Nous avons migré l'entreprise à 100 % sur le cloud, mais par quoi commencer l'évaluation de la sécurité cloud ?

Votre priorité immédiate, c'est de contrôler les permissions de vos stockages de fichiers. Chez la plupart des fournisseurs cloud, les buckets/dossiers sont fermés par défaut, mais les prestataires accordent parfois des accès publics en lecture pour aller plus vite pendant la migration. Vérifiez aussi si les ports d'administration des serveurs virtuels (notamment SSH ou RDP) sont ouverts aux quatre vents. Restreignez-les impérativement à l'IP fixe de votre bureau.

On a une structure de courtage financier d'une taille similaire. Quand on a reçu un questionnaire fournisseur du même genre l'an dernier, on a mandaté un consultant sécurité indépendant. Ils nous ont facturé 2.200 GBP pour 4 jours d'audit de configuration. Le rapport a mis en évidence huit failles critiques, dont six étaient simplement de mauvaises attributions de droits utilisateurs. Si vous faites vous-mêmes ce ménage de base avant l'audit externe, ça fait chuter la facture de façon spectaculaire.

dites tout de suite a votre tech d'imposer une cle u2f ou une appli authenticator sur tous les comptes admin. le sms c'est plus du tout considere comme securise. en plus dans les questionnaires de secu des clients, la politique mfa c'est le premier truc qu'ils epluchent.

Les rapports internes rédigés avec des checklists toutes faites téléchargées sur le net ne suffisent généralement pas aux grands comptes. Beaucoup de ces listes se contentent de vérifier les politiques existant sur le papier sans jamais révéler les vraies failles du système. Si votre client doit faire valider le formulaire d'audit par son pôle gestion des risques signer ce contrat sans un rapport d'évaluation externe certifié risque d'être très compliqué.

Voici ce que vous devez impérativement boucler dès le premier jour de l'audit interne : 1) Rendre la double authentification obligatoire pour les sessions de tous les collaborateurs. 2) Révoquer les anciennes clés API inutilisées et les comptes de service créés pendant la migration. 3) Ouvrir le tableau de bord des alertes de sécurité intégré à votre fournisseur cloud et traiter les risques prioritaires un par un. 4) Vérifier que les sauvegardes de données sont bien isolées dans une autre région.

Le prestataire qui a géré la migration ne vous a pas laissé de dossier de transfert ? La liste des ressources virtuelles déployées, l'emplacement des clés de chiffrement et le mode de protection de la base de données auraient dû figurer dans ce document. S'il n'existe rien de tel, ne faudrait-il pas d'abord vous tourner vers le prestataire pour lui réclamer l'inventaire du système ?

Les questionnaires de sécurité envoyés par les grands comptes s'appuient généralement sur les normes internationales de sécurité de l'information. On y vérifiera notamment si votre système a subi des tests d'intrusion et si vous disposez d'un plan de réponse aux incidents. Votre technicien en interne peut corriger les failles de configuration de base, mais obtenir un rapport indépendant pour vos engagements contractuels vous protégera de futures responsabilités.

Le truc le plus rapide à faire dès demain matin, c'est d'ouvrir le centre de sécurité et de conformité intégré dans votre console cloud. Les fournisseurs proposent en général un score de sécurité gratuit accompagné de la liste des vulnérabilités. Traiter les alertes rouges et faire une capture d'écran constitue déjà un excellent premier pas pour montrer au client que la démarche est en cours.

Merci de partager le résultat. Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur.

Voilà, désolé si je me suis étendu.

Je vais résumer ce qui a été dit jusqu'ici. Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.

Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production. Si vous avez des questions, écrivez-moi, je répondrai au mieux.

On en parle beaucoup, mais chez nous cela ne s'est jamais passé ainsi. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard. bref bien sûr, cela change si votre situation est différente.

J'ai été soulagé en lisant cette réponse, donc ce n'est pas seulement mon cas. Avant de décider, regardez quelles données vous avez en main.

Je me pose aussi la question. Tout va bien les trois premiers mois, les problèmes arrivent au quatrième.

C'est mon avis je ne l'écris pas comme une vérité absolue.

J'aurais une question, sans vouloir m'éloigner du sujet. La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.

C'est confirmé par l'expérience.

Il y a un point auquel il faut faire attention. Si c'est une première, commencez petit, l'échelle viendra plus tard.

Si vous avez des questions, écrivez-moi, je répondrai au mieux.

Il y a un piège ici, je ne pouvais pas ne pas le mentionner. Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Bon courage.

Pour entrer dans le détail : Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

Comment avez-vous résolu ce point ? bref avant de décider, regardez quelles données vous avez en main.

À votre place j'irais par cette voie.