Management

Le cloud computing face à la sécurité

L'EPITA a organisé un colloque au cours duquel la sécurité du cloud a été discutée. Ne pas interdire est souvent difficile. Le cloud privé peut être une solution.

PublicitéLe cloud computing est-il un renoncement à la confidentialité ? La question mérite d'être régulièrement posée, ce qu'a fait l'école d'ingénieurs Epita au cours d'un colloque le 24 mars 2011. Une table ronde réunissait ainsi (de gauche à droite sur la photo) : Sylvain Thiry (RSSI de la SNCF), Patrick Langrand (directeur réde la gestion des risques IT de La Poste), Nicolas Arpajian (journaliste animateur), l'Amiral Michel Benedittini (directeur général adjoint de l'ANSSI) et Sébastien Bombal (RSSI d'Areva, enseignant à l'Epita).

« Quand on ne maîtrise pas son système d'information, en cas d'externalisation notamment, il est difficile de savoir si l'hygiène informatique, cet ensemble de règles et de bonnes pratiques pour se prémunir des risques, est bien respecté » a souligné l'Amiral Michel Benedittini. Il a dénoncé l'opacité des contrats de la plupart des fournisseurs de prestations de type cloud et la régulière absence de clauses de niveau de service et de sécurité. Si certains très grands comptes peuvent négocier ces clauses, c'est absolument exclu pour les PME. « Même des dizaines de milliers d'utilisateurs ne permettent pas toujours de négocier » s'est offusqué Sébastien Bombal.

Où sont les nuages ?

Or l'une des questions posées par le militaire a aussi des répercussions en termes de conformité légale aux dispositions dites « informatique et liberté » : selon l'endroit où seront les données « cloudifiées », le gouvernement local ou ses services peuvent-ils accéder aux données et le cas échéant, comme cela s'est déjà vu, les transmettre à ses propres industriels nationaux ?

L'Etat compte, pour répondre à cette problématique santes se priver des avantages du cloud, fabriquer un « cloud de confiance », avant tout pour ses propres usages.

Comme il est impossible de dire systématiquement « non » au cloud, le recours à des clouds privés ou soigneusement sélectionnés parmi des opérateurs strictement nationaux peut être aussi une solution. Enfin, il est aussi possible de ne mettre dans le cloud que des traitements et des données non-sensibles sur le plan stratégique et de conserver sur des plate-formes traditionnelles ce qui doit être strictement contrôlé.

Les métiers dans les nuages et le brouillard

Pour Sylvain Thiry, l'émergence du cloud a radicalement modifié la perception de la sécurité pour trois raisons principales.

Tout d'abord, les prestations de type cloud et notamment SaaS sont de plus en plus souvent gérées directement par les directions métier utilisatrices et plus par la DSI. Or les DSI sont habituées à gérer les questions de sécurité, pas les métiers. Le RSSI doit donc de nouveau prendre son bâton de pèlerin.

Ensuite, le cloud est très attractif et l'interdire ou le limiter est compliqué car le recours à ce modèle implique une absence de rigidité : la direction métier peut tester, utiliser ou arrêter quand elle veut le recours à un tel service sans le moindre investissement. C'est le triomphe de l'Opex sur le Capex.

PublicitéEnfin, le cloud étant par définition une vaste ressource mutualisée très souple, la traçabilité de ce qui s'y passe est quasiment nulle.

Deux impasses et demi

Deux impasses et demi

Face à la pression des utilisateurs qui peuvent être du comité exécutif, trois attitudes sont possibles pour le RSSI selon Sylvain Thiry. « Dire non systématiquement parce que le cloud est trop risqué, c'est dangereux pour sa carrière » reconnaît-il. Mais, comme il l'indique aussitôt, « le oui mais, plus confortable a priori, est souvent en fait un non déguisé : l'analyse de risque par le RSSI, le CIL, le service juridique, les acheteurs, etc. va prendre du temps et coûter cher. Les éventuelles économies et les gains attendus de souplesse seront alors rapidement anéantis. »

Il reste donc au RSSI à anticiper les demandes nouvelles en termes de cloud. Les données non-sensibles sur le plan stratégique peuvent bien être hébergées sur le cloud, ce qui inclut pour Patrick Langrand des données sensibles psychologiquement comme la paye, externalisée dans bien des entreprises depuis des années. Une solution peut aussi être de chiffrer ce qui est cloudifié mais ce n'est pas forcément une solution satisfaisante ou toujours possible.

« Le plus grand risque, c'est que les directions métiers utilisent le cloud sans même avertir le RSSI ou le DSI » soupire Sylvain Thiry tout en reconnaissant qu'un « serveur local n'est pas nécessairement plus sécurisé qu'un cloud confié à une armée de spécialistes ». Mais, après tout, comme il en convient, « le risque est associé au processus et a donc le même propriétaire : le métier. Le RSSI est un sensibilisateur et un informateur, pas un décideur. »

La valise ou le cloud

Pour Patrick Langrand, la question de départ est presque sans pertinence : « si on s'oppose au cloud, le métier vous foutra dehors. » C'est d'autant plus vrai que le discours du DSI sera incompréhensible tandis que les prestataires de cloud ont fabriqué un discours marketing destiné aux décideurs métier.

Le véritable problème, selon lui, n'est pas le cloud en lui-même mais le quasi-monopole des Etats-Unis en la matière : « les Etats-Unis n'hésitent pas à pratiquer le protectionnisme des données mais pas l'Europe. Il est essentiel de développer des acteurs locaux de cloud. »

Une ouverture de plus

Sébastien Bombal se veut, lui, plus rassurant : « l'entreprise étendue est un fait depuis des années et tout projet se fait avec des partenaires extérieurs. Le cloud n'est finalement qu'une ouverture de plus. »

Il y a cependant des pièges. L'économie affichée par certains prestataires n'est pas toujours aussi évidente. Ainsi, aucune entreprise ne peut entretenir une boîte mail pour deux euros par mois mais un tel coût proposé par des prestataires dans le cloud n'inclut pas l'assistance utilisateurs qui reste en interne.

Surtout, comme toute externalisation, entrer dans le cloud est facile, perdre de la maîtrise plus encore, et revenir en arrière (même pour changer de prestataire) loin d'être simple, les équipes internes pour procéder à la manoeuvre ayant été supprimées.

Des remarques à méditer

Le colloque a été l'occasion de remarques qui, sans être au coeur du sujet, n'en étaient pas moins fort intéressantes.

Ainsi, l'Amiral Michel Benedittini a ainsi souligné que le récent scandale autour des révélations de télégrammes diplomatiques américains sur Wikileaks n'était pas du tout une attaque informatique mais un défaut de pertinence dans les droits d'accès aux documents. Une personne inappropriée a ainsi eu accès à des documents classifiés à un niveau qui aurait dû lui être interdit. Cette affaire est ainsi la preuve que la sécurité technique n'est plus l'essentiel dans la sécurité informatique et qu'il faut se préoccuper de la « sécurité numérique » comme l'exprime régulièrement le Cigref.

Or, selon Eric Delbecque, chef du département sécurité économique à l'Institut National des Hautes Etudes de la Sécurité et de la Justice, « les organisations sont rarement bâties pour choisir ce qui est important alors même qu'une bunkerisation est totalement impossible. Il faut donc gérer une porosité » sans avoir de vraie visibilité sur le grain de chaque donnée. La volonté de la DIIE (Délégation Interministérielle à l'Intelligence Economique) de promouvoir la classification systématique des données risque ainsi de devenir une grosse machine bureaucratique qui s'enrayera d'elle même avant d'être contournée ou abandonnée.

Sans rapport avec ce qui précède, Patrick Langrand a posé la question fatale « qui veut être DSI ? » à une salle comportant de nombreux étudiants ingénieurs. Aucune main ne s'est levée. Patrick Langrand s'y attendait et en a conclu que le métier est devenu décidément trop ingrat et risqué, raison pour laquelle il n'intéressait plus.