Cloud Act & Patriot Act : comment les CASB peuvent aider

Au-delà de la découverte du Shadow IT

Certains l’ont compris tôt, comme Axa IM. A l’automne 2016, son RSSI témoignait ainsi, lors des Assises de la Sécurité, du déploiement de la passerelle de CipherCloud, afin de garantir au régulateur la sécurité et la confidentialité de ses données.

Pour mémoire, CipherCloud a démarré ses activités publiques en 2011 en proposant, initialement, une passerelle physique, embarquant un reverse proxy chargé d’assurer tokenisation et chiffrement AES-256, notamment. Le but était simple : protéger pleinement les données, en transit comme au repos.

Un Salesforce.com, par exemple, ne stockera ainsi, dans ses centres de calcul, aucune donnée en clair : tout ce qu’il verra passer sera des données chiffrées. Pour le permettre, et ne pas perdre en fonctionnalités, CipherCloud indiquait travailler étroitement avec des partenaires tels que Salesforce.com, Box, Google, Microsoft – pour Office 365 –, et Amazon – pour AWS – afin de s’assurer que toutes les fonctionnalités sont préservées.

Mais pour cela, la passerelle peut être amenée à récupérer les données chiffrées dans l’application cloud, exécuter le traitement en local, puis transmettre les résultats à l’utilisateur. L’appliance prend donc à sa charge certains traitements censés avoir lieu dans l’infrastructure du fournisseur de service. Cela vaut aussi pour les recherches, avec l’indexation en local des données.

API ou reverse-proxy

Cette approche permet à un CASB de fonctionner avec un large éventail de services cloud, pour peu qu’ils soient connus du développeur de la passerelle, et supportés. Mais ce n’est pas la seule. Au fil des années, les éditeurs d’applications SaaS et les fournisseurs de services d’IaaS ont également commencé à proposer des API pour faciliter l’intégration avec les CASB. Mais en la matière, tous les CASB ne se valent pas.

Celui de Cisco, obtenu avec le rachat de CloudLock, ne supporte ainsi que l’intégration par API, à l’instar d’Aperture de Palo Alto Networks, ou encore de la passerelle de Saviynt, tandis que celle de CensorNet ne fonctionne qu’en reverse-proxy. Une approche que l’on retrouve chez Centraya et Eperi, deux acteurs européens moins connus.

Comme CipherCloud, Netskope supporte les deux modes de fonctionnement. Cela vaut également pour le CASB d’Oracle, issu du rachat de Palerra, ou encore pour celui de McAfee, issu de l’acquisition de Skyhigh Networks, ainsi que celui de Symantec. Ce dernier trouve son origine chez Perspecsys et Elastica, rachetés par Blue Coat avant que ce dernier ne tombe dans l’escarcelle de Symantec. Mais dans le domaine des CASB multimodes, il faut également compter avec ceux de Forcepoint – venu de Skyfence – et de Bitglass.

Des capacités de chiffrement inégales

Ce dernier propose des fonctions de chiffrement – sous la bannière Harbor – qui supportent la recherche et le tri. Un composant de navigateur permet supporter la protection temps réel des données là où il pourrait y avoir contournement du reverse-proxy. Les clés peuvent être gérées via le service ad hoc d’Amazon, ou une solution spécifique comme un serveur KMIP.

Ciphercloud propose des outils de gestion et de rotation des clés de chiffrement, mais il insiste : le client reste toujours maître de ces clés. Et l’on retrouve la même chose chez Netskope, McAfee, Symantec, Centraya ou encore Eperi. Mais les CASB de Forcepoint, de CensorNet, d’Oracle, de Saviynt et de Palo Alto n’offrent pas, à ce jour, de capacités de chiffrement des données stockées dans les applications SaaS.