L’adoption progressive du cloud computing par les entreprises a entraîné dans son sillage un véritable déluge de nouvelles applications et logiciels basés dans le cloud. Pour s’adapter à ce phénomène, les entreprises mettent en œuvre des solutions de cybersécurité livrées via le cloud plutôt que sur site.
Héberger le contrôle d’accès dans le cloud apporte des avantages tangibles en termes de souplesse et de convivialité. Cependant, pour certaines entreprises, les contrôles sur site apparaissent toujours comme la meilleure solution.
Contrôle d’accès hébergé dans le cloud
L’adoption du cloud s’accélère à mesure que les entreprises peaufinent leur transformation numérique. Les environnements multi-cloud et hybrides sont désormais monnaie courante, ce qui favorise la multiplication du nombre d’appareils et d’identités numériques. Pour garantir la sécurité et maintenir la conformité de l’ensemble du système d’information de l’entreprise, les contrôles d’autorisation et d’authentification doivent être appliqués de manière cohérente dans toute l’infrastructure, dans le cloud et sur site.
Dans de nombreux cas, l’architecture existante peut continuer à être exploitée et les contrôles d’accès en place peuvent être étendus au cloud.
Par exemple, de nombreux fournisseurs de services proposent une assistance et une intégration avec un annuaire LDAP sur site. Cependant, comme d’autres contrôles sur site, LDAP ne prend pas en charge nativement les applications et services basés sur le web ou dans le cloud. Cela ne fait qu’ajouter de la complexité au déploiement et à l’intégration, certains fournisseurs de services commençant même à déconseiller la prise en charge des contrôles déjà en place.
Le contrôle d’accès dans le cloud est généralement fourni en mode SaaS, le fournisseur de service hébergeant alors les contrôles dans le cloud. Cette approche évite non seulement de déployer et de maintenir du matériel et des logiciels sur site, mais également de former du personnel pour effectuer ces tâches.
Gestion des identités basée dans le cloud
Que ce soit dans le cloud ou sur site, de nombreuses entreprises optent pour une solution de gestion des identités et des accès (IAM) pour rationaliser le contrôle des accès. Les solutions IAM fournissent un contrôle centralisé et uniformisé à l’échelle de l’entreprise, garantissant ainsi une mise en oeuvre cohérente des politiques dans tous les types d’environnements.
A mesure que leurs environnements évoluent, les entreprises adoptent une stratégie « cloud-first » pour permettre à leurs collaborateurs nomades d’accéder aux ressources depuis n’importe où. De ce fait, les solutions IAM basées sur le cloud apparaissent comme la meilleure alternative pour sécuriser ce type d’accès.
Le passage au modèle Zero Trust
Un autre facteur poussant les entreprises à déplacer le contrôle d’accès vers le cloud est l’engouement croissant pour le modèle de sécurité Zero Trust. L’approche traditionnelle du contrôle d’accès reposait sur l’idée fondamentale de restreindre l’accès aux ressources du réseau. À partir de là, des contrôles supplémentaires ont été mis en place pour couvrir les zones d’ombre.
L’adoption des applications cloud, l’avènement du télétravail et d’autres facteurs ont contribué à créer un environnement dynamique où la seule sécurisation du périmètre du réseau n’est plus adaptée. La confiance zéro entend relever ce défi en authentifiant et en autorisant de manière continue et dynamique chaque demande de connexion. En d’autres termes, aucun utilisateur, appareil ou connexion n’est à priori fiable, que ce soit sur site ou hors site.
Une solution de sécurité centrée sur les identités numériques fait partie intégrante du modèle Zero Trust car elle fournit le contexte qui ne peut être obtenu à partir du seul trafic réseau. Les principes du Zero Trust peuvent être obtenus avec des contrôles sur site. Cependant, lorsqu’il s’agit de mettre en oeuvre une stratégie moderne de contrôle d’accès, une solution de sécurité des identités basée dans le cloud permet d’assurer un contrôle cohérent sur l’ensemble de l’écosystème informatique de l’entreprise.
Évaluation du contrôle d’accès basé dans le cloud ou sur site
Lors de l’évaluation des options de contrôle d’accès, il convient de prendre en compte les avantages et les inconvénients du cloud par rapport à une solution sur site. Voici les avantages et les inconvénients notables de chacune de ces deux approches.
Avantages et inconvénients du contrôle d’accès basé dans le cloud
L’adoption rapide et généralisée des systèmes de contrôle d’accès basés dans le cloud est surtout due aux nombreux avantages que ce modèle peut offrir. Parmi les nombreux avantages des systèmes de contrôle d’accès basés dans le cloud, on citera notamment :
- Le renforcement de la sécurité
- Des économies d’échelle sur la maintenance, les achats d’équipement et les licences logicielles
- Une configuration et un déploiement intuitifs
- Une grande souplesse d’évolution avec un minimum d’effort
- Une maintenance et une assistance assurées directement par le prestataire de services, y compris toutes les mises à niveau et les correctifs de sécurité.
- Des mises à niveau logicielles gérées par le service cloud plutôt que par l’entreprise.
- Des intégrations optimisées grâce à une API ouverte facilitant les connexions avec un large éventail de matériels, de logiciels, de plateforme et d’applications tierces
Bien que les systèmes de contrôle d’accès basés dans le cloud présentent de nombreux avantages, ils ont également quelques inconvénients, parmi lesquels on citera notamment :
- Des restrictions de conformité par rapport à des réglementations plus strictes propres à certain secteurs de marché plus exigeants.
- Une personnalisation limitée
- Des frais d’abonnement récurrents, annuels ou mensuels
- La nécessité d’une connexion Internet
Avantages et inconvénients des contrôles d’accès sur site
Bien que de nombreuses entreprises aient adopté le contrôle d’accès basé dans le cloud, les systèmes de contrôle d’accès sur site présentent encore des avantages certains, notamment :
- Un contrôle direct sur le stockage et l’utilisation des données
- La possibilité de déconnexion totale d’Internet
- L’amortissement des coûts avec le temps
- La possibilité de fonctionner sans connexion Internet
- Un contrôle total sur la sécurité pour répondre aux contrainte internes et aux exigences de conformité
En dépit des avantages des systèmes de contrôle d’accès sur site, cette approche présente certains inconvénients :
- Un investissement initial plus élevées
- Des vulnérabilités connues due au fait que de nombreux systèmes de contrôle d’accès sur site sont plus anciens et plus vulnérables aux cyber attaques
- Une certaine difficulté de gestion à distance, notamment concernant l’émission ou la révocation des identifiants d’accès, la définition des autorisations et les mises à jour automatiques
- Des intégrations limitées
- La maintenance et le support, entièrement à la charge des enterprises
- Une évolutivité somme toute limitée
- La non prise en charge de certains types d’identifiants
Cas d’usages du contrôle d’accès basé dans le cloud
Voici plusieurs exemples concrets d’utilisation du contrôle d’accès basé dans le cloud. Ces scénarios illustrent pourquoi des entreprises adoptent un modèle de contrôle d’accès basé dans le cloud.
Outils d’entreprise
Les applications cloud, telles que la gestion de la relation client (CRM), la planification des ressources de l’entreprise (ERP), la gestion du capital humain (HCM), la collaboration et les outils de productivité, permettent aux utilisateurs d’accéder aux données et de les partager depuis n’importe quel appareil. Les autres outils d’entreprise qui utilisent des contrôles d’accès basés dans le cloud sont les machines et serveurs virtuels, les solutions de stockage et les plateformes de développement. Bien qu’avantageuse en termes de convivialité et de productivité, cette architecture présente l’inconvénient d’exposer davantage les données sensibles au risque cyber.
Les entreprises utilisent des systèmes d’identité cloud centralisés avec un accès basé sur les rôles pour protéger les informations et les ressources sensibles. Les solutions de contrôle d’accès basées dans le cloud intègrent l’authentification unique (SSO) et l’authentification multifactorielle (MFA) pour simplifier les connexions sécurisées et faciliter l’adoption par les utilisateurs.
Accès aux installations
Les entreprises utilisent également le contrôle d’accès basé dans le cloud pour gérer l’accès à une installation particulière, comme des bâtiments (par exemple, des bureaux et des centres de données) et des zones spécifiques d’un bâtiment (par exemple, des zones où des informations ou des systèmes sensibles sont stockés). Ces outils permettent aux administrateurs, au personnel et à d’autres personnes autorisées d’utiliser une application pour gérer le contrôle d’accès.
Ces systèmes d’accès aux installations basés dans le cloud sont largement utilisés pour contrôler les accès physiques aux bureaux, aux entrepôts, aux établissements de santé et aux établissements d’enseignement. Etant basés dans le cloud, les administrateurs peuvent facilement accorder ou révoquer les accès à distance. En outre, les systèmes de contrôle d’accès basés dans le cloud permettent de surveiller en temps réel les registres des entrées et de réagir rapidement en cas d’incident de sécurité, le tout dans le respect de la la conformité
Sécurité et conformité du cloud
Les contrôles d’accès basés dans le cloud sont également largement utilisés pour protéger les informations sensibles contre les accès non autorisés et les fuites de données. Par exemple, les courtiers de sécurité d’accès au cloud (CASBS) peuvent numériser automatiquement certains fichiers à la recherche de malwares, mettre en quarantaine les fichiers malveillants et bloquer le téléchargement de malwares connus.
De tels contrôles d’accès aident les entreprises à se conformer aux exigences de sécurité et de confidentialité énoncées dans des cadres réglementaires tels que le Règlement général sur la protection des données (RGPD), la loi américaine sur la portabilité et la responsabilité en matière d’assurance maladie (HIPAA) et la loi californienne sur la protection de la vie privée des consommateurs (CCPA). Parmi les principales fonctionnalités favorisant la mise en conformité, notons la protection des données et les registres d’accès.
Flux de travail automatisés
En plus de contrôler les accès, les contrôles d’accès basés dans le cloud sont utilisés pour automatiser certains flux de travail et certains processus. Il s’agit par exemple d’accorder un accès temporaire, de révoquer automatiquement l’accès au terme du contrat d’un collaborateur et de définir des autorisations d’accès en fonction d’un calendrier donné.
Les flux de travail d’accès basés dans le cloud sont souvent intégrés aux systèmes de gestion des RH et des visiteurs, pour uniformiser les opérations. L’utilisation de contrôles d’accès basés dans le cloud pour automatiser les flux de travail soulage les équipes informatiques et améliore la posture de sécurité de l’entreprise en limitant l’accès aux utilisateurs légitimes, uniquement pendant le temps nécessaire.
Points clés à prendre en compte pour comparer les modes de contrôles d’accès sur site et dans le cloud
Pour réussir dans le contexte numérique actuel en constante évolution, les entreprises doivent tirer pleinement profit du cloud computing. Comprendre les risques associés à ce nouvel environnement permet de s’assurer que tous les contrôles de sécurité évoluent en conséquence.
Les systèmes de contrôle d’accès basés dans le cloud et sur site présentent tous deux des avantages et des inconvénients, en fonction des besoins et des préférences de l’entreprise. Voici quelques éléments à prendre en compte pour trancher en faveur de l’une ou l’autre des deux options :
- Les coûts Évaluez au préalable le budget disponible et actualisez-le au fil du temps.
- La souplesse d’intégration Evaluez avec précision la compatibilité entre les solutions de contrôle d’accès et les systèmes et dispositifs qu’elles doivent prendre en charge.
- La sécurité Déterminez l’importance d’exercer un contrôle total sur les données et les logiciels de l’entreprise et assurez-vous que les solutions cloud envisagées sont conformes aux exigences de sécurité de l’entreprise.
- Le support Évaluez avec précision les besoins en matière de support, les ressources internes disponibles, leurs capacités, leur efficacité et leur performance.
- Les mises à jour Tenez compte du nombre de mises à jour nécessaires et vérifiez si l’entreprise dispose des ressources nécessaires pour les implémenter en temps voulu, à la fois pour des raisons de sécurité et pour se conformer aux évolutions de la réglementation.
À mesure que davantage d’actifs, d’applications et de données migrent vers le cloud, il est impératif de sortir du cadre de l’infrastructure informatique traditionnelle. La gestion et la gouvernance des identités basées dans le cloud facilitent la transformation numérique, assure la sécurité et la conformité, tout en suivant la croissance de l’entreprise.
