Qu'est-ce que le modèle de responsabilité partagée AWS ?

Les fournisseurs de services cloud tels qu’AWS gèrent une part importante de la sécurité de l’infrastructure, mais cela ne signifie pas pour autant que les clients en sont déchargés. Le modèle de responsabilité partagée d’Amazon définit précisément où s’arrête la responsabilité du fournisseur et où commence celle du client.

Cet article explique les principaux éléments du modèle de responsabilité partagée et propose une analyse concrète de la manière dont les responsabilités évoluent en fonction du type de service AWS utilisé.

Remarque : bon nombre de ces concepts s’appliquent également à d’autres fournisseurs de services cloud.

Le modèle de responsabilité partagée d’Amazon distingue deux catégories de responsabilités : la sécurité du cloud et la sécurité au sein du cloud. AWS est responsable de l’infrastructure physique, notamment des centres de données, des serveurs et du réseau. Les clients gèrent ce qui s’exécute au sein du cloud, notamment les données, les contrôles d’accès, les paramètres des applications et le chiffrement.

Avec les services d’infrastructure en tant que service (IaaS) comme Amazon EC2, les clients gèrent le système d’exploitation, les paramètres de pare-feu et l’application des correctifs logiciels. En revanche, avec les services sans serveur ou gérés, tels qu’AWS Lambda ou Amazon S3, AWS prend en charge la plateforme et l’environnement d’exécution, tandis que les clients restent responsables des autorisations d’accès et de l’intégrité des données.

Pour remplir leurs obligations contractuelles, les clients doivent disposer de processus clairs pour gérer les configurations, appliquer les correctifs et sécuriser les identités. AWS fournit certes l’infrastructure, mais les clients sont responsables de la sécurisation de ce qu’ils construisent par-dessus.

Une mauvaise compréhension du modèle de responsabilité partagée peut entraîner des failles dans la sécurité d’AWS. Lorsque les équipes partent du principe qu’AWS prend en charge davantage de tâches qu’il n’en assume réellement, des tâches essentielles telles que le contrôle d’accès ou le chiffrement des données peuvent être négligées, ce qui augmente le risque d’exposition ou de problèmes de conformité.

L’attribution de rôles clairs permet de réduire la confusion et d’éviter que des étapes ne soient omises. Les équipes de sécurité doivent définir qui gère quoi au niveau des couches réseau, de configuration et d’application. Cela implique notamment de déterminer qui définit les politiques de pare-feu, qui gère l’application des correctifs et qui assure le suivi de l’activité du système.

1. Dressez l’inventaire des services AWS utilisés : identifiez les services utilisés et classez-les par type (IaaS, PaaS, SaaS), car les responsabilités varient en fonction du modèle.

2. Définissez clairement les responsabilités : utilisez la documentation AWS pour distinguer ce qui relève de la gestion d’AWS de ce dont vos équipes doivent s’occuper.

3. Attribuez les responsabilités par contrôle : indiquez quelle équipe ou quelle personne est responsable de chaque tâche, en particulier pour les contrôles gérés par le client, tels que le chiffrement ou les politiques d’accès.

4. Automatisez les contrôles de configuration : utilisez des outils tels qu’AWS Config pour surveiller la conformité à vos normes de sécurité internes.

5. Auditez régulièrement les autorisations : passez en revue les politiques IAM pour limiter les accès en fonction des rôles professionnels et supprimez les identifiants inutilisés.

6. Concevez votre architecture en anticipant les pires scénarios : misez sur l’immuabilité, l’indélébilité et l’isolation physique (air gap) afin que, en cas d’événement catastrophique ou d’intrusion malveillante, les dommages soient minimisés et qu’un point de restauration soit toujours disponible.

Commvault permet d’atteindre ce niveau d’isolation proactive et d’immuabilité grâce à :

• Des copies de données facilement configurables dans des comptes isolés grâce à Commvault AirGap.
• Des sauvegardes physiquement isolées et inter-comptes par défaut avec Commvault® Cloud Rewind et Clumio.

7. Tester les processus de réponse : effectuez des simulations pour vérifier que les actions de détection et de Recovery fonctionnent comme prévu et sont attribuées aux bonnes équipes.

Commvault peut vous aider à automatiser les tests et la validation des processus de Recovery grâce à sa solution Cleanroom Recovery, une première sur le marché, ou via les capacités de Recovery interrégionales et inter-comptes de Cloud Rewind et Clumio.

8. Mettez régulièrement à jour la documentation : à mesure que l’utilisation des services évolue, révisez la cartographie de votre modèle de responsabilité partagée afin de refléter l’architecture et les contrôles actuels.

Ce tableau met en évidence la manière dont la responsabilité passe d’un responsable unique à un modèle partagé. Une mauvaise compréhension de ces changements peut entraîner des failles de sécurité, notamment dans des domaines tels que le contrôle d’accès et la journalisation des audits. Savoir quelle équipe est responsable de quel contrôle permet de réduire ce risque.

• Une gestion simplifiée : Commvault s’intègre largement aux services AWS – ainsi qu’à d’autres technologies sur site et dans le cloud – pour automatiser la protection basée sur des politiques à partir d’un tableau de bord unique.
• Sécurité renforcée : Commvault offre une protection accrue contre les ransomwares et autres cybermenaces grâce à un Threat Scan basé sur l’IA, tout en fournissant des copies de sauvegarde physiquement isolées, immuables et indélébiles pour une meilleure capacité de reprise.
• Coût total de possession (TCO) réduit : outre les avantages financiers liés à l’atténuation des risques et à la réduction de l’impact des menaces potentielles, Commvault aide également les entreprises à maîtriser les coûts liés à la protection des données dans le cloud en optimisant la collecte et le stockage des données. Avec Commvault, les entreprises peuvent conserver moins de snapshots complets et stocker des données dédupliquées et compressées sans compromettre les objectifs de point de reprise, ce qui leur permet de réaliser d’importantes économies.

Le groupe Sony, géant mondial du divertissement et de l’électronique, était confronté à des défis de taille pour unifier sa cyber-résilience au sein de son environnement multicloud complexe. Avec des déploiements étendus sur AWS et Azure, son équipe Data Center Services avait besoin d’une solution capable de relier ses charges de travail sur site, dans le cloud et en SaaS, tout en respectant des exigences de sécurité strictes.

« Notre stratégie consiste à établir une connexion mondiale entre nos centres de données et notre solution cloud », explique Cassandra Cinar, directrice senior des services de centres de données chez Sony. « Pour y parvenir, nous avons besoin d’une plateforme de Recovery unifiée couvrant à la fois les charges de travail dans le cloud, sur site et en mode SaaS. »
Les exigences de sécurité de Sony étaient particulièrement strictes. L’entreprise avait besoin d’une solution capable de protéger les données de pratiquement tous ses utilisateurs AWS à l’échelle mondiale, tout en prenant en charge son environnement hétérogène à architectures multiples. De plus, la solution devait aider Sony à se conformer à ses systèmes financiers internes ainsi qu’aux exigences SOC et RGPD.

Après avoir évalué plusieurs options, Sony a choisi Commvault Cloud en raison de ses capacités complètes en matière de cyber-résilience. Le déploiement couvre désormais 5 000 terminaux répartis sur plusieurs centres de données, régions et fournisseurs de cloud, y compris son vaste parc AWS.

Les résultats ont été considérables. Sony a réduit ses coûts de matériel, de supports de stockage et de sauvegarde d’environ 80 % grâce au chiffrement, à la compression et à la transition vers un stockage sur disque et dans le cloud sur AWS et Azure. L’entreprise a également amélioré ses objectifs de point de reprise (RPO) et a acquis la capacité de détecter les menaces plus tôt, de se rétablir plus rapidement et de réduire les temps d’arrêt.

« Les principales différences entre les solutions de sécurité résident dans leurs capacités de déploiement et de Recovery », a déclaré M. Cinar. « L’infrastructure robuste et complète de Commvault répond à tous nos besoins en matière de Recovery, d’accords de niveau de service et de fonctionnalités essentielles telles que la détection des menaces et d’autres fonctionnalités de sécurité. »

L’expérience de Sony montre comment les organisations peuvent s’adapter avec succès au modèle de responsabilité partagée d’AWS en mettant en œuvre une approche unifiée de la protection et de la sécurité des données dans les environnements hybrides. Son partenariat avec Commvault et Accenture lui a permis de mettre en place des politiques de protection cohérentes sur l’ensemble de son infrastructure AWS, tout en garantissant la conformité aux exigences internes et externes.

Commvault aide ses clients à assumer leurs responsabilités dans le cadre du modèle de responsabilité partagée d’AWS en fournissant des outils de niveau entreprise pour la protection, la restauration et la conformité des données. Sa plateforme prend en charge les environnements hybrides et multicloud, ce qui permet aux entreprises de gérer leurs données de manière cohérente sur AWS et d’autres infrastructures.

Commvault étend la responsabilité de la sécurisation et de la protection des données dans le cloud aux charges de travail critiques des centres de données grâce à des sauvegardes immuables et physiquement isolées (air-gapped), stockées au sein d’un tenant isolé sur Amazon S3.

Cela permet aux entreprises d’offrir cette couche supplémentaire de récupérabilité au sein d’un écosystème très étendu, comprenant notamment des infrastructures et des applications telles que SAP, Oracle, Microsoft SQL Server, Active Directory, Epic Systems, VMware et ServiceNow, entre autres. Commvault protège ces charges de travail en les sauvegardant sur AWS et en fournissant des couches supplémentaires de sécurité et de résilience, conformément au modèle de responsabilité partagée.

Grâce à une automatisation intégrée, Commvault simplifie les processus et réduit les étapes manuelles de Backup and Recovery, aidant ainsi les équipes à réagir plus rapidement et à limiter les erreurs. Une visibilité centralisée sur l’ensemble des charges de travail permet aux équipes informatiques et de sécurité de surveiller l’activité des données, de vérifier les contrôles et de rester en conformité avec les réglementations du secteur.

Commvault permet également aux entreprises d’assurer des Recoverys plus rapides et moins coûteux pour les charges de travail natives émergentes telles qu’Amazon S3 et Amazon DynamoDB grâce à sa solution Clumio, optimisant ainsi la protection et rendant cette protection essentielle plus accessible. Les entreprises qui utilisent Clumio peuvent s’acquitter de leur responsabilité partagée en matière de protection des données au sein des services natifs d’AWS grâce à une solution simple et clé en main, optimisée en termes de coût et d’efficacité.

Il est essentiel de bien comprendre le modèle de responsabilité partagée d’AWS pour protéger vos données et vos applications dans le cloud. Lorsque vous savez exactement quels contrôles de sécurité relèvent de votre responsabilité, vous pouvez mettre en place des défenses plus solides et réagir plus rapidement aux menaces.
Commvault peut aider les entreprises à combler leurs failles de sécurité et à renforcer leur stratégie de protection des données sur AWS. Laissez-nous vous montrer comment notre plateforme peut vous aider à atteindre vos objectifs en matière de sécurité dans le cloud : demandez une démonstration.