilisée à mauvais escient.

Quel est l'impact de l'IA sur la sécurité des données dans le cloud ?

L'IA crée des voies d'accès supplémentaires aux données du cloud via des copilotes, des agents, des applications RAG, des API, des comptes de service, des identités machine, des bases de données vectorielles et des applications connectées. Les organisations doivent pouvoir identifier les systèmes d'IA autorisés à accéder aux données sensibles, connaître leurs modalités d'accès et vérifier la pertinence des autorisations accordées.

Comment les organisations peuvent-elles améliorer la sécurité de leurs données dans le cloud ?

Les organisations peuvent améliorer la sécurité des données dans le cloud en découvrant et en classant en permanence les informations sensibles, en identifiant les expositions, en réduisant les accès excessifs, en renforçant l'authentification, en chiffrant les données, en surveillant l'activité des données sensibles, en protégeant le déplacement des données, en minimisant les données inutiles, en contrôlant l'accès à l'IA, en détectant les comportements à risque et en automatisant la correction.

Comment BigID contribue-t-il à la sécurité des données dans le cloud ?

BigID aide les organisations à découvrir et à classer les données sensibles, à prioriser les risques liés aux données dans le cloud, à gouverner l'accès, à surveiller l'activité, à renforcer la protection contre la perte de données dans le cloud, à détecter les comportements à risque, à gouverner l'accès à l'IA, à minimiser les données inutiles et à automatiser la remédiation dans les environnements cloud, SaaS, hybrides, multicloud et d'IA.