Lutter contre le Shadow IT: cinq cas d'utilisation d'une solution CASB

L'utilisation de services Cloud sur le lieu de travail augmente de manière exponentielle. En 2016, les entreprises utilisaient en moyenne 1 427 services Cloud, soit 23,7 % de plus que l'année précédente. En fait, l'usage actuel du Cloud est près de trois fois supérieur à ce qu'il était il y a quatre ans.

Malgré la prévalence croissante des programmes informatiques « Cloud first », la plupart des applications Cloud dont se servent les entreprises entrent dans la catégorie du Shadow  IT, un phénomène qui présente un risque pour les données sensibles.

Dans ce contexte, le Shadow IT désigne l'usage de services Cloud par les employés non autorisés, généralement dépourvus de contrôles de sécurité robustes, à l'insu du département informatique. Sur plus de 20 000 services Cloud utilisés aujourd'hui, moins de 8,1 % répondent aux exigences de sécurité et de confidentialité des données des entreprises.

Les entreprises sous-estiment bien souvent l'ampleur des services Cloud cachés auxquels les employés font appel.

D'après les données recueillies par Skyhigh auprès de plus de 30 millions d'utilisateurs à travers le monde, le Sahdow IT est 10 fois plus étendu que ne l'imaginent les départements informatiques.

Les entreprises peuvent atténuer les risques liés au Shadow IT en misant sur des solutions CASB (Cloud Access Security Broker) afin de bénéficier d'une visibilité et d'un contrôle accrus sur les services SaaS cachés, tout en maintenant la productivité des employés.

Voici les cinq principales façons dont une solution CASB aide les entreprises à contrôler l'utilisation de services Cloud cachés.

Identifier les services Cloud utilisés

Joel Mollo_Skyhigh Networks

Pour appréhender et éviter l'usage de services Cloud potentiellement à haut risque, la première étape consiste à déterminer l'étendue du Shadow IT dans l'entreprise.

Les solutions CASB collectent les logs des pare-feu et des proxies et analysent leur contenu, ce qui aide le département informatique à identifier les services Cloud utilisés par l'ensemble des employés et des unités opérationnelles, et à savoir lesquels ne répondent pas aux exigences de sécurité.

Pour détecter les services Cloud, les solutions CASB recueillent les données de log des pare-feu réseau et des proxies Web. Les outils SIEM (Security information and event management) simplifient le processus en permettant aux solutions CASB de compiler les logs provenant d'un canal spécifique plutôt que de sources multiples.

Les solutions CASB s'intègrent facilement avec la technologie SIEM via un connecteur sur site, les données des logs étant tokenisées avant leur transfert vers la plateforme afin de protéger les informations d'identification, comme les adresses IP et les noms d'utilisateur.

Évaluer le risque associé aux services Cloud

Les solutions CASB s'appuient sur les logs de pare-feu et de proxies pour détecter l'utilisation de services Cloud, car ils renferment un registre à jour et détaillé de tous les services Cloud.

La plupart des solutions CASB permettent également aux entreprises d'évaluer le danger associé à n'importe quel service Cloud en fournissant des scores de risque établis à partir de plus de 50 attributs et plus de 260 sous-attributs (service revendiquant la propriété des données transférées, service partageant des données client avec des tiers sans autorisation, cryptage des données stockées au repos, etc.).

Le recours à un registre contenant des renseignements à jour sur le Cloud accélère considérablement l'évaluation qu'effectuent les équipes de sécurité informatique avant d'autoriser les services Cloud.

La question de la propriété des données transférées vers le Cloud constitue un critère essentiel d'évaluation du risque d'exposition des informations sensibles.

Par exemple, certains services de conversion au format PDF revendiquent la propriété de chaque fichier téléchargé sur leur plate-forme. Un employé qui n'a pas conscience des dangers associés au service qu'il utilise pour gagner en productivité met en péril les données sensibles de l'entreprise.

L'analyse d'évaluation du risque est une composante fondamentale des solutions CASB dans la mesure où elle identifie les avantages et les risques liés à chaque service Cloud.

Appliquer des règles de gouvernance du Cloud

Une fois chaque service Cloud évalué, les équipes informatiques peuvent se servir des scores de risque fournis par la solution CASB pour définir des règles acceptables de gouvernance du Cloud.

La solution CASB s'intègre ensuite avec le pare-feu ou la passerelle Web sécurisée de l'entreprise pour appliquer les règles. Cette fonction est cruciale pour gérer le Shadow IT au sein de l'entreprise.

Elle permet de blacklister les services potentiellement dangereux et de promouvoir ceux qui peuvent s'avérer utiles, une approche qui limite les vulnérabilités des données et améliore la productivité des employés.

Les utilisateurs de solutions CASB classent généralement les services Cloud dans trois grandes catégories :

• les services autorisés par le département informatique, parmi lesquels des outils utiles, exploitables par toute l'entreprise et dotés de puissantes fonctions de sécurité;
• les services tolérés, utilisables par les employés, mais qui n'offrent pas les applications de sécurité ni l'efficacité des services autorisés;
•  les services interdits qui sont dépourvus du moindre mécanisme de sécurité de base ou présentent des clauses dangereuses pour l'entreprise.

Détecter l'exfiltration de données et les fuites au niveau du proxy

Avec une solution CASB, les entreprises peuvent analyser leur réseau afin de détecter tout malware susceptible d'utiliser le Cloud comme vecteur d'exfiltration de données, telles que des informations sensibles exposées via un compte Twitter privé.

Si la mise en place de règles de gouvernance des services Cloud cachés empêche le transfert de données sensibles vers des services non autorisés, prévenir l'exfiltration de données vers des services Cloud tolérés ou autorisés est tout aussi indispensable à une sécurité efficace du Cloud.

Les solutions CASB sont également en mesure d'identifier les menaces potentielles grâce à une protection basée sur l'apprentissage machine, un moyen d'empêcher les pirates et les malwares de se servir du Cloud en tant que vecteur d'attaque.

L'application de règles de gouvernance du Cloud via un parefeu de nouvelle génération (NGFW) ou une passerelle Web sécurisée comporte plusieurs limitations qui entraînent des lacunes au niveau de la couverture.

Premièrement, les adresses IP et les domaines utilisés par les services Cloud changent constamment, et les bases de données employées par ces solutions ne tiennent pas un registre complet ni à jour des services Cloud. Deuxièmement, les règles de gouvernance Cloud appliquées sur les dispositifs de sortie ne sont pas toujours normalisées à l'échelle mondiale, d'où des disparités en termes de couverture.

Enfin, les exceptions définies pour un individu ou un service spécifique peuvent très vite s'étendre et permettre à toute une équipe d'accéder à une catégorie entière de services Cloud. Les CASB détectent ces lacunes et s'intègrent avec les solutions de sortie pour les combler.

Bénéficier d'une visibilité granulaire et d'un contrôle au niveau de l'activité

Avec une solution CASB, les entreprises bénéficient d'une meilleure visibilité sur les activités des utilisateurs dans le Cloud. Elles peuvent en outre appliquer des contrôles granulaires au niveau de l'utilisateur, de l'activité et des données.

Contrairement aux cas d'utilisation précédents, qui tirent parti de l'intégration avec les parefeu et proxies, celui-ci s'appuie sur le proxy de transfert de la solution CASB.

Le mode proxy de transfert a recours à la technique SSL « Man In The Middle » pour vérifier le trafic Cloud et déterminer lequel peut être transféré aux employés. Cette solution offre un niveau de personnalisation supplémentaire puisqu'elle permet de choisir à un micro-niveau les référentiels d'un service utilisables ou non par les employés.

La solution CASB est non seulement capable d'identifier, d'évaluer et de gouverner les services Cloud, mais aussi de limiter l'exfiltration de données et d'appliquer des règles reposant sur des critères très précis. Grâce à l'approche CASB multidimensionnelle, les entreprises peuvent exploiter une grande diversité de services Cloud en toute confiance.

Par Joël Mollo, directeur Europe du Sud & Middle East, Skyhigh Networks

Lire également :

Sécurité Cloud : McAfee met un pied dans le CASB

Cybersécurité : le machine learning au top des tendances 2018, selon McAfee