Qu’est-ce que le modèle de responsabilité partagée AWS ?

Les fournisseurs de services cloud tels qu’AWSgère une part importante de la sécurité des infrastructures, mais cela ne signifie pas pour autant que les clients en sont déchargés. Le modèle de responsabilité partagée d’Amazon définit précisément où s’arrête la responsabilité du fournisseur et où commence celle du client.

Cet article explique les principaux éléments du modèle de responsabilité partagée et propose une analyse concrète de la manière dont les responsabilités évoluent en fonction du type de service AWS utilisé.

Remarque : bon nombre de ces concepts s’appliquent également à d’autres fournisseurs de services cloud.

Le modèle de responsabilité partagée d’Amazon distingue deux catégories de responsabilités : la sécurité du cloud et la sécurité au sein du cloud. AWS est responsable de l’infrastructure physique, notamment des centres de données, des serveurs et du réseau. Les clients gèrent quant à eux ce qui s’exécute au sein du cloud, notamment les données, les contrôles d’accès, les paramètres des applications et le chiffrement.

Avec les services d’infrastructure en tant que service (IaaS) comme Amazon EC2, les clients gèrent le système d’exploitation, les paramètres de pare-feu et l’application des correctifs logiciels. En revanche, avec les services sans serveur ou gérés, tels qu’AWS Lambda ou Amazon S3, AWS prend en charge la plateforme et l’environnement d’exécution, tandis que les clients restent responsables des autorisations d’accès et de l’intégrité des données.

Pour remplir leur part du contrat, les clients doivent disposer de processus clairs pour gérer les configurations, appliquer les correctifs et sécuriser les identités. AWS fournit certes l’infrastructure, mais les clients sont responsables de la sécurisation de ce qu’ils construisent par-dessus.

Une mauvaise compréhension du modèle de responsabilité partagée peut entraîner des failles dans la sécurité d’AWS. Lorsque les équipes partent du principe qu’AWS prend en charge davantage de tâches qu’il n’en assume réellement, des tâches essentielles telles que le contrôle d’accès ou le chiffrement des données peuvent être négligées, ce qui augmente le risque d’exposition ou de problèmes de conformité.

L’attribution de rôles clairs permet de réduire la confusion et d’éviter que des étapes ne soient omises. Les équipes de sécurité doivent définir qui gère quoi au niveau des couches réseau, de configuration et d’application. Cela implique notamment de déterminer qui définit les politiques de pare-feu, qui gère l’application des correctifs et qui assure le suivi de l’activité du système.

1. Dresser l’inventaire des services AWS utilisés : identifier les services utilisés et les classer par type (IaaS, PaaS, SaaS), car les responsabilités varient en fonction du modèle.

2. Définissez clairement les responsabilités : utilisez la documentation AWS pour distinguer ce qui relève de la gestion d’AWS de ce dont vos équipes doivent s’occuper.

3. Attribuer la responsabilité par contrôle : précisez quelle équipe ou quelle personne est responsable de chaque tâche, en particulier pour les contrôles gérés par le client, tels que le chiffrement ou les politiques d’accès.

4. Automatisez les contrôles de configuration : utilisez des outils tels qu’AWS Config pour surveiller le respect de vos normes de sécurité internes.

5. Vérifiez régulièrement les autorisations : passez en revue les politiques IAM afin de limiter les accès en fonction des rôles professionnels et supprimez les identifiants inutilisés.

6. Anticipez les pires scénarios : concevez vos systèmes en misant sur l’immuabilité, l’indélébilité et l’isolation physique, de sorte que, en cas d’événement catastrophique ou d’intrusion malveillante, les dégâts soient minimisés et qu’un point de restauration soit toujours disponible.

Commvault permet d’atteindre ce niveau d’isolation proactive et d’immuabilité grâce à :

• Des copies de données facilement configurables dans des comptes isolés grâce à Commvault AirGap.
• Sauvegardes isolées physiquement et inter-comptes par défaut avecCommvault® Cloud RewindetClumio.

7. Tester les processus d’intervention : effectuer des simulations pour vérifier que les mesures de détection et de Recovery fonctionnent comme prévu et sont attribuées aux équipes compétentes.

Commvault permet d’automatiser les tests et la validation des processus de restauration grâce à sa solution Cleanroom Recovery, une première dans le secteur, ou via les fonctionnalités de restauration interrégionales et inter-comptes proposées par Cloud Rewind et Clumio.

8. Mettez régulièrement à jour la documentation : à mesure que l’utilisation du service évolue, adaptez vos schémas de répartition des responsabilités afin qu’ils reflètent l’architecture et les contrôles actuels.

Ce tableau met en évidence la manière dont la responsabilité passe d’un responsable unique à un modèle partagé. Une mauvaise compréhension de ces changements peut entraîner des failles de protection, notamment dans des domaines tels que le contrôle d’accès et la journalisation des audits. Savoir quelle équipe est responsable de quel contrôle permet de réduire ce risque.

• Gestion simplifiée : Commvault s’intègre largement aux services AWS, ainsi qu’à d’autres technologies sur site et dans le cloud, afin d’automatiser la protection basée sur des règles à partir d’un tableau de bord unique.
• Sécurité renforcée : Commvault offre une protection accrue contre les ransomwares et autres cybermenaces grâce à une Threat Scan basée sur l’intelligence artificielle, tout en fournissant des copies de sauvegarde isolées physiquement, immuables et indélébiles pour une meilleure capacité de restauration.
• Réduction du coût total de possession (TCO) : outre les avantages financiers liés à la réduction des risques et à l’atténuation de l’impact des menaces potentielles, Commvault aide également les entreprises à maîtriser les coûts liés à la protection des données dans le cloud en optimisant la collecte et le stockage des données. Grâce à Commvault, les entreprises peuvent conserver moins de snapshots complets et stocker leurs données dédupliquées et compressées sans compromettre leurs objectifs de point de reprise, ce qui leur permet de réaliser d’importantes économies.

Le groupe Sony, géant mondial du divertissement et de l’électronique, était confronté à des défis de taille pour unifier sa cyber-résilience au sein de son environnement multicloud complexe. Avec des déploiements étendus sur AWS et Azure, son équipe Data Center Services avait besoin d’une solution capable de relier ses charges de travail sur site, dans le cloud et en SaaS, tout en respectant des exigences de sécurité strictes.

« Notre stratégie consiste à établir une connexion mondiale entre nos centres de données et notre solution cloud », explique Cassandra Cinar, directrice senior des services de centres de données chez Sony. « Pour y parvenir, nous avons besoin d’une plateforme unifiée de Recovery couvrant à la fois les charges de travail dans le cloud, sur site et en mode SaaS. »
Les exigences de sécurité de Sony étaient particulièrement strictes. L’entreprise avait besoin d’une solution capable de protéger les données de pratiquement tous ses utilisateurs AWS à l’échelle mondiale, tout en prenant en charge son environnement hétérogène à architectures multiples. De plus, la solution devait aider Sony à se conformer à ses systèmes financiers internes ainsi qu’aux exigences SOC et RGPD.

Après avoir évalué plusieurs options, Sony a opté pour Commvault Cloud en raison de ses capacités complètes en matière de cyber-résilience. Le déploiement couvre désormais 5 000 terminaux répartis sur plusieurs centres de données, régions et fournisseurs de cloud, y compris son vaste parc AWS.

Les résultats ont été considérables. Sony a réduit ses coûts de matériel, de supports de stockage et de sauvegarde d’environ 80 % grâce au chiffrement, à la compression et à la transition vers un stockage sur disque et dans le cloud sur AWS et Azure. L’entreprise a également amélioré ses objectifs de point de reprise (RPO) et a acquis la capacité de détecter les menaces plus tôt, de se rétablir plus rapidement et de réduire les temps d’arrêt.

« Les principales différences entre les solutions de sécurité résident dans leurs capacités de déploiement et de Recovery », a déclaré M. Cinar. « L’infrastructure robuste et complète de Commvault répond à tous nos besoins en matière de Recovery, d’accords de niveau de service et de fonctionnalités essentielles telles que la détection des menaces et d’autres fonctionnalités de sécurité. »

L’expérience de Sony montre comment les organisations peuvent s’adapter avec succès au modèle de responsabilité partagée d’AWS en mettant en œuvre une approche unifiée de la protection et de la sécurité des données dans les environnements hybrides. Son partenariat avec Commvault et Accenture lui a permis de mettre en place des politiques de protection cohérentes sur l’ensemble de son infrastructure AWS, tout en garantissant la conformité aux exigences internes et externes.

Commvault aide ses clients à assumer leurs responsabilités dans le cadre du modèle de responsabilité partagée d’AWS en leur fournissant des outils de niveau entreprise destinés àprotection des données, la reprise, etla conformité. Sa plateforme prend en charge les environnements hybrides et multicloud, ce qui permet aux entreprises de gérer leurs données de manière cohérente sur AWS et d’autres infrastructures.

Commvault étend la responsabilité de la sécurisation et de la protection des données dans le cloud aux charges de travail critiques des centres de données, grâce à des sauvegardes immuables et isolées physiquement, stockées au sein d’un tenant isolé sur Amazon S3.

Cela permet aux entreprises d’offrir ce niveau supplémentaire de récupérabilité au sein d’un écosystème aussi vaste que possible, englobant notamment l’infrastructure et des applications telles que SAP, Oracle, Microsoft SQL Server, Active Directory, Epic Systems, VMware et ServiceNow, entre autres. Commvault protège ces charges de travail en les sauvegardant sur AWS et en fournissant des niveaux supplémentaires de sécurité et de résilience, conformément au modèle de responsabilité partagée.

Grâce à ses fonctionnalités d’automatisation intégrées, Commvault simplifie les processus de Backup and Recovery en réduisant les étapes manuelles, ce qui permet aux équipes d’intervenir plus rapidement et de limiter les erreurs. La visibilité centralisée sur l’ensemble des charges de travail permet aux équipes informatiques et de sécurité de surveiller l’activité des données, de vérifier les contrôles et de se conformer aux réglementations du secteur.

Commvault permet également aux entreprises d’assurer des Recovery plus rapides et à moindre coût pour les charges de travail natives émergentes telles qu’Amazon S3 et Amazon DynamoDB grâce à sa solution Clumio, optimisant ainsi la protection et rendant cette protection essentielle plus accessible. Les entreprises qui utilisent Clumio peuvent s’acquitter de leur responsabilité partagée en matière deprotection des données au sein des services natifs d’AWSgrâce à une solution simple et clé en main, optimisée en termes de coûts et d’efficacité.

Il est essentiel de bien comprendre le modèle de responsabilité partagée d’AWS pour protéger vos données et vos applications dans le cloud. En sachant précisément quelles mesures de sécurité relèvent de votre responsabilité, vous pouvez mettre en place des défenses plus solides et réagir plus rapidement aux menaces.
Commvault peut aider les entreprises à combler leurs failles de sécurité et à renforcer leur stratégie de protection des données sur AWS. Laissez-nous vous montrer comment notre plateforme peut vous aider à atteindre vos objectifs en matière de sécurité dans le cloud endemander une démonstration.