D’ici quelques années, la grande majorité des organisations s’appuieront sur le cloud computing. Les grands services cloud compteront des dizaines de millions d’utilisateurs. Que se passe-t-il si l’un de ces services tombe en panne ou est piraté ?
« Du point de vue de la sécurité, la concentration des données est une arme à double tranchant. Les grands fournisseurs peuvent offrir une sécurité de pointe et une continuité d’activité en répartissant les coûts sur un grand nombre de clients. Cependant, en cas d’interruption de service ou de faille de sécurité, l’impact serait bien plus important, affectant un grand nombre d’organisations et de particuliers », explique le Dr Marnix Dekker.
Ces dernières années, de nombreuses défaillances ont affecté de grands sites web comptant des millions d'utilisateurs (par exemple, l'interruption de service causée par une erreur de programmation liée à une année bissextile). Ce rapport examine ces menaces dans l'optique de la protection des infrastructures critiques d'information (PICI) ; autrement dit, il analyse comment prévenir les cyberattaques et les perturbations informatiques de grande ampleur.
Les principaux enseignements du rapport sont les suivants :
• Infrastructures critiques : Très prochainement, la grande majorité des organisations utiliseront le cloud computing, y compris des secteurs critiques tels que la finance, l’énergie et les transports. Les services cloud deviennent eux-mêmes une infrastructure d’information critique.
• Catastrophes naturelles ou attaques par déni de service distribué (DDoS) : L’un des avantages du cloud computing réside dans sa grande résilience aux catastrophes naturelles et aux attaques par déni de service distribué (DDoS), difficiles à atténuer avec les approches traditionnelles (serveurs sur site ou centres de données individuels).
• Cyberattaques : En raison de la forte concentration d’utilisateurs et de données, les cyberattaques exploitant les vulnérabilités logicielles peuvent provoquer des violations de données affectant des millions d’utilisateurs. La redondance physique n’offre aucune protection contre les cyberattaques telles que les violations de données exploitant les faiblesses logicielles.
Le rapport formule également neuf recommandations à l'intention des organismes responsables des infrastructures d'information critiques. Parmi les points clés figurent : l'intégration de services cloud étendus dans les évaluations nationales des risques, le suivi des dépendances au cloud et une collaboration étroite avec les fournisseurs sur les programmes de signalement des incidents.
Le professeur Udo Helmbrecht, directeur exécutif de l'ENISA, a déclaré : « Le cloud computing est une réalité et nous devons donc nous préparer à prévenir les interruptions de service et les cyberattaques. Les stratégies européennes en matière de cybersécurité et de cloud computing constituent une feuille de route à cet effet. »
L'ENISA lancera un nouveau groupe de travail axé sur la protection des infrastructures d'information critiques (PIIC) et la sécurité du cloud public.
complet
et les recommandations : enisa.europa.eu/activities/Resilience-and-CIIP/cloud-computing/critical-cloud-computing/
Contexte : Plan d'action de la Commission sur la protection des infrastructures d'information critiques (PIIC)
, Stratégie de l'UE en matière de cybersécurité
