la sécurité des données dans le cloud
TRANSCRIPT
Thèse professionnelle année 2012
La sécurité des données dans le Cloud
Computing.
Présenté devant :
L’Exia.cesi de Saint -Nazaire
Pour obtenir :
Le diplôme de Manager des systèmes d’Information
Par :
Robin Pichon-Varin, responsable en ingénierie systèmes et
réseaux.
« Comment s’assurer que les données d’une entreprise sont sécurisées
au sein d’une infrastructure informatique de type Cloud Computing ? »
Directr ice de thèse : Delphine Valay
Soutenue le 18 juin 2012
Page 2 sur 45
Page 3 sur 45
Table des matières 1. Problématique ............................................................................................................ 5
2. Introduction ................................................................................................................. 5
3. Historique ...................................................................................................................... 5
4. Le Cloud Computing ................................................................................................ 7
4.1 Les principes fondamentaux du Cloud Computing ................................ 7
4.1.1 Qu’est-ce que le Cloud Computing .......................................................... 7
4.2 D’où provient cette volonté du changement ...................................... 12
4.2.1 Les raisons financières ................................................................................. 12
4.2.2 Multiplication des machines virtuelles dans les datacenters privés. ... 13
4.3 Les enjeux de la mise en place du Cloud Computing ......................... 14
4.3.1 Economiques (investissements et économies) ....................................... 14
4.3.2 Organisationnel ........................................................................................... 17
4.3.3 Techniques ................................................................................................... 17
4.3.4 Productivité .................................................................................................. 18
4.4 La répartition par type de déploiement.................................................. 20
4.4.1 SaaS ............................................................................................................... 20
4.4.2 Paas ............................................................................................................... 21
4.4.3 Témoignage Talentsoft ............................................................................... 22
4.5 Les inconvénients du Cloud Computing ................................................. 24
5. Développement de la problématique .............................................................. 25
5.1 Qu’est-ce que la sécurité dans le Cloud ? ............................................. 25
5.1.1 Quels sont les freins à une migration vers le Cloud ? ............................ 25
5.1.2 Comment choisir entre Cloud Public ou Cloud Privé pour maitriser sa sécurité ? 26
5.2 Comment la sécurité est-elle assurée dans le nuage ? ........................ 26
5.2.1 La sécurité physique ................................................................................... 27
5.2.2 La sécurité logique ...................................................................................... 28
5.2.3 La sécurité de la donnée ........................................................................... 29
5.2.4 Les associations et certifications (CSA / SAS / Syntec) .......................... 30
6. Réponse à la problématique ............................................................................... 33
7. Conclusion ................................................................................................................. 41
8. Bibliographie .............................................................................................................. 43
9. Table des illustrations ............................................................................................... 44
10. Glossaire ..................................................................................................................... 45
Page 4 sur 45
Page 5 sur 45
1. Problématique
Comment s’assurer que les données d’une entreprise sont sécurisées
au sein d’une infrastructure informatique de type Cloud Computing ?
2. Introduction
Le Cloud Computing va inonder les entreprises dans les années qui
arrivent. Il tire son essence des technologies grand public présentent sur
internet, comme les messageries en ligne, la messagerie instantanée et
les réseaux sociaux (Facebook, LinkedIn…). Les entreprises vont
l’adopter. Pourquoi ? Probablement pour l’intérêt de la souplesse, de la
sécurité et des économies qu’il procure. Le Cloud permettra de
disposer de l’outil informatique aussi facilement que de l’électricité.
Une première partie de ce mémoire sera consacrée à la description
des technologies associées au Cloud Computing ainsi que ses enjeux
dans les entreprises. De nombreux comparatifs et études seront
présentés pour comprendre le positionnement de cette technologie
au sein des DSI1.
La seconde partie sera consacrée à la réponse à la problématique. La
solution sera présentée sous forme de bonnes pratiques concernant la
sécurité des données dans les infrastructures informatiques de type
Cloud Computing.
3. Historique
Le Cloud Computing correspond à la cinquième génération
d’infrastructures informatiques depuis les mainframes des années 1970.
Le concept de louer de la puissance de calcul associée à du stockage
date de la fin des années 1990 avec les premières offres de
« Computing On Demand ». Amazon, leader du E-business et
1 DSI : direction du système d’informations
Page 6 sur 45
Salesforce.com, pionnier du Computing On Demand et des CRM en
ligne ont introduit le nom de Cloud Computing en 2002.
En effet, Amazon avait investi dans un parc important de serveurs cette
année-ci afin d’absorber la charge importante de commandes de
Noël, mais inutilisée le reste de l’année. Sous-dimensionner le parc
informatique aurait causé des indisponibilités du site marchand et donc
une perte d’argent considérable. Leur idée fut alors de proposer les
ressources inutilisées aux entreprises pour qu’elles les louent à la
demande.
Figure 1 : historique des modèles d'infrastructures
1970 : mainframe
1980 : client serveur
1990 : web
2000 : SOA
2010 : cloud computing
Page 7 sur 45
4. Le Cloud Computing
4.1 Les principes fondamentaux du Cloud Computing
4.1.1 Qu’est-ce que le Cloud Computing
Tout d’abord, il convient de définir le terme « Cloud Computing » d’une
manière générale.
Le Cloud Computing consiste à fournir des capacités externalisées de
traitement informatique sous la forme d’un service à la demande,
évolutif et élastique auquel l’utilisateur accède grâce à un accès
internet, sans avoir à gérer l’infrastructure sous-jacente qui est
administrée par un tiers spécialisé.
Il est intéressant de connaitre la définition américaine du Cloud
Computing selon le NIST 2 (National Institute for Standards ans
Technology). Cet organisme est considéré comme le référent principal
en matière de standardisation liée au Cloud.
« Modèle permettant un accès facile et à la demande, via le réseau,
à un pool partagé de ressources informatiques configurables (par
exemple, réseaux, serveurs, stockages, applications et services) qui
peuvent être rapidement mises à disposition des utilisateurs ou libérées
avec un effort minimum d’administration de la part de l’entreprise ou
du prestataire de service fournissant les dites ressources. Ce modèle est
hautement disponible et est composé de cinq caractéristiques
essentielles, de trois modèles de service (niveau de services) et de
quatre modèles de déploiement (types de cloud)».
Les cinq caractéristiques du Cloud Computing
Libre-service à la demande par le réseau : les services de type Cloud
doivent être accessibles à travers un réseau d’entreprise (externe ou
interne) par le biais de technologies standards qui permettent une
utilisation depuis la plupart des terminaux (ordinateurs, client légers,
serveurs, smartphones, tablettes etc.).
2 NIST : institut américain de standardisation
Page 8 sur 45
Flexibilité du système d’information : l’utilisateur final peut provisonner3
facilement et rapidement les ressources dont il a besoin et en disposer
quasi-immédiatement sans devoir les configurer préalablement. Ainsi,
les besoins métiers, les changements structurels ou organisationnels et
les exigences de délai de mise sur le marché dans les entreprises sont
satisfaits très rapidement.
Ressources mutualisées pour contrôler les coûts : les ressources en
nuage sont mises en commun et mutualisées afin de servir de multiples
utilisateurs. Cette mutualisation peut intervenir à de multiples niveaux
qu’il s’agisse des ressources physiques (serveurs, stockage, réseau) ou
des ressources applicatives (mutualisation des bases de données,
serveurs d’applications, serveurs web…). Ces dernières sont réallouées
de façon dynamique en fonction de la demande sans que l’utilisateur
n’ait à effectuer quelque opération que ce soit. Chaque utilisateur est
ainsi assuré de l’atteinte des objectifs de performances définis dans le
cadre de son contrat.
Pour résumé le principe du contrôle des coûts grâce à la mutualisation
des ressources, j’ai relevé un propos de Bernard Ourghanlian de chez
Microsoft au Techdays : « Ainsi, la capacité de traitement qui n’est pas
utilisée en Europe la nuit, peut être allouée à des entreprises
américaines. De même, le fait de disposer d’une infrastructure
gigantesque permet à Noël d’absorber les pics de charges des e-
marchands, puis au printemps des sociétés de comptabilité et d’audit,
puis en été des voyagistes. »
Elasticité des ressources : de nouvelles capacités peuvent être
automatiquement mises à disposition des utilisateurs en cas
d’accroissement de la demande et peuvent être facilement mises en
sommeil lorsqu’elles ne sont plus requises. Pour l’utilisateur final, la
capacité du nuage doit sembler infinie et disponible à tout moment. Le
nuage doit pouvoir absorber un pic de charge ponctuel ou des
applications de calcul intensif que le coût d’une infrastructure interne
aurait rendu impossible sans le cloud. Chaque entreprise ou utilisateur
est ainsi assuré de l’atteinte des objectifs de performance définis dans
le cadre de don contrat.
3 Instancier, attribuer des ressources à un client
Page 9 sur 45
Facturation à l’usage ou gratuité : la consommation des ressources
dans le Cloud s’adapte au plus près des besoins des utilisateurs. Les
services du Cloud intègrent des mécanismes avancés de suivi de la
consommation qui permettent de facturer les utilisateurs en fonction
de ce qu’ils consomment réellement. Dans le cloud d’infrastructure on
paie ainsi au nombre de cœurs processeurs consommés, à la quantité
de mémoire utilisée, au nombre d’opérations d’entrées/sorties
effectuées ou à la quantité de données stockée. Dans le cloud de
Software As A Service, telle une messagerie hébergée, on paie au
nombre d’utilisateurs qui utilisent la ressource (exemple : 6 boites aux
lettres à 1.90€/mois soit 11.40€)
Les trois modèles de service
Actuellement, trois modèles d’usage du Cloud existent. Le Cloud
d’Infrastructure (Infrastructure As a Service), le cloud applicatif
(Platform As a Service) et le logiciel à la demande (Software As a
Service).
Infrastructure as a Service
Le fournisseur ne délivre que la machine virtuelle vierge et son
infrastructure sous-jacente, très largement automatisée. Ce socle est
composé d’un ensemble de ressources : réseau, serveurs et hyperviseur
accessibles de façon granulaire. L’intérêt du IaaS est de pouvoir
déporter le datacenter à l’extérieur de l’entreprise et de délester le
service informatique de la maintenance matérielle. Cependant en cas
de pic de charge ou de défaillance sur un serveur, le DSI conserve ses
responsabilités et doit installer un nouveau serveur ou régler une
incompatibilité logicielle. De ce fait, les bénéfices retirés sont restreints
par rapport aux capacités du Cloud.
Structures visées : Banques, Assurances, gouvernements, institutions
manipulant des données publiques.
Profils techniques visés : ingénieurs systèmes
Platform as a Service
Le PaaS fournit une plateforme applicative prête à l’emploi pour les
développeurs et les utilisateurs. Les utilisateurs n’ont plus à se soucier du
système d’exploitation ou de la charge. Cette solution est idéale pour
développer et exécuter des applications. La responsabilité du
fournisseur est intermédiaire. Azure de Microsoft ou Sales.com de
Salesforce sont des services PaaS actuellement très utilisés.
Page 10 sur 45
Structures visées : SSII, centres de calcul de données brutes, toutes les
sociétés qui ont des besoins importants en développement logiciel.
Profils techniques visés : développeurs, techniciens informatiques.
Software as a Service
Le fournisseur délivre un produit fonctionnel clé en main. L’utilisateur ne
requiert pas de connaissances en informatique. Il ne se préoccupe ni
de la plateforme infrastructure (matériel, pics de charge), ni de la
plateforme logicielle (système d’exploitation, comptabilité, mise à jour).
L’utilisateur achète une fonction qu’il consomme à la demande, par
exemple une boite aux lettres, un ERP ou une solution de gestion de la
relation client. Office 365 de Microsoft et ZOHO.
Les avantages de ce modèle sont la délégation quasi-totale des
responsabilités et le niveau de performance délivré. Cependant il est
indispensable d’accorder une confiance totale à son hébergeur,
notamment quant à la sécurité des données.
Figure 2:Les niveaux de responsabilité des fournisseurs et des utilisateurs (rouge : le fournisseur
de cloud / bleu : les clients)
modèle classique
Applications
Runtimes
intégration SOA
Bases de données
systèmes d'exploitation
virtualisation
matériel serveur
stockage
réseau
Infrastructure as a Service
Applications
Runtimes
intégration SOA
Bases de données
systèmes d'exploitation
virtualisation
matériel serveur
stockage
réseau
Platform as a Service
Applications
Runtimes
intégration SOA
Bases de données
systèmes d'exploitation
virtualisation
matériel serveur
stockage
réseau
Software as a Service
Applications
Runtimes
intégration SOA
Bases de données
systèmes d'exploitation
virtualisation
matériel serveur
stockage
réseau
Page 11 sur 45
Les modèles de déploiement
Le Cloud privé interne
Le Cloud privé interne est hébergé par l’entreprise et est parfois
partagé avec les filiales de ladite entreprise. En d’autres termes,
l’entreprise est propriétaire de son Datacenter.
Le Cloud privé externe
Il est hébergé chez un tiers et est entièrement dédié à l’entreprise et
accessible par des liaisons sécurisées de type VPN4.
Le Cloud public
Le cloud public est hébergé et administré par un prestataire externe.
Les ressources sont souvent partagées entre plusieurs entreprises.
Le cloud hybride
Il associe pour une même entreprise un cloud privé et un cloud public.
Le cloud communautaire
Il est dédié à une communauté professionnelle spécifique incluant
l’ensemble des collaborateurs, sous-traitants… Il permet le travail
collaboratif sur un même projet. On l’appelle aussi cloud
gouvernemental pour les institutions étatiques.
Afin de comprendre le reste du propos et l’intérêt du cloud Computing,
il faut le différencier de l’externalisation traditionnelle connue depuis
plusieurs années par les fournisseurs.
Quelle différence entre le cloud et l’externalisation
Le Cloud et l’externalisation telle que les hébergeurs la pratiquent
depuis longtemps ont des points communs. La plupart des hébergeurs
proposaient avant le cloud, de la location de serveurs dédiés
accessibles par internet, mais il n’y avait pas alors de virtualisation et
d’automatisation. Ces serveurs n’étaient pas redimensionnables à
souhait, car ils étaient physiques. Le cloud est donc une évolution de
l’externalisation des SI au début des années 2000.
4 VPN : réseau privé virtuel permettant d’accéder à un réseau local à travers internet.
Page 12 sur 45
4.2 D’où provient cette volonté du changement ;
pourquoi les entreprises souhaitent-elles héberger
leur infrastructure informatique dans le nuage ?
Selon Brocade, 60% des grandes entreprises pensent migrer
partiellement ou totalement sur le Cloud d’ici fin 2012 et ce pour
réduire les coûts et gagner en flexibilité. Pour compléter cette donnée,
il faut noter que 75% des applications des datacenters existants seront
virtualisées d’ici à 2013 selon Gartner.
Le marché du Cloud devrait croitre de 26% entre 2009 et 2014.
Figure 3 : adoption croissante du modèle SaaS entre 2007 et 2010 (Gartner)
4.2.1 Les raisons financières
En 2013, les dépenses liées au Cloud représenteront 10% des
investissements informatiques mondiaux et le marché passera de 68 M$
à 150M$ en 2014.
Figure 4 : investissement dans le Cloud Computing en Europe
Page 13 sur 45
Le Cloud Computing va permettre de booster les PME. Environ 70% des
PME déclarent utiliser un logiciel hébergé dans le nuage et 40% d’entre
elles annoncent avoir enregistré une croissance de leur chiffre
d’affaires supérieure à 30% sur 12 mois. Beaucoup d’applicatifs métiers
tels que les CRM qui leur étaient inaccessibles sur une architecture
standard deviennent financièrement et techniquement abordables.
4.2.2 Multiplication des machines virtuelles dans les datacenters
privés.
Par ailleurs, un autre point très important pousse les entreprises à
s’intéresser au Cloud : la multiplication des machines virtuelles
hébergées dans infrastructures traditionnelles. Beaucoup d’entreprises
ont commencé à virtualiser une partie de leur production informatique
depuis les années 2005. Cette première phase de virtualisation s’est
effectuée dans le cadre de plans de consolidation se serveurs
obsolètes ou pour pallier à des manques d’espaces mais la prochaine
étape va consister à hautement automatiser les datacenters car les
bénéfices et possibilités des consolidations par virtualisation arrivent à
leurs limites en production.
La multiplication du nombre de machines virtuelles va notamment
compliquer l’administration des parcs et des problématiques de
gestion du cycle de vie des machines virtuelles va apparaitre.
Beaucoup de DSI s’accordent à dire qu’il va falloir déporter une partie
des SI dans des datacenters virtualisés du nuage afin de tirer
pleinement parti de la flexibilité qu’offre le cloud en matière
d’administration et gestion des cycles de vie.
Gartner préconise d’industrialiser les procédures d’administration des
VM (virtual machines) dans les datacenters d’entreprises puis
d’envisager une architecture semi-déportée dans le Cloud (cloud
hybride).
Page 14 sur 45
4.3 Les enjeux de la mise en place du Cloud
Computing
4.3.1 Economiques (investissements et économies)
Figure 5 : critères de l'efficacité d'un système d'information selon des DSI (Forrester Research)
Au vu de cette étude menée en 2008 et en 2010 par Forrester, on
constate que 58% des décideurs informatiques considèrent que la
réduction des coûts dans l’IT est un critère essentiel à une efficacité
dans la gérance d’un SI contre 47% en 2008. La tendance dans les SI
est donc à une réduction des coûts de production.
Les avantages économiques du Cloud Computing par rapport aux
autres solutions.
Le Cloud Computing combine les avantages économiques des
mainframes et de l’informatique client/serveur. L’ère du mainframe fut
caractérisée par des économies significatives uniquement à grande
échelle car ils nécessitent du personnel qualifié et coutent cher à
l’achat.
Plus les besoins en puissance sont importants mesurés en MIPS5, plus les
couts décroissent vite. Cependant, seules les grosses organisations
avaient les ressources et les besoins nécessaires pour justifier de tels
investissements. Du à ces hauts couts d’utilisation, l’utilisation des
ressources est priorisé sur la flexibilité de l’utilisateur final. Les requêtes
5 MIPS : millions d’instructions par seconde
Page 15 sur 45
des utilisateurs étaient mises en file d’attente et calculés seulement
lorsque les ressources étaient disponibles.
Avec l’apparition des architectures client/serveur, les couts à l’achat
ont été significativement réduits et les ressources sont devenues plus
faciles à utiliser et à maintenir. Cette modularité a permis de facilement
délivré des services IT à tous niveau et de rendre plus flexible l’utilisation
des ressources par les utilisateurs finaux.
Cependant, il devait y avoir des concessions à faire lors de l’utilisation
de ce type d’architectures : les datacenters augmentaient en taille
pour le moindre besoin de puissance, mais ceux-ci utilisant en
régulation seulement 5 à 10% de leur capacités.
Le Cloud n’est pas un retour à l’ère des mainframes mais en fait, il
procure aux utilisateurs une diminution des coûts pour une meilleure
efficacité qu’un mainframe, couplé avec la flexibilité et la modularité
de l’architecture client/serveur, ainsi éliminant les compromis entre les
deux.
Figure 6: Comparatif du cout par MIPS (millions d’opérations par seconde) en fonction du
volume selon le type d’architecture n-tiers. (Microsoft)
Infrastructure multi-locative
Une infrastructure multi-locative consiste à développer les couches
logicielles de sorte à ce qu’une même instance d’un logiciel et sa base
de données soient partagés pour plusieurs utilisateurs (multi-threading6).
6 Multi-threading : séparation d’un processus en plusieurs threads (instructions) pour paralléliser
son traitement par le processeur.
Page 16 sur 45
De plus cette technique de développement permet d’isoler les
données par des systèmes d’encapsulation7 et de protection afin que
la confidentialité soit garantie.
Les Infrastructures multi-locatives permettent d’économiser de la
puissance de calcul et des licences logicielles en partageant un même
logiciel avec une base de données unique et une infrastructure
partagée.
Figure 7:Evolution du TCO8/serveur sur le nombre total de datacenters de Cloud Public.
Le Cloud créateur d’emplois
Selon Frederico Etro, chercheur-enseignant d’économie à l’Université
de Milan a estimé que le cloud computing allait directement permettre
la création de plus de 100000 entreprises en Europe soit plus de 1.5
millions d’emplois. Rien qu’en France jusqu’en 2016, entre 9000 et 48000
entreprises vont être créées grâce au nuage, soit la création de 31000
à 154000 emplois.
7 Encapsulation : donnée insérée dans une autre donnée grâce à un système d’en-têtes et de
données de queue.
8 TCO : coût total de possession ou coût total du cycle de vie
Page 17 sur 45
4.3.2 Organisationnel
Dans le passé, les services métier ne reposaient que sur des ressources
informatiques entièrement détenues par leurs fournisseurs respectifs, ce
qui tendait à compartimenter leur gestion dans des domaines tels que
la gouvernance des systèmes, des réseaux, de la sécurité et de
l'infrastructure informatique. Avec le cloud computing, l'architecture
des services métier franchira la limite de l'entreprise et deviendra une
composition de divers attributs gérés séparément au sein des différents
domaines. L'extension de la portée des fonctionnalités des solutions de
gestion d'infrastructure informatique traditionnelles à ce modèle ne
suffira pas.
4.3.3 Techniques
Développer et tester dans le cloud
Les services de cloud computing actuels sont idéaux pour développer
et tester des projets. Ils permettent l'achat rapide des ressources
nécessaires, de l'infrastructure aux outils et couches de
développement. Une fois terminés, vos applications ou services
peuvent être hébergés par le fournisseur du service de cloud
computing ou rapatriés pour une utilisation ultérieure.
Utiliser les meilleurs services de cloud computing
Après avoir créé un cloud interne et acquis le niveau de confiance
requis pour utiliser des services de cloud computing externes, l'étape
suivante consiste à créer un cloud hybride. Il est important de mettre
en place les solutions de gestion adéquates pour assurer le contrôle
des ressources externes utilisées et respecter les accords financiers
établis avec les fournisseurs de services de cloud computing. Ces
solutions de gestion doivent assurer la propagation des mises à jour
effectuées dans le cadre de la gestion des changements aux
ressources externes, ce qui inclut les mises à jour des identités et des
règles. Dans le modèle du cloud hybride, les ressources informatiques
et les données sont transférées entre des emplacements sur site, à
proximité du site et hors site. Les solutions de gestion doivent centraliser
la gestion de ces emplacements et assurer le transfert, l'activation et la
protection en bonne et due forme des ressources informatiques et des
données. L'objectif est de traiter le cloud hybride comme s'il s'agissait
d'un grand pool de ressources, l'utilisateur ignorant l'existence de
ressources sous-jacentes appartenant à un fournisseur.
Page 18 sur 45
La reprise après sinistre dans le cloud
L'utilisation d'un cloud interne ou externe peut optimiser les procédures
de reprise après sinistre. Ce modèle élimine les serveurs de secours
redondants ou l'utilisation de services d'infogérance coûteux
promettant le retour en ligne dans un certain délai, au moins pour
certains types d'application. L'externalisation des procédures de reprise
après sinistre hors site réduit le coût élevé de la maintenance des sites
de secours. La virtualisation ne garantit pas, à elle seule, l'intégration
des serveurs virtuels aux plans de reprise après sinistre. Des services de
sauvegarde pour le cloud computing permettent d'y intégrer les
machines virtuelles, avec une approche de la reprise après sinistre
centrée sur l'application. De plus, les connexions entre les fournisseurs
de services de cloud computing peuvent permettre la réplication des
données entre eux.
Des solutions de gestion aideront à utiliser au mieux ces services de
cloud computing externes et à les intégrer aux procédures existantes
de sauvegarde et de reprise après sinistre.
Ces solutions doivent exploiter des technologies telles que celles de
sauvegarde image et clichés au niveau des volumes. La déduplication
des données est, elle aussi, importante en raison de la dichotomie
entre la quantité de données à transférer et les tuyaux en place pour
les transporter.
4.3.4 Productivité
Les enjeux en termes de productivité seront ici présentés sous forme de
témoignage d’un entrepreneur spécialisé dans l’anticipation des
variations d’approvisionnement pour les hypermarchés.
Joannes Vermorel avait conclu, suite à un stage chez AT&T que le
traitement des données devenait de plus en plus fin grâce aux
capacités de traitement informatique grandissantes et surtout rendues
facilement accessible et n’importe où.
Il s’est intéressé aux sociétés de distribution dont l’activité est
principalement basée sur l’anticipation de la mise en distribution de
produits. Depuis toujours, les analyses statistiques permettent cela mais
uniquement produit par produit et à une échelle restreinte (par
magasin ou par enseigne). Lokad, a donc créé un modèle croisant les
informations de tous les produits, dans toutes les enseignes sur une
période donnée afin d’en dégager des cycles de ventes précis.
L’ensemble des paramètres à prendre en compte sont donc
considérables ; ils représentent plusieurs millions de chiffres bruts à
Page 19 sur 45
mettre en corrélation en permanence. D’autant que la durée de vie
d’un produit est d’en moyenne 3 ans et que ces calculs doivent être
très rapidement effectués pour être intéressants pour les industriels. On
peut difficilement imaginer pouvoir traiter tant de données en si peu de
temps avec une infrastructure de calcul standard.
Le recours à une solution dans le cloud s’est donc très vite imposé.
Lokad a parfois besoin de traiter en moins d’une heure des données
qui arrivent en fin de journée, afin que son client décide des produits à
charger dans les camions qui quitteront le lendemain matin son dépôt
à destination des magasins.
Ces pics de charge sont facilement absorbés par le Cloud Computing
grâce à sa flexibilité et la rapidité d’instanciation de clusters pour
disposer de puissance supplémentaires. Bien évidemment, chez Lokad
tout ceci est automatisé pour pouvoir assurer une continuité de service
irréprochable à ses clients.
D’après son créateur, Loka n’aurait pu exister sans le cloud computing.
La haute disponibilité à un prix raisonnable était un pré requis pour
Lokad qui ne pouvait s’offrir à des débuts une infrastructure
traditionnelle de puissance équivalente. Ils devaient aussi pouvoir
absorber une forte montée en charge en l’espace d’une heure. Le
Cloud Computing le leur a permis. Ils ont permis à leurs clients de
diminuer en moyenne de 35% le taux d’erreurs de stock dans les
magasins.
Le cloud bursting
Le « cloud bursting » désigne la capacité à utiliser des services de cloud
externes à court terme, en fonction des besoins. C'est une façon pour
d'étendre une infrastructure informatique interne existante ou un cloud
interne. Par exemple, si une capacité de calcul supplémentaire doit
être disponible relativement rapidement pour une période courte, vous
pouvez la louer à un fournisseur de services de cloud computing et
mettre fin au contrat lorsque vous n'en avez plus besoin. Cette option
est très pratique pour faire face aux pics de trafic saisonniers ou
engendrés par des événements particuliers, qui saturent votre
infrastructure informatique existante mais ne justifient pas l'achat de
matériel et de logiciels supplémentaires qui, pour la plupart, ne seront
plus utilisés ensuite. Les ressources sont acquises auprès du fournisseur
de services de cloud computing, sécurisées, mises à disposition et
ajoutées à des répartiteurs dynamiques de charge pour assurer leur
Page 20 sur 45
capacité à absorber les demandes supplémentaires. Le tout peut être
déclenché par un accord ou une planification, ou au cas par cas.
L’innovation par le Cloud
Le nuage donne la possibilité aux entreprises de créer de nouveaux
produits dans des environnements automatisés et prêt à l’emploi à des
prix très faibles. En clair, cela donne le droit à des start-up d’essayer
leurs idées grandeur nature sans que cela impacte l’avenir de
l’entreprise en cas d’échec. En effet, les start-ups spécialisées dans les
nouvelles technologies n’ont pas les moyens financiers, ni le temps de
s’occuper de la maintenance de leur environnement de production.
Le nuage est d’autant plus déterminant dans la réussite d’un projet,
qu’il s’accommode des incertitudes qui caractérisent tout projet
innovant. Par exemple, les réseaux sociaux sont pour la plupart
hébergés dans le cloud et il est toujours difficile à l’avance d’estimer le
succès que va rencontrer une nouvelle application ou une nouvelle
fonctionnalité. Dans une infrastructure de datacenter traditionnel, sous
dimensionner la capacité de calcul pour absorber un trafic important
entrainerait des pertes d’argent considérables. Quant au sur
dimensionnement, il peut drastiquement faire augmenter la facture
d’hébergement. Avec le cloud, les pics à la hausse comme à la baisse
ne posent aucun problème, ni financier ; vous payez ce que vous
consommez, ni technique, le provisionnement et le déprovisionnement
se font selon la charge.
4.4 La répartition par type de déploiement
4.4.1 SaaS
Selon Gartner, 90% des entreprises utilisent des applications en mode
SaaS ou envisagent de le faire dans les 12 mois qui suivent. C’est une
opportunité pour les PME notamment d’externaliser leurs services non
critiques en termes de souveraineté des données telles que la
messagerie, qui est une source de problèmes récurrents dans une
architecture standard et qui monopolise beaucoup les directions
informatiques.
Le SaaS permet aux DSI de consacrer davantage de temps sur le
développement des services métiers en laissant l’hébergeur la
responsabilité de fournir un haut niveau de disponibilité d’une
application indispensable telle que la messagerie, des services de
calendriers partagés ou des plateformes de support utilisateur.
Page 21 sur 45
Dans la plupart des entreprises, les DSI consacrent plus de temps à
maintenir des services qui sont censés être hautement disponibles,
donc quasi-dépourvus de maintenance curative, qu’à faire évoluer les
applicatifs métiers, gérer des projets complexes et accompagner les
utilisateurs dans le changement.
C’est dans ce cas que le Cloud computing peut s’avérer indispensable
pour délester le travail et la responsabilité des services informatiques, et
ce à des coûts connus et maitrisés sous forme d’abonnements
mensuels par utilisateurs.
4.4.2 Paas
Le PaaS est un véritable système d’exploitation dans le nuage et
optimisé pour le nuage. Il permet aux développeurs de se concentrer
sur le développement de leurs applications sans se soucier de
l’infrastructure.
Le PaaS est pour le moment moins connu que le SaaS mais son intérêt
qu’il suscite auprès des entreprises est grandissant. D’après l’institut CA
Technologies-IDC, 52% des décideurs informatiques connaissent le
concept de PaaS.
La mission du PaaS est de permettre aux directions informatiques de se
concentrer sur la valeur ajoutée des applications développées en non
sur l’infrastructure. Les DSI de développement par exemple pourront
réduire leurs coûts matériels, humains et de maintenance de manière
substantielle.
L’autre intérêt du PaaS est de fournir un ensemble de services associés,
à savoir l’hébergement, l’intégration technique, le contrôle de
disponibilité et la persistance des données afin d’améliorer la stabilité
et la disponibilité. Le PaaS ouvre de nouveaux horizons en créant des
environnements de travail innovant et de capacité quasi-infinie.
Le DSI sera libéré des contraintes de maintenance sur l’infrastructure
physique lui permettant de se focaliser sur des tâches à forte valeur
ajoutée, alignées sur les enjeux de l’entreprise.
Page 22 sur 45
4.4.3 Témoignage Talentsoft
TalentSoft est le leader français dans la Gestion Intégrée des Talents.
Avec plus de 40 clients dans 30 pays différents, elle doit faire face à
plusieurs centaines de milliers de connexions journalières à ses
datacenters et la qualité de service offerte doit être irréprochable.
Pour s’assurer de cela, Talentsoft a fait le choix de migrer l’ensemble de
son infrastructure dans le nuage. En effet, ils ont choisi la plateforme
PaaS de Microsoft, Windows Azure pour développer et mettre en
production leurs progiciels. Selon le directeur technique de Talentsoft,
la société a affiché une productivité trois fois supérieure à celle qu’ils
auraient pu avoir avec un hébergement classique. De plus, la
plateforme a permis de favoriser leur développement à l’international.
Avec ses six datacenters répartis partout dans le monde, Microsoft
garantit à Talentsoft une proximité et une réactivité maximale, ainsi
qu’une conformité légale totale.
Par ailleurs, ils ont pu anticiper les pics de charge en quelques heures
seulement alors qu’il leur fallait 6 semaines auparavant. Ainsi ils ont
conforté leurs clients actuels et ont séduit 20 nouveaux clients en 2010.
Outre la réactivité de la solution, Talentsoft souhaitait ne pas avoir à
effectuer de lourds investissements en infrastructure et en personnel
informatique. La facturation à l’instance utilisée leur a permis de
soutenir leur croissance rapide en maitrisant et en anticipant leurs
couts.
Finies les tâches chronophages de maintenance et d’administration, le
PaaS permet dorénavant aux équipes techniques de Talentsoft de se
consacrer intégralement à leur cœur de métier : la conception et le
développement de leurs solutions RH.
Page 23 sur 45
Les types de déploiements choisis par les entreprises au 3ème trimestre 2010
Part des entreprises
européennes
concernées
Part des
entreprises
américaines
concernées
Cloud privé 53% 38%
Cloud hybride (cloud
privé et serveurs locaux)
18% 19%
Cloud public 15% 17%
Cloud hybride (cloud
public et serveurs locaux)
14% 18%
Aucune préférence 0% 6%
Ne sait pas 0% 2%
Figure 8 : Les types de déploiements choisis par les entreprises au 3ème trimestre 2010
(Forrester Research)
Figure 9: répartition par type de nuage des entreprises qui vont migrer dans le Cloud au cours
de l’année 2011 (Forrester Research)
Page 24 sur 45
4.5 Les inconvénients du Cloud Computing
Utiliser l’informatique de type Cloud Computing comporte deux
problèmes majeurs : la propriété des systèmes d’information et la
propriété des données de l’entreprise.
De plus, le cloud impose de dépendre de l’extérieur. Une organisation
n’a aucun contrôle sur les développements futurs des services virtuels
de son fournisseur externe. Qu’advient-il si le fournisseur décide
d’abandonner le développement de certains services ? Ou alors si de
nouveaux développements rendent incompatibles les services loués
avec les systèmes de l’organisation? Ou si l’hébergeur se fait racheter
par une autre société qui décide d’arrêter les développements afin de
favoriser leur solution?
Autre point à soulever, comment les fournisseurs peuvent assurer à leurs
clients que les données stockées sont sécurisées, qu’elles sont
inaccessibles par d’autres clients du fournisseur et qu’elles resteront
accessibles après un désastre naturel ou humain.
La partie qui va suivre va traiter des possibilités dont disposent les
fournisseurs de service pour sécuriser les infrastructures de leurs clients.
Une solution sera apportée à la problématique au sein de cette partie.
Page 25 sur 45
5. Développement de la problématique
5.1 Qu’est-ce que la sécurité dans le Cloud ?
La sécurité est le critère de choix le plus déterminant pour une
migration dans le Cloud pour beaucoup d’est le critère de choix le plus
déterminant pour une migration dans le Cloud pour beaucoup
d’entreprises. Cette partie s’intéresse à l’ensemble des freins à une
migration dans le Cloud et notamment la sécurité des données.
Dans cette partie vont être décrits les moyens de sécuriser les données
dans le nuage ainsi que les freins à l’adoption du cloud computing par
les entreprises.
5.1.1 Quels sont les freins à une migration vers le Cloud ?
Le Cloud offre de nombreux bénéfices aux entreprises mais quelques
freins peuvent ralentir son adoption en masse. Comme vu
précédemment dans les enquêtes du Forrester, la sécurité et la
confidentialité sont les points faibles cités par les entreprises. Dans le
Cloud Public, ce problème est légitime : externaliser l’hébergement de
ses données et de ses applications dans un datacenter fragilise la
politique de sécurité de l’entreprise. En effet les données sont
mutualisées avec celles d’autres entreprises parfois concurrentes.
Cette inquiétude n’a pas lieu d’exister dans le Cloud Privé qui est une
infrastructure dédiée, souvent située dans les locaux de l’entreprise ou
dans un local d’un tiers de confiance, et dont les accès sont sécurisés
par l’entreprise elle-même. L’isolation des données est garantie et les
politiques de sécurité de l’entreprise sont respectées.
Figure 10: les freins au Cloud Computing (Hardware Survey, 2009)
Page 26 sur 45
Figure 11 : freins et inhibiteurs en France (Gartner)
Les deux diagrammes ci-dessus montrent que la sécurité des données
est le principal critère qui dissuade les entreprises de migrer leur
infrastructure dans le nuage.
Cependant, il existe une alternative à une migration brutale vers le
Cloud Computing Public qui consiste à ne migrer qu’une partie de son
systèmes d’information vers le Public et de conserver ses données
critiques dans un Cloud Privé, dans les locaux de l’entreprise.
5.1.2 Comment choisir entre Cloud Public ou Cloud Privé
pour maitriser sa sécurité ?
D’après plusieurs études, les entreprises ne choisiront pas entre le Cloud
public et le cloud privé mais préféreront un Cloud hybride qui permet
de déporter les éléments non sensibles dans le cloud public et de
conserver les applications critiques, souvent les applications métiers,
dans un Cloud privé. Le cloud public sera davantage utilisé pour
combler des besoins en puissance de calcul. Par exemple un site de e-
commerce conservera les traitements transactionnels bancaires dans
un cloud privé mais déportera sa partie logistique et site vitrine sur le
cloud.
5.2 Comment la sécurité est-elle assurée dans le
nuage ?
Comme vu précédemment, 44% en France et 66% aux Etats-Unis des
entreprises craignent que la confidentialité de leurs données ne soit
pas assurée correctement.
Les réglementations nationales et internationales en matière de
protection des données personnelles s’appliquent au Cloud
Computing et plus particulièrement, les dispositions encadrant le
Page 27 sur 45
transfert de données. De plus, les experts veulent que ces données
soient surveillées davantage chez des hébergeurs spécialisés que dans
les datacenters des entreprises dont ce n’est pas le métier.
Pour cela, les pouvoirs publics jouent un rôle important pour délimiter
les responsabilités des hébergeurs et des entreprises, pour accroitre la
transparence des hébergeurs et pour moderniser la législation en
matière de technologies.
De nombreux cadres réglementaires ont été fixés par des organismes
tels que ISO, Le Cloud Security Alliance ou SAS 70 type I.
Dans un hébergement dématérialisé et externalisé, la sécurité doit être
assurée à trois niveaux ; aux niveaux physique, logique et au niveau de
la donnée.
5.2.1 La sécurité physique
Le lieu d’hébergement du nuage est généralement multiple, et réparti
dans plusieurs datacenters, en France ou à l’étranger, on ne connait
donc pas avec précision le lieu d’hébergement du Cloud.
Un certain nombre de certifications et/ou de classifications existent à
ce sujet, sont reconnues et adoptées par l’ensemble des hébergeurs.
L’une des plus représentatives étant la classification « Tier » de l’Uptime
Institute.
La sécurité physique doit être mise en œuvre par le prestataire et
validée avec le client. Chaque client a des exigences différentes en
termes de sécurité des locaux, de redondance matérielle et de
sécurité environnementale.
Les bonnes pratiques en matière de sécurisation physique sont les
suivantes :
- Choisir correctement l’emplacement de la salle informatique ou
du datacenter (faire attention aux zones à risques)
- Sécuriser les approvisionnements en électricité (redondance
d’onduleurs et arrivée dédiée).
- Dimensionner correctement l’alimentation électrique et
l’alimentation en eau.
- Mettre en place des systèmes de sécurité incendie (détection
optique et détection particulaire)
- regrouper le matériel le plus sensible dans les zones les mieux
protégées
- déporter des locaux la maintenance ordinaire (eau, électricité,
climatisation)
- externaliser la sauvegarde
- contrôler les accès par des systèmes à carte ou biométrique.
Page 28 sur 45
- Mettre en place de la vidéo-surveillance extérieure et sur les
accès.
- Mettre en place des politiques d’accès pour le personnel de
maintenance et pour le public (visiteurs et entreprises extérieures)
- Mettre en place si possible un Plan de Continuité d’Activité et
nécessairement un Plan de Reprise d’Infrastructure. Cet aspect
se fait la plupart du temps par la réplication des données et de
l’architecture dans un autre datacenter.
5.2.2 La sécurité logique
Le Cloud Computing s’appuie majoritairement des technologies de
virtualisation et de services mutualisés. L’élément de base est la
machine virtuelle. Généralement, les bonnes pratiques liées à la
sécurité logique sont dissociées en deux sous catégories. En premier
lieu il faut sécuriser les systèmes en assurant la mise à jour de ceux-ci
(mise à jour des machines virtuelles et des hyperviseurs 9 ) par la
sécurisation des accès en mettant en place du chiffrement, des
contrôles d’accès, des politiques d’audit, recommandations sur
l’intégration des machines virtuelles par le fournisseur de l’hyperviseur.)
La deuxième catégorie de bonnes pratiques concerne la notion
d’isolation de la machine virtuelle pour qu’elle ne soit pas accessible
par une personne non habilité ou non souhaitée. Pour cela, il faut isoler
les flux réseau, déléguer l’administration avec des droits spécifiques,
affecter des quotas de ressources (espace disque, utilisation réseau,
puissance de calcul), isoler la machine virtuelle grâce à des outils
spécialisés. Ces contraintes d’administration et de supervision sont pour
la plupart automatisées dans un environnement de type Cloud.
Les bonnes pratiques en matière de sécurisation logique sont les
suivantes :
- Sécuriser les accès aux disques durs virtuels par des listes de
contrôle d’accès.
- Imposer des limites d’utilisation de puissance, de mémoire et
d’espace disque.
- Concevoir un plan d’adressage permettant d’isoler le traffic
réseau selon les besoins.
- Segmenter le réseau par des réseaux virtuels pour chaque client.
9 Hyperviseurs : plateforme de virtualisation qui permet de faire fonctionner plusieurs machines
virtuelles sur un même serveur physique.
Page 29 sur 45
- Contrôler l’installation de logiciels sur les hôtes en sécurisant les
accès.
- Mise en place d’un système d’authentification journalisé sur
l’ensemble des consoles d’administration de l’hyperviseur et de
l’hôte.
- Mettre à jour l’environnement hôte régulièrement.
- Suivre les recommandations des éditeurs en matière d’installation
et de configuration.
- Installer des antivirus et firewall logiciels sur les machines virtuelles
lorsque cela est possible.
- Installer les composants d’intégration de l’hyperviseur sur les
machines virtuelles notamment pour s’assurer d’une bonne
communication horaire entre la machine virtuelle et
l’hyperviseur.
5.2.3 La sécurité de la donnée
Dans un hébergement dans le nuage, le client est responsable de ses
données en ce qui concerne la conformité aux obligations juridiques,
cependant le prestataire est responsable de l’aspect technique en
assurant l’intégralité et la confidentialité des données. En effet, il doit
empêcher les accès frauduleux et en prévenir les pertes ou altérations
de celles-ci.
Les métriques principales permettant de mesurer l’efficacité d’un
processus de protection des données sont le RTO et RPO. Le RTO,
« Recovery Time Objective » mesure le temps de rétablissement toléré
du service lors d’une panne. Le RPO « Recovery Point Objective »
mesure la quantité de données que l’on permet au fournisseur de
perdre suite à une panne ou à un rétablissement de service. Ces deux
métriques sont contractualisées entre le client et le fournisseur à travers
des contrats de SLA10. En cas de non-respect des SLA, le fournisseur doit
payer des pénalités au client.
Pour satisfaire ces SLA et disposer de RTO/RPO satisfaisants, plusieurs
protections et méthodes doivent être mises en place.
Les sauvegardes répliquées sur bande pour des sauvegardes à long
terme et des sauvegardes sur disque pour des sauvegardes du PRI
respectant un RPO précis.
10 SLA : Service Level Agreement : contrat définissant le niveau de service rendu par un
prestataire envers son client
Page 30 sur 45
Les miroirs distants et locaux permettant de répliquer de manière
synchrone (de préférence) les données entre plusieurs supports tout en
assurant la cohérence des données et des transactions par des
mécanismes d’acquittement.
La console de supervision de ses différents outils de réplication doit
permettre de détecter les erreurs de configuration et de manipulation.
De manière optimale cette console devrait être unique pour
l’ensemble des outils.
Une politique d’accès basée sur les rôles (RBAC en anglais) est
indispensable pour définir le niveau d’accès et de responsabilité des
administrateurs ou utilisateur du Cloud. Des privilèges différents et très
granulaires seront attribués à chaque utilisateur du Cloud, lui
permettant de réaliser ou non des taches d’administration sur les
serveurs virtualisés.
Enfin, du point de vue de des instances juridiques, tout pays a le droit
légitime d’avoir accès aux données d’un client du Cloud dès lors que
ce nuage est hébergé sur son territoire. Dans le cas de la France,
l’article 97 du Code Pénal stipule que le fournisseur doit être en mesure
de livrer des éléments ou données recherchées d’un client précis.
5.2.4 Les associations et certifications (CSA / SAS / Syntec)
Les fournisseurs de services Cloud contrôlent une partie de
l’infrastructure informatique de leurs clients. Il est donc indispensable
que ces fournisseurs de services puissent assurer à leurs clients une
déclaration fiable de la gestion de leurs infrastructures et de leurs
données.
Il existe pour cela plusieurs normes poussées par des associations de
certification telles que le CSA, AICPA, ISO ou Syntec. Selon les pays
toutes ne sont pas reconnues de la même manière.
SSAE16 (anciennement SAS70)
Une démarche service
La norme SSAE16 a pour objectif d’établir des rapports sur les
procédures de contrôle interne d’un prestataire de service.
Cette norme permet d’attester d’un certain niveau de contrôle d’une
infrastructure délivrant des états financiers ou des données personnelles
confidentielles. Il existe deux niveaux de certification SSAE16, le premier
niveau s’assure de la bonne définition de tous les contrôles pertinents
tandis que le second niveau s’assure en plus de la mise en application
Page 31 sur 45
et de l’efficacité de ces contrôles.
En résumé SSAE16 permet pour le prestataire :
• de fournir une réponse structurée aux exigences de transparence de
leurs clients en matière de contrôle interne, et ainsi de minimiser le
nombre de demandes d'audit externe.
• d'établir l'adéquation des contrôles au regard des objectifs fixés par
le management.
• d'avoir un éclairage sur sa propre activité, ce qui a pour
conséquence de rehausser le niveau de qualité des services fournis.
• de s'appuyer sur le diagnostic et le rapport d'un auditeur externe
reconnu.
Pour l'utilisateur, le rapport SSAE16 du prestataire :
• constitue une opinion indépendante sur les procédures et les activités
de contrôle en place chez le prestataire.
• permet d'adapter son dispositif de contrôle.
• apporte une réponse aux exigences de transparence en matière de
contrôle interne.
• peut être un élément discriminant lors du choix d'un nouveau
prestataire.
CCSK
La certification CCSK (Certificate of Cloud Security Knowledge) de
la Cloud Security Alliance est une certification qui a pour objet de
vérifier le niveau de connaissance d'une personne dans le domaine de
la sécurité des infrastructures Cloud. L’ensemble des informations
contenues dans le CSA Security Guidance, référentiel américain sur la
best practices sur la sécurité dans le Cloud sont traitées lors du passage
de cette certification à travers deux cents questions. Cette certification
est destinée à des profils techniques uniquement, principalement des
administrateurs et ingénieurs travaillant dans des datacenters.
BS 25999 / ISO 22301
Une entreprise doit se prémunir contre les perturbations résultant d'un
sinistre majeur ou d'un incident mineur, afin d'assurer la continuité des
activités. La norme britannique BS 25999 ou ISO 22301, première norme
au monde dédiée au management de la continuité des activités et
des affaires, a été conçue pour vous aider à minimiser les impacts de
telles perturbations.
Page 32 sur 45
Cette norme vise à prévenir les interruptions d'activité dans les
circonstances les plus complexes et les plus inattendues afin d'assurer la
continuité de l’activité de l’entreprise, qu’elle soit matérialisée ou
dématérialisée (Cloud).
La norme est composée de deux parties, tout comme SSAE16, la
première partie est un guide des bonnes pratiques à mettre en œuvre
pour s’assurer de la continuité d’activité et la seconde décrit les
spécifications de contrôle de l’efficacité de ces bonnes pratiques.
Page 33 sur 45
6. Réponse à la problématique
Rappel de la problématique : « Comment s’assurer que les données
d’une entreprise sont sécurisées au sein d’une infrastructure
informatique de type Cloud Computing ? »
La solution à la problématique sera présentée sous forme de
recommandations ciblées sur la sécurisation des données dans le
nuage. Les recommandations citées proviennent de l’expérience
acquise au sein de mon stage de dernière année. Au cours de celui-ci,
j’ai pu m’entretenir avec des constructeurs et des consultants qui
m’ont apportés des réponses dans le domaine. J’en ai ensuite fait la
synthèse pour présenter uniquement les recommandations et
domaines qui me paraissent les plus pertinents.
La sécurité des données est une préoccupation prioritaire pour
beaucoup de clients du nuage; beaucoup d'entre eux feront le choix
de leur fournisseur de services sur la base des garanties sur la
confidentialité, l'intégrité et la flexibilité des services de sécurité offerts
par un fournisseur.
Dans une logique purement économique, les coûts de mise en œuvre
de mesures de sécurité diminuent plus l’échelle est importante.
Proportionnellement, il coûte moins cher de sécuriser un centre de
données de dix mille machines virtuelles qu’une entreprise en
comptant cinquante. La mutualisation prend ici toute son importance.
La sécurisation des données dans le nuage passe par plusieurs
composantes à la fois techniques et contractuelles et ce, durant toute
la vie du projet d’externalisation vers le Cloud ; du transfert des
données vers le fournisseur de service à la réversibilité des données vers
le client ou vers un autre fournisseur de services dans le cas d’une
résiliation de contrat.
L’élément indispensable pour assurer au client que ses données sont en
sécurité est la qualité du service rendue par le prestataire. Le choix du
prestataire n’est donc pas une étape anodine. Il est fortement conseillé
de se faire accompagner par une assistance à maitrise d’ouvrage
pour produire un cahier des clauses techniques particulières bien
rédigé. Le fournisseur de services doit en toute circonstance être
transparent sur les solutions qu’il présente et informer son client des
risques liés à l’adoption d’une offre cloud. Parmi ces risques qui seront
détaillés par la suite, il y a les risques environnementaux, techniques ou
humains. Il est préférable et dans la plupart des cas requis de
comparer plusieurs fournisseurs de services pour pouvoir comparer celui
Page 34 sur 45
apportant la solution la plus adaptée aux besoins du client mais aussi
apportant les bonnes garanties notamment sur la sécurité des
données. Lors des consultations des différents fournisseurs, il faut exiger
de visiter le datacenter dans lequel sera hébergée l’infrastructure. La
visite permet d’établir un climat de confiance entre le fournisseur et le
client, et de comparer les infrastructures informatiques. Cette visite est
d’autant plus importante pour des clients dont le cœur de métier n’est
pas l’informatique car ils jugeront du sérieux du fournisseur de manière
plus objective en prêtant davantage attention aux aspects
transversaux (environnement, aspect humain, les bâtiments, la sécurité
physique des locaux etc.) qu’aux aspects purement techniques pour
lesquels une réponse d’appel d’offre bien conçue suffit à juger de la
qualité des prestations.
Lorsque le choix du fournisseur est fait, celui-ci doit établir une passation
partielle de responsabilité selon le modèle de nuage choisi (IaaS, PaaS
ou Saas) et définir les garanties qui s’appliqueront aux différents
domaines dont il sera maintenant responsable. Pour cela, il est
recommandé de rédiger un Plan d’Assurance Sécurité qui sera le
référentiel en matière de garanties sur la sécurité et sur la
contractualisation des outils et politiques mis en œuvre pour assurer
cette sécurité. Son contenu sera évoqué dans les paragraphes
suivants.
Le premier élément auquel il faut prêter attention lorsque
l’infrastructure cloud est en place est le facteur humain. En effet une
bonne sécurisation du personnel intervenant sur les données d’un client
est indispensable. Cela passe par des vérifications lors des
recrutements (références, casier judiciaire, identité…) avec des
niveaux d’exigences différents en fonction du niveau de responsabilité.
La formation tout au long du contrat doit aussi être obligatoire pour le
personnel intervenant sur la sécurité, ce domaine est en perpétuelle
évolution.
La sécurité législative est de plus en plus évoquée depuis que les
hébergeurs possèdent des datacenters dans plusieurs pays et par
conséquent où la loi sur la protection des données est différente. Pour
les clients ayant des données critiques ou des données soumises à des
réglementations particulières (gouvernements, bancassurances,
organismes publics…), il faut s’assurer où seront physiquement
localisées les données pour s’affranchir des problématiques
d’extraction de données en cas de procédures judiciaires. Les données
d’un client ne peuvent être déplacées sans en informer le client et
Page 35 sur 45
celui-ci peut et doit refuser le déplacement si toutes les procédures de
sécurisation lors du transfert ne sont pas explicitées. De plus, dans le
cadre d’une offre type IaaS ou PaaS, le client doit s’assurer que le
contrat respecte ses droits en matière de propriété intellectuelle. Le
client est intégralement propriétaire des travaux réalisés sur son
infrastructure, sauf cas rare de multipropriété.
Les aspects purement contractuels passés, il faut alors s’atteler à la
sécurité opérationnelle, savoir ce qui est mis en œuvre sur les flux de
données à travers le réseau pour sécuriser les données du client.
Cette sécurité opérationnelle se découpe en cinq catégories : la
sécurité logicielle, la sécurité du réseau, la sécurité des hôtes, la gestion
des identités et des accès et le chiffrage.
La sécurité logicielle s’applique à tous les types de déploiements, elle
consiste principalement à s’assurer que les mises à jour sont
fréquemment faites et à bon escient. Les mises à jour doivent être faites
intelligemment, en s’assurant qu’elles sont stables et qu’elles n’ouvrent
pas de failles de sécurité. Le processus de mise à jour doit être décrit
par le fournisseur. Les bonnes pratiques concernant les mises à jour
consistent à laisser quelques jours avant l’application de celles-ci afin
de laisser le temps à l’éditeur d’avoir des retours sur leur fiabilité. Les
mises à jour majeures doivent faire l’objet d’une validation plus longue
à travers des maquettes de pré-production ou des sandbox.
Bien évidemment, l’ensemble des transactions de données sont
auditées et récupérées sous forme de logs. Ces logs sont enregistrés et
conservés sur un stockage dédié différent de celui du client. Ceci est
obligatoire afin de pouvoir appliquer une politique de conservation et
de sauvegarde particulière. Ces logs, quelle que soit la brique logique
concernée (réseau, hôte, machine virtuelle, physique etc) doivent être
accessibles à la demande du client en 48 heures en Europe et 24
heures aux Etats-Unis.
Les sauvegardes garantissent aussi la sécurité des données du client et
sont soumises à des règles strictes. Le fournisseur doit fournir au client sa
politique de sauvegarde générale et doit établir avec le client des
politiques individualisées en fonction de la criticité des données et des
durées de retentions légales parfois associées (données bancaires,
données d’état civil etc.). Les supports de sauvegarde sont parfois la
propriété du client et parfois celle du fournisseur. Dans le cas où le
fournisseur utilise ses propres supports de sauvegarde, il faut s’assurer
que le contrat mentionne bien une clause d’effacement des médias
Page 36 sur 45
avant réutilisation pour un autre client voire de destruction lorsqu’il
s’agit de supports de type bande magnétique qui ont une durée de
vie limitée. Lorsque le client fournit les supports de sauvegarde, il doit
exiger qu’ils soient restitués lorsqu’ils ne sont plus utilisés ou
endommagés.
Le dernier point concernant la sécurité logicielle porte sur les outils de
protection contre les virus et les accès extérieurs malveillants. Le
fournisseur de service ne pouvant pas imposer à leurs clients d’installer
un antivirus ou un pare-feu sur leurs machines virtuelles, il se doit de
mettre en œuvre des boitiers de sécurité placés en amont de
l’infrastructure ou de l’hôte pour filtrer les attaques. Lorsqu’une menace
traverse ces protections, le fournisseur peut prendre la responsabilité
d’installer en masse pour ses clients, après notification, des logiciels sur
les machines virtuelles afin d’éviter une infection massive.
Un autre compartiment de la sécurité opérationnelle est la sécurité du
réseau et de l’hôte physique accueillant l’infrastructure du client. La
notion d’isolation consiste à pouvoir parfaitement isoler les données
mais aussi le matériel du client des autres clients afin de garantir la
confidentialité. Il existe quatre niveaux d’isolation principaux. L’isolation
au niveau de la machine physique en attribuant une ou plusieurs
lames11 par client par exemple. Les machines virtuelles doivent aussi
être isolées par des politiques de réservation d’espace disque dédié au
client sur le stockage. Le stockage doit aussi être sécurisé. Les baies de
stockage constituent l’élément critique de l’infrastructure car elles
supportent l’ensemble des flux de données. Elles sont sécurisées par
l’utilisation de disques durs performants assurant des taux de panne et
de corruption de données très faibles. En outre, il est rare qu’un
fournisseur accepte de réserver des disques durs spécifiques à un
client. Néanmoins le client peut externaliser sa baie de stockage dans
le datacenter du fournisseur en l’en confiant la maintenance. Enfin, le
réseau permet d’isoler les flux de données entre clients en réservant
des ports précis des matériels actifs au client et en utilisant des
technologies d’isolation comme les réseaux locaux virtuels ou les sous-
réseaux. Les fournisseurs proposent souvent à leur client un pool
d’adresses IP et des sous-réseaux dédiés.
11 Lame : serveur à très faible encombrement.
Page 37 sur 45
La sécurité de l’hôte physique, en d’autres termes celle des serveurs et
matériels par lesquels transitent les données est rarement mise en
œuvre par les fournisseurs. De mon point de vue et celui d’un
technicien de salle machine du datacenter Bull de Trélazé, cette
sécurisation est importante car elle limite les erreurs humaines pour les
clients disposant d’une offre Infrastructure as a Service. Avec ce type
d’offre le client dispose de droits d’administration allant jusqu’à la
configuration physique partielle du serveur hébergeant ses machines
virtuelles. Dans de telles circonstances et sans protection, un client peut
faire une erreur de configuration mettant en péril la production ou, une
personne malveillante peut introduire des virus très aisément. Le client
doit s’assurer dans ce cas que les serveurs sont équipés de puces de
sécurisation matérielle (Trusted Platform Manager) et d’une
authentification pour accéder aux configurations matérielles (BIOS,
cartes RAID, IPS…).
De la sécurité opérationnelle découle la gestion des identités et des
accès. Le paragraphe suivant traite des moyens employés pour
contrôler chaque action effectuée par le fournisseur de services sur les
données d’un client.
Ce paragraphe traitera uniquement la problématique de sécurisation
des données et des accès des administrateurs du nuage côté client et
côté fournisseur. La gestion des accès et des identités coté utilisateur
ne revient pas à la charge du fournisseur mais uniquement du client.
Tout d’abord, le fournisseur dispose d’une plateforme unifiée de
supervision pour gérer l’ensemble de ses clients. Cette plateforme,
grâce à des passerelles logicielles, permet de récupérer des
informations de matériels et logiciels hétérogènes et de les traiter dans
une interface unique avec des identifiants unifiés. Ce procédé est
indispensable pour limiter les points d’accès aux configurations et pour
limiter les authentifications multiples avec des politiques de sécurité
multiples. Le fournisseur se doit au moment de la souscription de l’offre
Cloud, d’identifier un compte utilisateur ayant un très haut niveau de
privilège sur l’infrastructure du client. Ce compte est attribué à une
personne physique, la plupart du temps un ingénieur du datacenter.
Cette personne est la seule à disposer des privilèges maximum sur
l’infrastructure du client pour des raisons de sécurité en cas d’urgence.
Effectivement, dans le cas d’un désastre environnemental, matériel ou
logiciel, un super-utilisateur doit pouvoir mettre en action le Plan de
Continuité Informatique. De plus, il est conseillé d’appliquer une règle
simple dans ce type d’environnements ; moins il y a de comptes et
Page 38 sur 45
groupes d’utilisateurs, mieux la sécurité sera assurée. Une bonne
pratique en la matière consiste à créer un compte par familles de
taches d’administration plutôt que des comptes utilisateurs nominatifs
comme c’était le cas il y a encore quelques années. Dorénavant,
l’identification de la personne physique se fait par des contrôles
d’accès physiques. Cette méthode permet de s’affranchir des
problématiques de suppression / réattribution de droits lors de
licenciements ou de départs de personnel. A titre d’exemple, les
utilisateurs les plus usuels sont un opérateur de sauvegarde, un
opérateur PRI, un super utilisateur, un visionneur, un opérateur
commutation, un opérateur routage, un opérateur automatisation, un
opérateur migration et un opérateur provisionnement. Enfin, se pose la
question des droits du client sur l’administration de l’infrastructure. Ces
droits sont étroitement liés au type de nuage souscrit. Dans une offre
SaaS, le client ne doit disposer d’aucun droit de configuration, dans
une offre IaaS ou PaaS, le prestataire ne peut refuser de donner des
droits limités. Je pense néanmoins qu’il est préférable qu’aucun droit
ne soit donné au client à travers un compte utilisateur. Le risque
d’usurpation de données deviendrait très important. Le fournisseur n’a
plus l’entier contrôle des transactions effectuées entre l’infrastructure
hébergée et le client. Il peut donc plus difficilement garantir l’intégrité
et la confidentialité des données. Le client sera toujours, malgré lui, plus
laxiste en matière de sécurité qu’un fournisseur de services. Pour
garantir au client que ses données sont en sécurité, il faut éviter que
celles-ci transitent par un biais qui ne serait pas approuvé par le
fournisseur.
Etroitement lié à la gestion des identités et des accès, le chiffrage des
données permet d’assurer un très haut niveau de sécurité et les rend
inexploitables en cas d’usurpation. La mise en œuvre de chiffrage se
fait à plusieurs niveaux et n’est que très rarement mise en œuvre par les
fournisseurs de services car ces technologies sont couteuses en
ressources matérielles. Néanmoins selon le type d’activité, il peut être
nécessaire d’exiger le chiffrage des données. Les trois niveaux de
chiffrage proposés sont le chiffrage de la donnée en transit, inscrite sur
son support de stockage ou en mémoire vive. Ces trois possibilités sont
cumulables mais entrainent des surcouts et une administration plus
lourde. Dans la plupart des cas, suite à des interviews et des lectures de
papiers blancs, j’ai compris qu’il fallait mieux chiffrer les données une
fois stockées sur leur support de stockage permanent (disque dur)
plutôt qu’en transit ou en RAM. D’après une étude de Forrester de 2009
sur la sécurité, 60% des usurpations de données se font sur des données
Page 39 sur 45
stockées et non des données en transit. Ce niveau de chiffrage permet
d’avoir un bon compromis performance-sécurité. Enfin, il est important
dans le cas où le client opte pour une solution de chiffrage, que ce soit
par certificat ou carte à puce, de prévoir une procédure de
recouvrement en cas de perte des certificats. Cette procédure doit
être détaillée par le fournisseur et comprise par le client qui doit être en
mesure de régénérer un certificat et déchiffrer ses données lorsqu’il le
souhaite.
Les parties précédentes s’attachaient à la sécurité logique
uniquement. La sécurité physique est complémentaire de la sécurité
logique et ne doit pas être négligée.
Tout d’abord, les accès physiques aux datacenters doivent être
sécurisés par des badges ou des systèmes biométriques permettant
d’identifier physiquement une personne. Les fournisseurs de services
Cloud disposent dans leurs datacenters de plusieurs salles avec des
niveaux de sécurité différents, certaines ont des sas d’accès et sont
filmées en permanence, d’autres ne le sont pas. C’est à la demande
du client et en fonction du niveau de criticité de ses données qu’il sera
placé dans la salle appropriée. Le client peut aussi refuser que son
infrastructure soit visitée par des visiteurs externes ou ne le faire que sur
demande expresse. Conjointement à la sécurité des accès, il faut
coupler la sécurité des flux énergétiques. Plusieurs niveaux de
prestations sont offerts par les fournisseurs allant d’un niveau de
redondance élevée à très élevée des différents flux énergétiques
(climatisation, arrivées électriques, alimentations électriques, onduleurs,
groupes électrogènes, circuits anti-incendies, systèmes d’extinctions
autonomes et circuits de refroidissement. Le fournisseur doit assurer un
niveau de disponibilité quasi-total au client afin que ses données soient
exploitables et en sécurité. Régulièrement, une vérification de ses
matériels est faite par des auditeurs externes et internes. Le fournisseur
doit pouvoir produire au client l’état des vérifications des circuits de
contrôle et des circuits énergétiques à ses clients. Pour un client, un
panel de certification en matière de sécurité physique et énergétique
le marquera davantage qu’une certification d’un éditeur informatique
qu’il ne connait pas ou peu.
La dernière partie de la solution traitera du contenu du Plan
d’Assurance Sécurité. Pour rappel, ce document sera le référentiel en
matière de garanties sur la sécurité et sur la contractualisation des outils
et politiques mis en œuvre pour assurer la sécurité de l’infrastructure du
client. L’ensemble des bonnes pratiques détaillées dans la solution
Page 40 sur 45
doivent figurer dans ce document en perpétuel évolution tout au long
du contrat d’hébergement. Quelques points non abordés
précédemment seront considérés dans ce paragraphe,
principalement sur les indicateurs liés à la continuité d’activité suite à
un désastre.
A travers le Plan d’Assurance Sécurité, le client va identifier avec le
client la criticité des données qu’il va déposer dans le nuage. Ce
niveau de criticité va permettre de définir des SLA12 selon les besoins
de disponibilité exigés. Les SLA sont des contrats qui définissent un
niveau de service requis par le client. Plusieurs indicateurs permettent
de définir ce niveau de service. Le RTO spécifie le délai maximum que
le client tolère avant de reprendre son activité. Dans le cas d’un
datacenter, le RTO acceptable n’est que de quelques minutes par an.
Cet indicateur est nécessairement associé à un autre indicateur, le
RPO qui désigne, pour sa part, la durée maximum d'enregistrement
des données qu'il est acceptable de perdre lors d'une avarie. Un plan
de reprise informatique fonctionnel permet de réduire les pertes de
données à quasiment néant. Plusieurs contrats de SLA peuvent être
signés pour une même infrastructure car plusieurs niveaux de services
et de disponibilité des données peuvent être requis pour un même
client. De manière synthétique ces SLA sont regroupés dans une
matrice de couverture des exigences.
Dans un deuxième temps, le fournisseur va attribuer au client un profil
de reprise d’activité à partir des SLA et de l’activité de l’entreprise. Le
client sera prioritaire, moyennement prioritaire ou faiblement prioritaire
dans le cadre de l’activation du plan de reprise du datacenter. Il faut
garder à l’esprit que l’activation de PRA/PRI est extrêmement rare dans
un datacenter et n’entraine pas de perte de service et de données
pour le client.
De plus, dans une optique de transparence du fournisseur envers son
client, le Plan d’Assurance Sécurité doit contenir les modalités
d’exécution des plans de reprise prévus par le fournisseur ainsi que la
fréquence à laquelle ces plans sont testés en situation réelle. Les
résultats de ces tests doivent être régulièrement publiés auprès du
12 SLA : Service Level Agreement : document qui définit la qualité de service requise entre un
prestataire et un client.
Page 41 sur 45
client. Le client doit savoir que ses données sont en sécurité et que tout
est mis en œuvre pour les rendre disponible.
7. Conclusion
Le Cloud Computing est la nouvelle génération d’infrastructures
informatiques pour les centres données. Ce modèle va révolutionner la
manière de consommer de la puissance de calcul et de stocker des
données dans les Datacenter. Les enjeux économiques et de
productivité sont tels que la plupart des entreprises de la TPE aux
grands comptes ont pour objectif de déporter leur SI dans le Cloud
d’ici à 2015. Le nuage assurera des besoins croissant en flexibilité et en
puissance tout en respectant de clauses de disponibilité et de
confidentialité très exigeantes. Par ailleurs, il va être indispensable dans
les années à venir de mutualiser les ressources afin de réduire les
consommations électriques et optimiser la gestion des ressources
informatiques et ce dans une démarche écologique inscrite dans la
durée.
Concernant la sécurité, les fournisseurs de services cloud assurent à
leurs clients un très haut niveau de sécurisation et disponibilité des
données grâce à des certifications et standards internationaux
spécialisés dans le Cloud comme SAS, CSA ou ISO et en auditant
régulièrement leurs infrastructures. Au-delà des prestations offertes de
base par le prestataire, les clients doivent être acteurs de la
sécurisation de leurs données en travaillant avec le fournisseur sur des
contrats de niveau de service (SLA) adaptés à leurs besoins. Tous les
aspects de la sécurité doivent être abordés et notamment celui de la
localisation géographique des données qui est souvent encore une
question tabou pour les fournisseurs ayant de nombreux datacenters et
exploitant très fortement la mutualisation et la multi-location.
Actuellement, nous pouvons considérer que le Cloud Computing est un
moyen très sûr d’héberger des données car très contrôlé et maitrisé.
Cependant, il reste un gros travail à faire pour s’accorder sur une
organisation unique qui serait le référentiel sur les questions relevant du
Cloud. Actuellement, il faut panacher un ensemble de
recommandations et certifications de plusieurs instutions américaines et
européennes pour obtenir le droit d’exploitation d’un datacenter
fournissant des offres Cloud Computing.
Enfin, le Cloud Computing va permettre une ouverture au monde
entier d’informations libres de droits et réutilisables grâce à l’Open
Page 42 sur 45
Data. En effet les gouvernements, les entreprises publiques et même
certaines entreprises privées publient des informations depuis 2010 à
destination de la population. On peut espérer qu’à termes, l’Open
Data favorise l’informatisation des pays pauvres et donne accès à
l’information et la culture à tout le monde gratuitement. Ces projets de
grande ampleur proviendront de décisions à l’échelle d’un pays voire
de regroupement de pays. Pour cela, les fournisseurs de Cloud
Computing et les états travaillent depuis quelques années sur ces
projets.
Page 43 sur 45
8. Bibliographie
Web :
- http://www.kinaze.org/les-risques-du-cloud-computing/
- http://blogs.orange-business.com/securite/2012/04/7-trucs-pour-
obtenir-la-certification-securite-cloud-computing-ccsk.html
- http://www.syntec-numerique.fr/Actualites/Livre-Blanc-Cloud-
Computing-Securite
- Rapport de Greenpeace sur le CC et l’environnement :
http://www.greenpeace.org/raw/content/international/press/reports/
make-it-green-cloud-computing.pdf
- Avantages et inconvénients du Cloud http://www.kinaze.org/les-
risques-du-cloud-
computing/#Les+inconv%C3%A9nients+du+%C2%AB+cloud+computin
g+%C2%BB
- The Economics of the Cloud de Microsoft:
http://www.microsoft.com/presspass/presskits/cloud/docs/The-
Economics-of-the-Cloud.pdf
Revues, livres blancs :
- Cloud Computing Risk Assessment, European Network and Information
Security Agency (ENISA)
- White Papers : Le Cloud Computing en France par Pierre Audouin
Consultants et EMC
- RSLN Hors-Série « Cloud Computing » de Microsoft
- The NIST Definition of Cloud Computing Authors: Peter Mell and Tim
Grance Version 15, 10-7-09
- Etude d’Accenture « Cloud Computing and Sustainability: The
Environmental Benefits of Cloud Computing »
- White Papers « Le cloud computing : quelles opportunités pour votre
organisation ? » de CA
- Livre Blanc d’Ikoula « Le Cloud en toute confiance »
- Le Cloud Computing « Du concept à la réalité » de Microsoft
- Documentation Windows Azure : témoignage de Talentsoft sur une
migration PaaS
- Livre Blanc d’Osiatis « DDCR »
- Webcast de Bernard Ourghanlian aux Techdays “Cloud et Sécurité”
- CSA Security Guidance for Critical Areas of Focus in Cloud Computing
V2.1
- Strategies to improve IT efficiency in 2010 de Forrester.
Page 44 sur 45
9. Table des illustrations
Figure 1 : historique des modèles d'infrastructures ................................ 6
Figure 7:Les niveaux de responsabilité des fournisseurs et des
utilisateurs (rouge : le fournisseur de cloud / bleu : les clients) ....10
Figure 6 : adoption croissante du modèle SaaS entre 2007 et 2010
(Gartner) ..............................................................................................12
Figure 2 : investissement dans le Cloud Computing en Europe ........12
Figure 10 : critères de l'efficacité d'un système d'information selon
des DSI (Forrester Research) .............................................................14
Figure 11: Comparatif du cout par MIPS (millions d’opérations par
seconde) en fonction du volume selon le type d’architecture n-
tiers. (Microsoft) .................................................................................15
Figure 12:Evolution du TCO/serveur sur le nombre total de
datacenters de Cloud Public. ..........................................................16
Figure 3 : Les types de déploiements choisis par les entreprises au
3ème trimestre 2010 (Forrester Research) ......................................23
Figure 4: répartition par type de nuage des entreprises qui vont
migrer dans le Cloud au cours de l’année 2011 (Forrester
Research) ............................................................................................23
Figure 8: les freins au Cloud Computing (Hardware Survey, 2009) ...25
Figure 9 : freins et inhibiteurs en France (Gartner) ...............................26
Page 45 sur 45
10. Glossaire
D
Datacenter : centre de données
DSI : direction du système d’informations
E
Encapsulation : donnée insérée dans une autre donnée grâce à un
système d’en-têtes et de données de queue.
I
Instancier, attribuer des ressources à un client
L
Lame : serveur à très faible encombrement
M
MIPS : millions d’instructions par seconde
Multi-threading : séparation d’un processus en plusieurs threads
(instructions) pour paralléliser son traitement par le processeur.
N
NIST : institut américain de standardisation
Nuage : représente l’ensemble des datacenters hébergeant des
données externalisées et respectant les caractéristiques du cloud
computing.
S
SLA : Service Level Agreement : document qui définit la qualité de
service requise entre un prestataire et un client.
V
VPN : réseau privé virtuel permettant d’accéder à un réseau local à
travers internet.