Sécurité du nuage : Partager en toute sécurité les solutions informatiques

Vous pouvez partager les solutions informatiques entre le coût fixe des ressources locales et le coût variable des ressources en nuage sans perdre le contrôle de l'accès aux actifs de l'entreprise. Nous allons vous montrer comment.

Dan Griffin et Tom Jones

Lorsque nos enfants étaient jeunes, nous les gardions en sécurité à la maison. Lorsqu'ils ont su prendre soin d'eux-mêmes, nous les avons laissés sortir. La situation est similaire avec les actifs d'une entreprise. Traditionnellement, nous les protégeons dans le périmètre du réseau. Nous plaçons des pare-feux pour s'assurer que ces actifs ne quittent pas les locaux.

Lorsque vous dites à un responsable informatique qu'il peut partager sa charge informatique locale avec des ressources en nuage payables à la demande, sa première réaction est celle de l'enthousiasme devant les possibilités d'économies sur les coûts et d'améliorations pour l'utilisateur. Mais comme un parent surprotecteur, cet enthousiasme vire souvent au scepticisme et à l'anxiété quand vient la question de la sécurité des actifs de l'entreprise sur plusieurs points de contrôle.

Le traitement des données est déjà passé des centres de données d'entreprises à des ordinateurs répartis dans le monde entier. L'étape logique suivante consiste à déplacer les données et applications de l'entreprise du sein du pare-feu de l'entreprise à l'endroit où elles seront au plus près des utilisateurs professionnels qui en ont besoin. C'est-à-dire le nuage.

Pour récolter les bénéfices de l'informatique en nuage sans vivre avec l'anxiété qui l'accompagne, vous devez établir un contrôle d'accès distribué qui corresponde au contenu distribué et aux applications distribuées. Nous allons décliner ici les étapes à suivre pour garantir la fiabilité et le contrôle alors que vos données et vos applications quittent le périmètre de l'entreprise.

Sécuriser l'architecture du nuage : Étape par étape

1. Établir une SOA (architecture orientée services) pour garantir la possibilité de relocaliser chaque composant
2. Centraliser la gestion des données, le déploiement des application et les mises à jour
3. Utiliser la gestion des identités fédérées pour s'assurer que chaque utilisateur est connu à chaque point du nuage
4. Attribuer les rôles et autres attributs à chaque utilisateur pour vérifier les requêtes d'accès aux données
5. Attribuer les règles de contrôle d'accès aux applications et aux données qui peuvent passer au nuage avec elles
6. Autoriser l'accès aux applications et aux données selon les requêtes d'accès utilisateurs vérifiées

Architecture orientée services

La première étape pour établir un déploiement en nuage sans inquiétude consiste à créer un diagramme qui montrer le flux des applications et des données. Pour que la conception soit orientée services, chaque application doit fonctionner comme un service auquel les utilisateurs peuvent accéder soit localement, soit dans le nuage. De même pour les données, leur emplacement ne doit pas être spécifié dans l'application. Vous devez pouvoir configurer cet emplacement lors du déploiement de l'application. Vous pouvez voir à la figure 1 comment les composants de l'environnement informatique se mettent en relation avec les applications et les données dont la source est soit sur des ressources locales, soit sur le nuage.

Figure 1 Un œil sur l'architecture des flux d'applications et de données.

Votre équipe de développement s'approvisionne en exécutables de l'application. Vous pouvez faire en sorte qu'elle les applique directement depuis chez le fournisseur, mais vous pouvez exercer un plus grand contrôle si vous apportez tout le code de l'application dans l'entreprise et le faites distribuer d'ici. Les données migrent depuis la machine du client vers les magasins de données de l'entreprise ou du nuage, indiqués sur la figure 1 sous la forme de serveurs SharePoint.

Lorsque les applications accèdent aux données, cette action est autorisée par des mécanismes de contrôle d'accès locaux à chaque magasin de données. L'intégrité des exécutables de l'application et des données de l'entreprise nécessite une prise en compte supplémentaire car ces derniers sortent du périmètre pour entrer dans le nuage. La situation de gestion idéale et la plus flexible est lorsque vous pouvez gérer les ressources locales et du nuage comme s'il s'agissait d'une seule entité pouvant répondre de manière dynamique aux requêtes en ressources.

Comptabilité pour le nuage

La première étape pour justifier un déploiement en nuage consiste à déterminer le retour sur investissement. Typiquement, on classe les coûts dans les catégories d'installation ou de conversion qui comprennent la mise en place des nouveaux services, la formation et la mise hors service des anciens services. Le retour sur investissement est exprimé sous la forme d'un coût mensuel réduit et du nombre de mois pour compenser l'investissement. Parmi les analyses plus sophistiquées, on trouve l'analyse des flux de trésorerie avec remise mais, si le retour est inférieur à deux ans, ceci n'ajoute probablement aucune valeur au processus de prise de décision.

La véritable valeur des déploiements en nuage provient des avantages intangibles tels que la rapidité de réponse à des fluctuations de la demande en services et tels qu'une amélioration du contrôle des coûts. Réfléchissez à ces types de coûts du point de vue du service informatique :

1. Les coûts fixes proviennent habituellement des investissements en biens d'équipement comme les serveurs et les salles des machines. Ces coûts sont généralement dépréciés sur la durée de vie de l'actif. Cette dépréciation sera imputée sur le compte de résultats chaque mois quel que soit l'usage de l'équipement.
2. Les coûts variables dépendent de la quantité de service fournie et comprennent le coût des biens vendus et tout frais facturé selon l'utilisation du nuage, par exemple la location d'équipement à court terme en fonction de la charge actuelle. Ce type de coût permet le mieux au service informatique de pouvoir lier les coûts à la livraison de services.
3. Les coûts semi-variables proviennent généralement de services fournis à des employés à plein temps ou à d'autres ressources qu'il est plus difficile de faire évoluer ou de faire revenir en arrière. Les locations de logiciels ou l'approvisionnement en services de courrier électronique figureront dans cette catégorie. L'inertie qui suit l'approvisionnement ou le désapprovisionnement d'employés provoque le retard important de ce coût par rapport aux modifications dans la demande de services.

Vous pouvez justifier l'utilisation de services en nuage dans le cas de coûts semi-variables pour des raisons telles que le déchargement des services de paiement à un fournisseur dédié. Pour le paiement des salaires comme pour le courrier électronique, les règles changent rapidement : les logiciels ont constamment besoin de mises à jour et l'expertise permettant d'effectuer ces fonctions est chère. Bien qu'il soit plus difficile de justifier l'approvisionnement en nuage en se basant sur les coûts semi-variables, les résultats peuvent cependant rester positifs et peuvent aider le service informatique à se concentrer sur sa mission véritable : offrir de la valeur ajoutée aux produits de l'entreprise.

Quatre étapes vers un déploiement en nuage sécurisé

La plupart des cadres informatiques pensent que l'informatique en nuage est une manière de réduire les dépenses en capital à l'aide de la technologie de virtualisation. Nombreuse sont les fournisseurs qui utilisent le mot « nuage » pour n'importe quel service Internet. Pour notre description, nous utilisons celle de Gartner Inc. sur la manière dont le nuage est devenu si important pour le monde des affaires : « la transformation des technologies en denrées et leur normalisation, en partie due à la virtualisation et à la monté des architectures orientées services, et plus important encore, à la croissance exponentielle de la popularité d'Internet. » Ceci est important dans quatre domaines spécifiques :

1. La gestion des données centralisée, à l'aide de SharePoint par exemple
2. La gestion des applications centralisée, à l'aide d'Exchange par exemple
3. La gestion des identités fédérées, à l'aide des services de fédération Active Directory (ADFS) par exemple
4. Une assistance supplémentaire pour la migration vers le nuage

Gestion des données centralisée

En 2007, Gartner a commencé à dire lors des conférences sur la sécurité qu'il était temps d'abandonner la frontière d'un périmètre durci entre l'entreprise et Internet. Même à l'époque, les experts disaient que les frontières des entreprises étaient poreuses. Les périmètres avaient perdu leur raison d'être (laisser les intrus à la porte) de telle sorte que le contrôle d'accès était nécessaire à chaque service informatique. La réalité aujourd'hui est dans la dépérimétrisation de sécurité. Pour être véritablement sûr, seul le serveur qui contient les données peut au final contrôler l'accès.

Pour autant, il n'est pas rationnel de gérer l'accès sur chaque serveur car nombreux sont les déploiements qui contiennent des centaines, voire des milliers de serveurs. L'informatique ne peut pas réellement déterminer les droits des données et les règles d'accès. Elle peut, cependant, établir un système de gestion des rôles grâce auquel les propriétaires d'entreprises peuvent autoriser ou refuser l'accès en fonction des objectifs de l'entreprise.

L'environnement réglementaire s'est petit à petit renforcé à la fois pour la modification des données et pour l'accès à ces données. Il faut pour cela un nouveau paradigme : permettre aux données de migrer vers quelque serveur que ce soit qui puisse au mieux traiter les demandes d'accès, tout en assurant la conformité à un coût raisonnable. Voici quelques exigences à prendre en compte pour la gestion des données dans un environnement en nuage :

• Un accès rapide aux données autorisées à l'utilisateur, où et quand c'est nécessaire
• Un accès non compromis par une catastrophe naturelle ou pour l'entreprise
• La découverte des données par demandes légales des autorités, en partant du principe que l'entreprise puisse fournir les données nécessaires
• Le DLP (prévention contre la perte des données) fait partie intégrante de l'offre de service
• Une architecture orientée services (SOA) doit permettre une migration facile des données en provenance du nuage et vers le nuage
• L'identité des données ne doit pas inclure son emplacement physique afin que ces données puissent être facilement déplacées
• Les balises d'emplacement des données doivent logiquement correspondre au pays d'origine et non à leur emplacement physique
• Les opérations de sauvegarde et de récupération des données doivent être basées sur l'identité des données et non sur leur emplacement
• Les règles d'accès aux données peuvent être créées et entretenues par le propriétaire métier des données
• Les autorisations d'accès peuvent être consultées par les auditeurs de conformité
• Les données sensibles peuvent faire l'objet de contrôles d'audit à la fois en termes de modification et d'accès
• La séparation des devoirs empêche un même administrateur de modifier les données et les journaux d'audit
• Les contrats de niveau de service (SLA) doivent préciser les attentes et les responsabilités de chacun

Starbucks Corp. a découvert que le coût et le retard de la distribution physique (sur papier) de ses actualités, tarifs et analyses commerciales du moment n'était pas rentable. Par conséquent, il utilise à présent SharePoint pour son réseau de 16 000 emplacements. Ce site SharePoint est devenu un canal de communication critique pour l'entreprise, par lequel les employés peuvent obtenir les informations actuelles, avec la capacité de rechercher rapidement l'information dont ils ont besoin au moment où ils en ont besoin.

La disponibilité et la fiabilité sont suivies par System Center Operations Manager (SCOM) de Microsoft et d'autres outils analytiques. SharePoint prenant en charge à la fois les connexions réseau internes et externes, les emplacements du serveur peuvent s'adapter à la topologie du réseau actuel être gêné par la nature des environnement (locaux, en nuage ou mixtes). Ce déploiement a permis à Starbucks de parvenir aux avantages suivants :

• Soutenir la croissance des magasins et les besoins en capacité en améliorant la stabilité du système grâce à une surveillance efficace et des outils de rapport
• Permettre aux partenaires des magasins de travailler plus efficacement grâce à une interface portail intuitive et un accès simple aux informations dans toute l'entreprise
• Maintenir la sécurité des données grâce à une gestion améliorée des documents et une fonctionnalité de confidentialité
• Aligner les priorités des magasins sur les objectifs de l'entreprise en intégrant les tendances et rapports de croissance aux communications avec les partenaires

Protection de l'intégrité

N'importe quel magasin de données doit être protégé afin de ne pas devenir un vecteur d'infection de virus ou de logiciels espions. Les types de données, tels que les exécutables et les fichiers compressés ou chiffrés, peuvent être bloqués pour une variété de raisons d'intégrité ou de conformité. Un employé de Microsoft, David Tesar, a rédigé un article sur le blog sur certaines des raisons d'une entreprise de protéger SharePoint à l'aide de Forefront Protection 2010 for SharePoint, sorti en mai 2010.

Protection contre la perte des données et détection de cette perte

Afin de garantir une protection complète, les données d'un client doivent être correctement mises à l'écart de celles des autres clients. Elles doivent être stockées de manière sécurisée lorsqu'elles sont « au repos » et être mises en mesure de se déplacer en toute sécurité d'un endroit à l'autre (sécurité « en mouvement »). Les responsables informatiques doivent s'assurer que les fournisseurs de nuage disposent des systèmes qui empêchent toute fuite des données ou tout accès par une tierce partie. Tout ceci doit faire partie du contrat de niveau de service. C'est une séparation correcte des devoirs qui doit garantir l'impossibilité aux utilisateurs non autorisés de battre les audits et/ou la surveillance, même des utilisateur « avec privilèges » au niveau du fournisseur du nuage. La figure 2 montre les diverses transitions de données susceptibles de subir une attaque extérieure.

Figure 2 Les relations des données et transitions de confiance

Les nouveaux points d'attaque contre les serveurs et ordinateurs de bureau d'entreprise par Internet ou un support physique comprennent :

1. Les transferts de données entre l'entreprise et le nuage, perdre les informations d'autorisation en transit
2. Les accès du nuage au service SharePoint en nuage ne disposant pas de la protection de l'entreprise
3. Les fuites de données privées ou la fuite de données d'informations d'autorisation en provenance de fournisseurs d'identifiants

Avec l'augmentation de la quantité de données, le temps de les filtrer ou le coût d'augmentation de la capacité de stockage peut être important. La mise sous mot-clé des données et le filtrage des fichiers disponibles dans Forefront Protection 2010 for SharePoint vous permet de contrôler le type de données que vous autorisez sur le serveur SharePoint et fournit des rapports sur les types de fichiers présents. Cette fonctionnalité peut réduire les coûts en ne nécessitant pas de capacité de stockage supplémentaire et en participant à empêcher les fuites de données.

Par exemple, si vous disposez dans l'entreprise d'un serveur SharePoint accessible publiquement, vous pouvez activer un filtrage des fichiers par mots-clés afin d'empêcher tout action sur les fichiers contenant les mots « confidentiel » ou « usage interne uniquement ». Vous pouvez même préciser le seuil de nombre de fois où ces mots peuvent apparaître avant de les empêcher d'être publiés.

Rights Management Services (RMS) est également un ajout efficace à votre stratégie de défense en profondeur, qui protège les documents même, quel que soit l'endroit où ils sont stockés ou d'où ils ont été téléchargés. La plupart des applications commerciales n'ont pas besoin de ce niveau de protection, mais il peut s'avérer utile pour certains documents particulièrement sensibles, comme des plans financiers ou d'acquisition avant leur révélation publique. Depuis la sortie de Windows Server 2008, RMS est un rôle dans Active Directory.

Un suivi d'audit complet est requis pour toute enquête criminelle scientifique, ce qui entraîne une quantité de données gigantesque. Vous pouvez activer Audit Collection Services (ACS), un complément de SCOM, sur les ressources à haut risque afin de retirer tous les enregistrements d'audit dans un endroit central au fur et à mesure qu'ils sont générés, pour y être stockés et analysés en toute sécurité. Cette configuration empêche les pirates d'altérer les données d'expertise criminelle, même si les pirates ont des privilèges élevés.

La flèche « Confiance » de la figure 2 désigne ce flux important d'informations d'authentifications et d'autorisations, que nous étudierons plus tard dans cet article dans la section « Gestion des identités fédérées ».

Gestion des données de santé centralisée

Les acteurs majeurs qui rivalisent pour avoir une part du marché des informations médicales comprennent Microsoft Health Vault et Dossia. Dossia, une infrastructure indépendante à but non-lucratif créée par certains des plus grands employeurs des Etats-Unis, rassemble et stocke les informations de dossiers de santé de toute une vie.

Aux États-Unis, le Président Obama a fait monter d'un cran l'attente des avantages provenant de données de santé centralisées en termes de réduction des coûts et d'améliorations de la recherche. La loi Health Insurance Portability and Accountability Act place une pression énorme pour la protection de la confidentialité des patients. Les informations médicales sont sensibles, leur impact peut être énorme et peut changer la vie des gens, par exemple si elles servent à prendre des décisions liées à un emploi.

Des questions ont déjà été posées sur l'utilisation des marqueurs génétiques dans les décisions d'emploi. Le Congrès a répondu à ces questions dans la loi Genetic Information Non-Discrimination Act. Les quelques années qui viennent vont voir la tension grimper entre la maîtrise des coûts et la confidentialité au fur et à mesure que les fournisseurs de services de nuage essaient de naviguer sur ce champ de mines.

Bien que les employeurs disposent d'une incitation à réduire les coûts de santé, il est important de comprendre le modèle de sécurité : qui collecte les données, comment sont-elles utilisées, qui y a accès et quels sont les risques de collecter et de partager ces données ? Dans le contexte de l'informatique en nuage, il existe une question intéressante : qui est responsable en cas de problème ? Qui est le gardien du dossier et que se passe-t-il en cas d'importante fuite ou mauvaise utilisation des données ? Au fur et à mesure que des informations aussi sensibles que les dossiers médicaux rentrent dans le nuage, les inquiétudes liées à la sécurité vont certainement augmenter.

Gestion des applications centralisée

Les applications d'hébergement Web sont externalisées depuis au moins dix ans. Pendant ce temps, Akamai héberge un grand pourcentage, grandissant, de fichiers urgents pour les propriétaires de sites Web du monde entier. De même, le programmeur Dave Winer a travaillé pour Microsoft afin de créer le précurseur des services Web qui ont proliféré pour devenir la vaste gamme de normes WS-* disponibles aujourd'hui.

L'importance des applications Web n'a cessé de croître régulièrement, au point de devoir inventer un nouveau nom pour désigner la combinaison des interfaces d'orientation services et de services Internet normalisés, d'où le terme « informatique en nuage ». Ce qui, aujourd'hui, est nouveau et différent par rapport à il y a 10 ans réside dans l'attention offerte à la valeur disponible à un coût marginal raisonnable. Une entreprise n'a plus besoin de développer une expertise d'Exchange pour bénéficier des services d'Exchange, puisqu'un certain nombre de fournisseurs se battent pour offrir ce service.

Pour qu'un service migre facilement d'un emplacement local vers le nuage et revienne, l'application doit fournir un ensemble d'interfaces orientées services standard à utilisation locale et dans le nuage. C'est pour cette raison qu'au départ, on appelait une application en nuage un logiciel en tant que service. Les normes d'interface de service d'application les plus largement adoptées sont les protocoles WS-* mentionnés plus tôt. Lorsque vous travaillez sur une application métier pour en faire une nouvelle version, le moment est adéquat pour revoir les caractéristiques d'interface d'application et vérifier si elles correspondent aux normes existantes des services Web.

Toutes les requêtes d'autorisation et les authentifications d'identité doivent être partagées par toutes les ressources, qu'elles soient locales ou en nuage. Avec le temps, toutes les applications pourront migrer vers les paramètres régionaux les plus efficaces afin de répondre aux attentes de leurs clients. À ce stade, déplacer une application est une simple question de modification d'entrée de répertoire de l'application. L'approvisionnement de ressources n'est qu'une fonctionnalité de base du fournisseur de services sélectionné. Le nuage offre une vue virtualisée des ressources qui ressemble à un ordinateur. Cet ordinateur n'est jamais indisponible pour raisons d'entretien et il peut, en réalité, être hébergé sur de nombreuses machines ou sur une seule machine, selon la demande.

Tout fournisseur doit s'assurer que ses applications ne deviennent pas un vecteur d'infection par des logiciels malveillants. Les fournisseurs de courrier électronique sont des vecteurs particulièrement attrayants pour la distribution de logiciels malveillants, mais on peut pratiquement garantir que des attaques se produiront à partir du moment où un composant public est présent sur un canal. Forefront Protection 2010 for Exchange offre aux utilisateurs d'applications hébergées sur le nuage confiance dans le fait qu'aucun autre client ne viendra compromettre les services dont ils dépendent. Tous les exécutables sont vérifiés avant de pouvoir être chargés sur les serveurs et sur les ordinateurs des clients.

Gestion des identités fédérées

De nos jours, l'identité en ligne se manifeste de deux manières :

1. L'État ou les grandes entreprises insistent sur le lien étroit qui existe entre l'identité humaine et l'identité en ligne. La montée du nombre des passeports lisibles par machine ou des cartes à puce émises par l'État en est une preuve. Et Active Directory est un exemple de ce type de support.
2. Les fournisseurs d'identifiants en ligne offrent une identité constante qui sert à établir un profil permettant de prédire le comportement futur. Le fonctionnement de Windows Live ID sur Internet à l'aide de simples tests de Turing (comme CAPCHA) prouve que c'est un être humain qui fait la demande de compte. Pour prendre un exemple plus simple, un code de vérification est envoyé au compte de messagerie Internet.

Selon l'application, il faut fournir l'un ou l'autre des types d'identité au service de nuage pour obtenir l'autorisation d'accès aux données. Chaque entreprise disposera de son propre système de gestion des identités afin de contrôler l'accès aux information et aux ressources informatiques. Cette identité doit valoir autant que les autres éléments de contrôle pour obtenir l'autorisation d'exécuter des applications dans le nuage.

Les fournisseurs d'identités externes ne vérifieront normalement que les clients ou les autres utilisateurs lambda. Par conséquent, le système d'identité du nuage doit suivre le propriétaire de chaque identité et le niveau de sûreté attribué à cette identité. La co-existence de services dans des environnements locaux et en nuage n'est possible que si ces deux environnements utilisent la même interface de service d'identité standard pour l'autorisation.

Créer son propre service privé de nuage n'intéressera que quelques entreprises seulement. Pour celles qui ont choisi de le faire, la solution des identités du nuage devra fonctionner dans toutes les filiales et acquisitions. Bien qu'un service de nuage puisse créer son propre fournisseur d'identités, une telle solution propriétaire ne correspondrait plus vraiment à notre définition d'un vrai service de nuage.

Des cas comme celui-ci auraient besoin d'une passerelle de fédération provenant de chaque service de nuage dans le but de relier l'identité externe au gestionnaire d'identités internes, tels que Forefront Identity Manager, pour offrir un fournisseur d'autorisations propre et rapide à chaque ressource en nuage complètement indépendant du fournisseur d'identités d'origine. Les fournisseurs d'identités doivent créer une liste de toutes les sources connues d'identités afin d'autoriser l'accès à ces ressources et être certains que n'importe quel fournisseur de services de nuage puisse toutes les utiliser.

Utilisation des identités fédérées

Comme il est indiqué sur le blog Forefront, Thomson Reuters a réussi à fournir un accès à authentification unique (SSO) à son service de gestion du patrimoine, Treasura, et aux services de nuage associés. Le cabinet a utilisé une gestion des identités fédérées basée sur ADFS 2.0 à partir de l'identité de connexion de ses clients entreprises sans qu'ils n'aient à s'authentifier de nouveau pour accéder aux produits Thomson Reuters.

Parmi les nombreux fournisseurs d'identités pris en charge par Treasura, on trouve OpenSSO de Sun et Active Directory de Microsoft. Puisque Windows Identity Foundation propose les mêmes outils familiers de développement Windows à ses développeurs d'applications dans le but de créer une SSO sans devoir rédiger un code d'authentification personnalisé, Thomson Reuters pense gagner une moyenne de trois mois sur son temps de développement.

L'approche la plus facile de l'authentification en nuage consiste à proposer l'accès uniquement via le propre fournisseur d'identités de l'entreprise. Cette approche fonctionne tant que tout suivi des utilisateurs est limité à l'utilisation du fournisseur d'identités de l'entreprise. Dès que des clients ou autres partenaires doivent avoir un accès contrôlé aux applications ou aux données en nuage, l'entreprise aura besoin d'une source hétérogène d'identités d'utilisateurs. Parfois l'identité sera forte, comme certaines cartes à puces d'identité nationale, mais dans d'autres cas, elle ne sera qu'une continuité, comme Windows Live Identity (également appelé Passport).

Les serveurs d'applications et de données de terminaison devront connaître l'origine et la fiabilité de l'identité présentée dans des environnement aussi hétérogènes avant d'autoriser l'accès. Ainsi, par exemple, les informations essentielles de l'entreprise peuvent être protégées par le propre Active Directory de l'entreprise tandis que le fournisseur d'identités externes peut servir à suivre le comportement des clients sur une période étendue.

ADFS fait partie de la plate-forme d'identité et de sécurité de Microsoft et de l'environnement d'exploitation en nuage Windows Azure. Composant de Windows Server, ADFS fournit des technologies Web SSO permettant d'authentifier un utilisateur pour plusieurs applications Web.

ADFS 2.0 est conçu pour permettre aux utilisateurs d'employer la SSO à la fois sur les applications hébergées sur le nuage ou dans les locaux. Ainsi Microsoft Online Services peut authentifier les personnes à l'aide de l'ID d'entreprise provenant de Active Directory ou de Windows Live ID. Les administrateurs de nuage auront toujours besoin d'un ID distinct pour cette fonctionnalité. ADFS 2.0, accompagné de Windows Identity Foundation, s'est autrefois fait connaître par son nom de code « Geneva ».

Assistance de migration vers le nuage

Vous pouvez obtenir de l'aide de plusieurs façons pour préparer votre entreprise à migrer vers le nuage, notamment pour le support fournisseur, les services de sécurité, la disponibilité, la sécurité des applications, l'élasticité, la gestion, la confidentialité et les services de nuage privés :

• Support fournisseur : les entreprises spécialisées dans la sécurité des entreprises ont l'expertise pour évaluer les nombreuses nouvelles questions qui se posent durant la migration des entreprises vers les services d'informatique en nuage. N'importe quel expert qualifié en sécurité du nuage saura créer des listes de contrôle et des modèles utilisables par les entreprises durant le déploiement de nouveaux services. Assurez-vous de créer une liste d'exigences à suivre pour tout fournisseur qui inclut le développement de l'architecture orientée services pour traiter des besoins de sécurité spécifiques pour l'entreprise. Il est important que les fournisseurs disposent d'une expertise en matière de sécurité, mais aussi d'une expérience de déploiement de solutions sécurisées dans des environnements du monde réel. Une expérience précise au contact de fournisseurs de nuage majeurs comme Microsoft, Google Inc. Et Amazon.com Inc. prendra forme dans un plan qui peut participer à garantir la réussite.
• Sécurité physique et du personnel : les fournisseurs doivent s'assurer que les machines physiques sont sécurisées de manière adéquate. Ils doivent également s'assurer que l'accès à ces machines, ainsi qu'à toutes les données des clients, n'est pas uniquement restreint mais également qu'il en reste une trace. Le bureau américain en charge du contrôle des comptes publics, le U.S. Government Accountability Office (GAO), a publié un document traitant des « Connaissances nécessaires aux fournisseurs de logiciels pour la gestion des risques » pour les acquisitions de défense qui devrait fournir des conseils très utiles, même pour des entreprises commerciales.
• Disponibilité des services : les fournisseurs de nuage doivent rassurer leurs clients sur leur accès régulier et prévisible à leurs données et applications. Pour les équipes informatiques, cela implique de faire évoluer les ressources quand la demande augmente et de les réduire dans les phases de réduction afin de produire une ressource informatique élastique qui soit rentable.
• Sécurité des applications : les fournisseurs de nuage garantissent que les applications disponibles en tant que service via le nuage sont en sécurité en implémentant des procédures de tests et d'acceptation pour le code d'applications externalisées ou packagées. On leur demande également de mettre en place des mesures de sécurité des applications (pare-feu au niveau application et audit des bases de données) dans l'environnement de production.
• Informatique élastique : l'élasticité représente la « véritable pépite d'or de l'informatique en nuage et ce qui rend ce concept extraordinairement tourné vers l'évolution, sinon la révolution » déclarait Dustin Owens, dans le numéro de juin 2010 de Communications of the ACM. Le National Institute of Standards and Technology (NIST) décrit cette caractéristique importante dans sa définition de l'informatique en nuage (V15): « L'informatique en nuage est un modèle qui permet un accès en réseau pratique et à la demande à un groupement partagé de ressources informatiques configurables (par ex. des réseaux, serveurs, stockage, applications et services) et qui peut être rapidement fourni et prêt à l'emploi avec un effort de gestion ou une interaction de fournisseur de services minimum. »
• Gestion : des versions plus récentes d'outils de gestion peuvent combler le fossé qui sépare les applications et données partagées entre des ressources locales et en nuage. Cette capacité est uniquement efficace si elle peut s'étendre de l'entreprise au nuage. Par exemple, la prochaine version de System Center Configuration Manager prendra en charge « plusieurs types de périphériques » et permettra aux utilisateurs « d'accéder sans souci à leurs données depuis quasiment n'importe où, sur plusieurs types de périphériques tout en fournissant au côté informatique des outils de gestion unifiés et un contrôle centralisé », d'après une nouvelle publication laissée sur le blog de l'équipe System Center.
• Confidentialité : enfin, les fournisseurs garantissent que toutes les données critiques (les numéros de carte de crédit, par exemple) sont masquées et que seuls les utilisateurs autorisés ont accès à la totalité de leurs données. De plus, les identités numériques et les informations d'identification doivent être protégées, de même que toute donnée collectée ou produite par le fournisseur au sujet de l'activité du client dans le nuage.

Nuages privés

Nombreux sont les États qui ont fait passer des lois, des réglementations et des programmes de certification qui cherchent à protéger la confidentialité de leurs concitoyens ainsi que leurs intérêts nationaux. Il en résulte une utilisation limitée de nuages disponibles au public pour de nombreuses applications qui gèrent des données protégées par la réglementation.

Par exemple, les certifications d'institutions nationales comme le Federal Information Security Management Act, ou FISMA, projet d'implémentation dirigé par le NIST, devra être pris en compte en plus des autres exigences de conformité. Pour y répondre, certains fournisseurs de services de nuage créent des nuages dédiés à l'utilisation par les agences fédérales américaines ou d'autres entités d'État pour rendre plus simple la vérification de la conformité.

Avec les tempêtes de neige de l'été 2010, même l'administration fédérale américaine s'est retrouvée arrêtée à Washington, DC. Et soudain, l'idée d'un fonctionnement continu des services de l'État depuis le domicile ou des sites distants n'est plus impensable. Le risque de divulgation de grandes quantités d'informations privées agit comme un contre-poids qui empêche d'exposer plus de données sur Internet à une période où la tendance est de limiter l'exposition du gouvernement fédéral.

Autre exemple, les autorités locales, comme la ville de Newark dans le New Jersey, ont plus de liberté pour trouver des solutions rentables qui ne nécessitent pas de grosses dépenses en capital pour améliorer la productivité des agents locaux grâce à un ensemble d'outils courants et une collaboration aisée. « À la ville de Newark, nous nous concentrons sur la garantie que nos programmes de modernisation informatique et de réduction des coûts dépassent les objectifs généraux du maire quant au renouvellement de la gouvernance », déclare Michael Greene, directeur informatique de la ville de Newark.

Un certain nombre d'éditeurs de logiciels indépendants ont choisi de rendre leurs offres disponibles sur des plates-formes en nuage comme Windows Azure. Ce choix donne déjà de la crédibilité aux organismes publics. Aujourd'hui, le nuage de Windows Azure s'est transformé en une plate-forme d'applications dont bénéficient la communauté des développeurs et les utilisateurs de nuages dédiés dans les administrations publiques.

Dan Griffinest consultant en sécurité logicielle basé à Seattle. Vous pouvez le joindre à www.jwsecure.com

Tom Jonesest architecte logiciel et auteur spécialisé dans les domaines de la sécurité, la fiabilité et l'utilisabilité des solutions en réseau pour les entreprises financières et autres entreprises critiques basées sur le nuage. Ses innovations dans le domaine de la sécurité portent sur toute une gamme de travaux, de l'intégrité obligatoire au modems de chiffrement. Vous pouvez le joindre àtom@jwsecure.com.

Contenu associé

• Sécurité du nuage : Gestion du nuage avec Windows Intune
• Informatique en nuage : Par où commencer lorsque vous avez déjà commencé
• Rapports de conformité : Première étape du contrôle de l'accès en nuage aux clients