Partenaires & experts

Tester plus souvent, voire en permanence, et corriger rapidement ce qui est détecté, c’est inscrire la sécurité dans la logique de l’agilité et du Fast Delivery. C’est le mouvement naturel de l’IT d’aujourd’hui !

Ce qui pousse aujourd’hui beaucoup d’entreprises à faire le choix du Cloud et de l’Infrastructure-as-Code, c’est que dans cette approche, il s’avère beaucoup plus simple de vérifier la sécurité des infrastructures et de les tester au « fil de l’eau ».

Avec l’IaC, il devient par exemple possible, en quelques clics, de répliquer toute une infrastructure pour la déployer temporairement à des fins de test. Et ce, en s’affranchissant de tous les risques liés aux process qui nécessitent beaucoup d’actions humaines… et sans mobiliser de moyens coûteux, le principe étant celui du paiement à l’usage. 

De plus, dans la mesure où les ressources sont modifiables et requêtables de façon automatisée, les équipes RSSI ont la possibilité de « s’abonner », c’est-à-dire de recevoir systématiquement des notifications dès lors que certaines modifications sont effectuées. On peut ainsi décider que toute modification identifiée (de façon automatique) comme non conforme aux règles de sécurité de l’entreprise sera automatiquement bloquée et notifiée aux personnes concernées.

L’idée est d’agir vite : bloquer seulement en quelques minutes, et alerter immédiatement le développeur pour qu’il revoie sa copie avant la mise en production. Sachant que si l’on ne détecte les non-conformités que quelques jours ou quelques semaines plus tard, il sera évidemment beaucoup plus complexe de revenir sur ce qui a été fait.

Tester plus souvent, voire en permanence, et corriger rapidement ce qui est détecté, c’est inscrire la sécurité dans la logique de l’agilité et du Fast Delivery. C’est le mouvement naturel de l’IT d’aujourd’hui !

Il faut souligner que les outils qui permettent cette « agilité sécurisée » ne sont pas forcément complexes ni coûteux à mettre en place (il s’agit des deux freins les plus fréquemment soulevés, a fortiori dans la perspective d’avoir à les opérer ensuite durant toute la vie de la plateforme). Une fois le projet lancé, et même s’il y a un vrai enjeu de conduite du changement et de formation des équipes, les résultats se font sentir rapidement. En cela, la configuration Cloud / IaC représente une réelle opportunité pour aller plus loin en matière de cybersécurité.

Matthieu Bouthors, Security Solutions Architect, Amazon Web Services