Comment sécuriser le Cloud de mon entreprise ?

Un marché Cloud en forte hausse

L’usage du Cloud computing a explosé ces dernières années. Pour faciliter le travail à distance ou, plus généralement dans le cadre de leur transformation générale, de plus en plus d’entreprises font le choix de migrer vers le Cloud leurs applications, même critiques. Selon un rapport Forrester, le marché mondial des services de Cloud public devrait atteindre 1 000 milliards en 2026¹ : la migration vers le Cloud est plus que jamais une tendance de fond pour les entreprises⁽¹⁾.

La croissance est notamment portée par le fait que les technologies de virtualisation, de conteneurisation et d’Edge Computing (traitement des données à la périphérie du réseau) deviennent de plus en plus courantes.

La France est d’ailleurs aujourd’hui le deuxième pays au monde, derrière Singapour, dans l’adoption de l’écosystème cloud².

Des cybermenaces en constante évolution

Si le Cloud est vital pour le développement de l’entreprise, il peut également être porteur de nouveaux risques que les responsables IT se doivent de prendre en compte. La simultanéité des projets déportés dans le Cloud, des erreurs de configuration ou encore une faible sécurité des informations d’identification, sont quelques-unes des principales causes pouvant mener à une cyberattaque sur un environnement Cloud.

Des attaques moins nombreuses mais plus sophistiquées

Pour la première fois, le nombre de cyberattaques a chuté en 2022, touchant moins d’une entreprise sur deux.

Mais il ne faut pas s’y méprendre : le niveau de cyber risque est encore aujourd’hui très élevé, avec des conséquences directes sur les organisations, dans un contexte où les cybercriminels industrialisent leurs pratiques malveillantes et développent des attaques toujours plus complexes à détecter et à endiguer. 60% des cyberattaques impactent ainsi directement le chiffre d’affaires des entreprises qui en sont victimes.

Le phishing (74%), l’exploitation d’une faille (45%) et les arnaques au président (41%) forment le trio de tête des méthodes les plus utilisées lors d’une cyberattaque³.

Le cloud constitue une surface d’attaque pour les hackers : au cours des 12 derniers mois, une entreprise sur quatre⁴ a ainsi identifié un incident de sécurité dans leur écosystème cloud.

À l’occasion du FIC 2023 (Forum International de la Cybersécurité), Vincent Strubel, le nouveau Directeur Général de l’ANSSI a rappelé la nécessité de sécuriser le cloud, évoquant le fait que beaucoup d’entreprises “pensent à tort que le cloud est sécurisé par défaut”.

Données sensibles non chiffrées

De nombreuses entreprises bénéficient des promesses du Cloud sans toutefois se préoccuper sérieusement de leur sécurisation. Un rapport d’IDC montre que 63% des organisations européennes hébergent des données sensibles ou confidentielles dans le cloud⁵.

Or, en 2021, 83% des entreprises ne chiffraient pas plus de 50%⁶ de leurs données sensibles stockées dans le cloud.

En cas d’attaque, le vol de données sensibles est un jeu d’enfant pour n’importe quel hacker, a fortiori lorsque les collaborateurs partagent ces données en public par inadvertance.

Sécurisation du cloud : les critères à prendre en compte

Les entreprises qui adoptent les services SaaS et IaaS ont tout intérêt à adopter une sécurité de bout en bout, avec des protections adaptées à tous les éléments externalisés : applications, données, réseaux, etc.

Dans le cas du logiciel en tant que service (SaaS), les applications déportées dans le Cloud sont accessibles sur n’importe quel terminal (fixe ou mobile) après validation de l’identifiant de connexion. La sécurisation des accès est ici primordiale puisqu’elle ouvre la porte aux données sensibles de l’entreprise.

Les critères de sécurité du mode de l’infrastructure en tant que service (IaaS) doivent porter sur les serveurs web ou de fichiers, les réseaux et le stockage des données, en complément de la sécurisation des accès. Idéalement, le prestataire doit être certifié (ISO 27001, HDS, SecNum Cloud…) car il est responsable de la sécurité de ses propres équipements sur lesquels l’infrastructure matérielle de ses clients est hébergée. La sécurité doit être présente de bout en bout, aussi bien côté client que côté prestataire externe.

Les applications SaaS au cœur de la sécurisation des données

Les outils de sécurisation des accès en mode SaaS reposent sur des technologies complémentaires réduisant d’autant les risques d’attaques réussies.

Le premier service se nomme CASB (Cloud Access Security Broker). Il s’agit d’un logiciel spécialisé dans la sécurisation des données de bout en bout, du Cloud jusqu’au terminal. Grâce à lui, la DSI peut contrôler les accès utilisateurs et analyser leurs comportements, détecter les menaces et activer des alertes de sécurité.

La seconde barrière qui peut être mise en œuvre concerne l’authentification forte des collaborateurs à travers 3 outils :

• Le premier se nomme Single Sign-On (SSO). Il permet de connecter un identifiant unique reconnu à de multiples applications.
• Le second, Identity and Access Management (IAM), autorise un référentiel unique à pouvoir gérer les accès et les droits de collaborateurs dans le SI.
• La dernière technologie d’identification, connue sous le nom de Multi-Factor authentification (MFA), ajoute une couche de sécurité supplémentaire sous la forme de double authentification (clé de sécurité à authentification biométrique, code numérique éphémère…).

Le dernier modèle de sécurité, Zero Trust Network Access (ZTNA) consiste à ne faire confiance à aucune demande de connexion. Les autorisations sont délivrées au niveau de chaque application, le collaborateur ayant uniquement accès à son seul périmètre de travail. De plus, le ZTNA comporte une vérification de conformité des terminaux (niveau de mise à jour, protection active) avant de délivrer le précieux sésame.

Protégez votre Cloud privé et votre datacenter

Lorsqu’une entreprise fait confiance à un prestataire externe pour héberger et gérer ses données, elle doit s’assurer que celui-ci dispose des technologies de sécurité appropriées ou bien, dans le cas du IAAS, de bien les activer par lui-même.

La protection doit notamment comprendre un pare-feu, un IPS et un Web Application Firewall (WAF) aptes à contrer les tentatives d’intrusion sur ses serveurs web.

Afin de détecter rapidement toute erreur de configuration ou de gestion par le client, le prestataire doit disposer d’outils CSPM (Cloud Security Posture Management) pour identifier et prévenir ces risques de manière proactive. Pour limiter les tentatives d’attaques visant à rendre indisponibles ses applications, dirigez-vous vers les solutions AntiDDOS (deny of service).

L’entreprise peut compléter sa sécurité Cloud par un service de prévention de perte de données (DLP). Celui-ci va bloquer le transfert ou partage d’éléments sensibles par un collaborateur non autorisé. Ce dernier ne pourra, par exemple, pas déposer un fichier de l’entreprise sur son compte Dropbox personnel ou encore envoyer par mégarde une pièce jointe sensible à une adresse email inconnue.

Que l’entreprise choisisse de déporter tout ou partie de ses données dans le Cloud, elle doit être certaine que la complétude des solutions de sécurité s’applique à travers des technologies éprouvées.

Le prestataire externe doit être capable de lui apporter flexibilité et sécurité H24 en garantissant la sécurité des données et des systèmes, en lui permettant de connaître l’état de la sécurité en temps réel, et en sachant détecter et suivre rapidement les événements inattendus.

C’est ce que propose SFR Business à travers ses offres de sécurité normalisées et convergées à l’attention des ETI et grands comptes.


La sécurité du cloud est plus que jamais un défi majeur à relever pour la cybersécurité des organisations : celui-ci héberge une masse de données sensibles et d’applications métiers toujours plus conséquente.

L’architecture SASE, qui embarque une bonne partie des technologies de cybersécurité pensées pour la protection du cloud (mais pas que) sur une plateforme unique elle même dans le cloud, est un modèle qui gagne en popularité et pourrait bien devenir la nouvelle norme d’usage pour bons nombres d’organisations.