Outils et terminologie pour l'application des recommandations de l'ANSSI sur l'hébergement cloud
Considérez que les recommandations de l'ANSSI pour l'hébergement cloud s'articulent autour de trois éléments essentiels :
- Typologie des offres cloud : Différents types d'offres cloud sont disponibles et leur sélection doit correspondre aux besoins spécifiques de votre système d’information.
- État de la menace : L'évaluation des menaces potentielles est décisive pour déterminer le niveau de sécurité nécessaire.
- Nature des systèmes d’information : Selon la sensibilité des vos données et des traitements, les exigences de sécurité varient.
C’est la combinaison de ces éléments qui vous permettra de choisir l'offre cloud privé ou hybride la mieux adaptée pour la sauvegarde externalisée de votre système d’information.
Typologie des offres cloud selon l'ANSSI
L'ANSSI base ses recommandations sur deux principales catégories d'offres cloud : commerciales et non commerciales, chacune répondant à des besoins spécifiques. Sachez également que les types d'offres cloud privé, public ou hybride se distinguent avec les typologies IaaS, PaaS, CaaS et SaaS.
Offres cloud commerciales :
- Publique : Cloud mutualisé accessible à l'ensemble des clients.
- Privée : Cloud dont les ressources sont exclusivement dédiées à une seule entité.
- Communautaire : Cloud dédié à un groupe d'entités partageant des intérêts communs, qu'elles soient étatiques ou privées.
Offres cloud non commerciales :
- Interne : Cloud déployé en interne pour les besoins propres d'une entité, avec exploitation et supervision pouvant être assurées en interne ou par un sous-traitant.
- Communautaire : Cloud créé par des entités d'un même secteur avec leurs propres ressources.
En prenant en compte, cette distinction d’offres cloud, chaque entité sera plus facilement en mesure de choisir l'offre cloud la plus adaptée à ses besoins spécifiques et à son niveau de sécurité du système d'information requis.
Typologie des menaces selon l'ANSSI pour la migration cloud
La typologie des menaces en cybersécurité comprend trois catégories principales. L’ANSSI insiste sur l’évaluation nécessaire de l’état de la menace lors de la migration vers un cloud privé, cloud hybride ou cloud souverain. Pour comprendre l’état de la menace, prenez en compte ces typologies :
Menace stratégique :
- Type : Attaques persistantes, ciblées et menées par des États. Utilisation de moyens techniques et organisationnels importants.
- Application : Espionnage, pré-positionnement, déstabilisation (sabotage informatique, divulgation de données).
- Particularité : Lois extraterritoriales facilitant l'accès aux données sans attaque directe.
Menace systémique :
- Type : Attaques opportunistes à des fins lucratives (ransomwares, fraudes).
- Application : Prolifération d'outils et services offensifs, utilisés pour l'espionnage industriel ou l'intelligence économique.
- Particularité : Menaces touchant une large proportion d'entités.
Menace hacktiviste ou isolée :
- Type : Attaques menées par des individus ou groupes à des fins de déstabilisation (vengeance, idéologie).
- Application : Utilisation de moyens variés : DDoS, fuites de données.
- Particularité : Comprend des individus avec accès privilégié ou utilisant des outils peu sophistiqués.
Nature des systèmes d’information selon l'ANSSI pour l’hébergement cloud
Votre système d’information fait partie des suivants ? :
- Systèmes d’information sensibles de l’État,
- Opérateurs de services essentiels (OSE),
- Réseaux de diffusion restreinte.
Si oui, vous faites partie des cibles privilégiées pour les attaques à des fins d’espionnage ou lucratives. En conséquence, l’ANSSI souligne l’importance de connaitre la nature de votre système d’information et des données qu’il contient.
Typologie des systèmes d’information
- Systèmes d’information de niveau diffusion restreinte (DR) : Traitent des données à diffusion restreinte.
- Systèmes d’information sensibles relevant de la doctrine cloud au centre de l’État : Traitent des données sensibles selon la circulaire "cloud au centre".
- Systèmes d’information d’importance vitale (SIIV) : Leur atteinte pourrait diminuer significativement le potentiel de guerre ou économique, la sécurité nationale, ou présenter un danger grave pour la population.
Ces catégories toutes les organisations à déterminer les exigences de sécurité spécifiques nécessaires pour la migration vers le cloud privé, en tenant compte de la sensibilité et de l'importance des données traitées.
SecNumCloud : un rappel sur le référentiel et la qualification
Si vous êtes processionnel de l’informatique, vous le connaissez sûrement : le référentiel SecNumCloud.
Pour rappel, le référentiel établit des règles de sécurité et des bonnes pratiques d’hygiène informatique pour garantir un haut niveau d'exigence technique, opérationnel et juridique. La qualification SecNumCloud, basée sur ce référentiel, est attribuée à des offres cloud (cloud privée, cloud hybride...) reconnues pour leur fiabilité.
Cette qualification assure que les offreurs cloud respectent des pratiques de sécurité rigoureuses, mais elle ne garantit pas la sécurité des services numériques des clients utilisant ces offres.
Le "Visa de sécurité" SecNumCloud permet d'identifier les offres cloud qui protègent les données sensibles contre les menaces cybercriminelles et les lois extraterritoriales. En plus, sachez que cette qualification facilite les processus d'homologation des services numériques des entités clientes, en offrant des garanties sur les infrastructures utilisées.
