Le Cercle de la Sécurité s'interroge sur le Cloud Computing
Lundi 16 Février 2009
La percée au moins médiatique du Cloud Computing suscite bien légitimement des questions dans la communauté des responsables sécurité en informatique. Comment aborder la problématique, qui sont les prestataires capables quelles protections faut-il déployer, et quels recours faire valoir en cas de problème. La dernière réunion du Cercle de la Sécurité Informatique a permis de mettre ces sujets sur la table. Avant de confronter le Cloud Computing, il convient d'appréhender justement la réalité de ce nouveau type de structure des systèmes d'information. L'observateur des marchés des services et des applications pour IDC, Eric Domage se montre très dubitatif. « Il n'est vraiment pas certain que le Cloud soit le fruit d'une demande des clients. » Le marché doit prospérer et pour y parvenir, l'industrie se sent contrainte de structurer de nouvelles approches. Et de les populariser par un buzz savamment entretenu. En somme, le Cloud Computing ne recouvre quasiment aucune réalité. Le marché ressent avant tout la pression de fournisseurs très importants comme Google et Amazon, soucieux sans doute d'amortir sur d'autres leurs gigantesques capacités informatiques. La preuve sur un chiffre d'affaires total de 367 milliards de dollars pour l'industrie informatique, Eric Domage en attribue à peine 16 aux activités de Cloud Computing. Et selon ses projections, en 2012, la part de marché ne dépassera pas 9%, soit 42 milliards sur 451. « Mais voilà, explique l'analyste, il s'agit malgré tout du segment de marché qui augmente le plus vite. Et il faut donc y aller. » Microsoft ou IBM proposent aussi leurs solutions. Et parmi les secteurs couverts par le Cloud Computing, c'est la sécurité qui semble tirer cet embryon de marché. Les utilisateurs peuvent externaliser sous le label Cloud Computing des fonctions à très faibles valeurs ajoutées comme les appliances de sécurité. Ou bien, au contraire, les entreprises préfèrent s'en remettre à un spécialiste pour des missions très complexes : audits, tests, veille, remédiation, etc. Et pour conclure, Eric Domage tient à apaiser les esprits : « N'inversons pas les problématiques. Le Cloud Computing suscite d'abord l'appétit des fournisseurs. Donc, pas d'affolement. S'il faut suivre le vent de l'histoire, autant que cela se fasse de manière ordonnée. » Une approche stricte Pour le compte du groupe Lagardère, Thierry Augé est parti aux Etats-Unis se rendre compte de l'état de l'art. Le RSSI a participé à un voyage d'études qui l'a conduit de Seattle à San Francisco, avec des rendez-vous chez Microsoft, Salesforce, Google et Amazon. « Nous sommes obligés de regarder ces modèles et nous poser la question de leur pertinence » explique Thierry Augé. Le RSSI de Lagardère a donc édifié une véritable méthode d'appréhension, que l'on peut résumer de la manière suivante : - Réaliser les études nécessaires - Déterminer précisément le patrimoine à protéger - Authentifier les accès - Valider le pack sécurité des postes - Maitriser la gestion de la sécurité aux frontières de l'entreprise - Intégrer l'offre dans l'ensemble des éléments destinés à la gestion de la sécurité - Maitriser l'adressage IP - Dérouler les tests intrusifs sur les systèmes en production - Implémenter de nouvelles technologies pour suivre les flux - Suivre les travaux de l'association spécialisée Liberty Alliance. Thierry Augé recommande également d'élaborer des contrats exhaustifs qui prennent en compte toutes les contraintes. Qui dit contrat, dit droit. Maitre Christiane Féral-Schuhl, avocat spécialisé dans le droit de l'informatique souligne les similitudes entre les problématiques du Cloud Computing et celles de l'outsourcing. Les risques sont très similaires qu'il s'agisse la continuité de services, la capacité de récupérer et consolider les données, qui sont le patrimoine de l'entreprise. La sécurité des informations constitue également un point fondamental dans un contrat de prestations de services. Ces items sont bien connus des DSI, habitués aux contrats d'hébergement, d'outsourcing ou de délégations. Les problèmes légaux posés par le Cloud Computing résident essentiellement dans l'éloignement des serveurs. Les prestataires sont-ils assujettis aux lois de la République si les systèmes sont à l'étranger ? Comment s'assurer du respect de la loi Informatique et Liberté pour ce qui concerne la sécurité des données ? Maitre Féral-Schuhl estime que des solutions contractuelles sont envisageables. Les contrats peuvent être par exemple assortis de clauses de traçabilité. Certains prestataires comme Google affirment que leurs clients peuvent exiger que les solutions soient toujours hébergées en France. Tous les datacenters ne peuvent en dire autant. Et rappelons-le, quelque soit les clauses contractuelles, elles n'exonèrent en rien l'entreprise de ses responsabilités, y compris pénales.
Les 10 derniers articles
|
Sommaire Communiqués de presse Top 30 du mois Portail
Imprimer l'article
Transférer par mail
Réagir à cet article
