Prudemment, mais résolument, Nexity révolutionne son IT avec le cloud

De quoi assurer une gouvernance robuste

Pour mémoire, la plateforme Arc de Dome9 a été avant tout conçue pour l’orchestration des stratégies de sécurité au travers des environnements de cloud hybride – AWS, Azure et Google Cloud Platform, via notamment les VPC (Virtual Private Cloud) flow logs, CloudTrail, Amazon Guard Duty, ou encore AWS Inspector, notamment – pour le réseau ou encore le contrôle d’accès. La plateforme propose notamment un outil de visualisation en temps réel de la topologie de l’environnement IaaS, avec instances, pare-feu, groupes de sécurité, etc.

Cet outil permet de surveiller l’exposition publique de l’environnement hybride et de ses composants, ou encore d'aider à la découverte et la correction de menaces telles que les défauts de configuration. Les actions de correction peuvent être conduites directement depuis la console.

Mais la plateforme va plus loin, permettant de vérifier la conformité des actifs cloud public avec leurs états approuvés, voire de corriger toute altération non autorisée, ou encore de lier de manière granulaire des actifs spécifiques à des régions de production IaaS précises. A des fins d’administration, Arc permet en outre d’exposer, de manière temporaire, des services ou des ports spécifiques – en s’assurant que l’exposition ne persiste pas dans la durée.

Eviter une dégradation graduelle de la posture

L’objectif premier de Nexity est double : profiter de l’opportunité donnée par la migration pour se doter de bases saines, et compenser l’absence – relative – de sécurité périmétrique traditionnelle. Car la migration engagée a été l’occasion de débusquer des pratiques peu rigoureuses, comme la création d’accès illégitimes. Sans compter un bon nombre de serveurs qui n’étaient en fait pas utilisés. Mais pour Nicolas Pellegrin, le risque est évident : « si l’on ne pilote pas la conformité dans la durée, on peut vite se retrouver avec un environnement dont le niveau de conformité décroît graduellement ». D’où la volonté de superviser et d’encadrer.

Mais ce n’est pas tout. Typiquement, relève-t-il, « les accès à privilèges ont longtemps été appréhendés comme protégés par la sécurité périmétrique ». Et dans un cloud public, « il faut trouver d’autres solutions pour se protéger, comme l’authentification à facteurs multiples ».

En fait, pour Nicolas Pellegrin, « le cloud public nécessite une discipline au moins égale à celle que l’on pouvait avoir dans un monde on-premise pour la gouvernance ». Et cela encore plus pour la gestion des actifs, de leurs configurations et des correctifs.

Une discipline « draconienne »

D’ailleurs, le responsable de la sécurité de l’information entend bien surveiller de près versions de composants logiciels et vulnérabilités : « ça a toujours été un sujet difficile en entreprise. On a vite fait de céder aux exigences des métiers ou de la production ». Mais le recours à un partenaire pour gérer une bonne partie de la pile logicielle « permet aussi de pousser les pratiques de référence. C’est aussi l’intérêt du faire-faire ». Alors aujourd’hui, Nicolas Pellegrin revendique une « gestion des correctifs draconienne ».

Et le choix d’une infrastructure Cloud ajoute un petit coup de pouce en cela : « avec Amazon, on sait quand son système sera mis à jour, et après, il faut s’assurer que tout continuera de fonctionner ». Mais pas question de négocier pour avoir un traitement de faveur : « il faut l’accepter, comme un désavantage, peut-être pour l’exploitation, mais comme un avantage pour la sécurité ».