Si les plates-formes de collaboration dans le Cloud facilitent le partage, elles compliquent aussi la sécurité. Avec la récente explosion du télétravail et des plates-formes de collaboration dans le Cloud, comme Teams, il est important de comprendre que plus il est facile pour les utilisateurs de partager des données, plus il est difficile d’identifier les risques et d’y remédier avant qu’il ne soit trop tard.
L’objectif de cet article est d’aider les entreprises à appréhender les défis liés à la protection des données dans le Cloud, où simplicité d’utilisation et collaboration à grande vitesse l’emportent sur le contrôle.
Gérer l’exposition des données en local n’est pas chose aisée, même si le personnel informatique peut davantage contrôler la façon dont les utilisateurs partagent les informations sur site que dans le Cloud. Avec des applications Cloud telles que Microsoft 365, les employés bénéficient d’une grande autonomie et dictent le rythme de la collaboration. Ils sont très peu surveillés par l’équipe informatique, ce qui entraîne une flambée des risques de violation des données.
Les droits d’accès aux données deviennent rapidement ingérables
En moyenne, plus de 20 % des dossiers d’une entreprise finissent par être accessibles à tous les employés. Bon nombre de ces dossiers renferment des fichiers sensibles auxquels seules quelques personnes devraient avoir accès, et non des centaines ou des milliers. N’importe quel responsable serait terrifié d’apprendre que l’employé moyen a accès à plus de 17 millions de fichiers alors qu’il lui en faut beaucoup moins pour accomplir ses tâches.
L’essor du stockage dans le Cloud se traduit par une hausse exponentielle des enjeux en matière de sécurité. Il suffit d’une seule erreur, comme un dossier mal configuré, pour que les informations sensibles soient non seulement accessibles aux employés, mais aussi à toute personne disposant d’un accès à Internet.
Pourquoi est-il si compliqué de résoudre ce type de problème ?
Il est difficile de visualiser les données à l’échelle actuelle, plus difficile d’identifier et de hiérarchiser les risques, et encore plus difficile d’y remédier. Dans les environnements sur site, pour savoir qui a accès à un dossier, les administrateurs doivent recouper les informations provenant de plusieurs outils. Or, les entreprises possèdent aujourd’hui des centaines de milliers de dossiers. Même si ce sont eux qui mettent en place les partages, les administrateurs ne sont pas suffisamment nombreux pour gérer une armée d’utilisateurs et une multitude de dossiers.
Dans le Cloud, les administrateurs doivent une fois encore recourir à différents outils pour gérer les accès. En revanche, ce sont les utilisateurs finaux, et non les administrateurs, qui dictent la structure, l’ampleur et le rythme de la collaboration. Dans Microsoft Teams, par exemple, n’importe quel utilisateur peut facilement créer une nouvelle équipe et partager des fichiers. Il est libre d’inviter des utilisateurs internes ou extérieurs à l’entreprise (si le partage externe est autorisé) et de partager toutes sortes d’éléments.
Si un utilisateur constitue une équipe, il en devient le propriétaire. Il peut nommer d’autres propriétaires de l’équipe parmi les utilisateurs, qui sont à leur tour autorisés à inviter des membres. Les membres ont la possibilité de partager à la fois les dossiers et les fichiers de Teams, SharePoint Online ou OneDrive. Dans le Cloud, bien plus de personnes partagent davantage d’objets, et les changements se produisent beaucoup plus rapidement. Le Cloud a considérablement accéléré la collaboration et le changement, mais les administrateurs ont reçu très peu d’aide pour suivre le rythme et la gestion des accès nécessite toujours plusieurs outils.
Rares sont les entreprises qui permettent aux utilisateurs de rechercher des fichiers sur site comme ils le feraient sur Google. Autrement dit, il est impossible pour les employés de rechercher des mots tels que « paie » et de tomber rapidement sur des informations non sécurisées auxquelles ils ne devraient pas avoir accès. Les dépôts de données dans le Cloud, en revanche, sont souvent équipés de moteurs de recherche intégrés. Dans 365, le logiciel Delve de Microsoft affiche même les fichiers susceptibles de présenter un intérêt sans que l’utilisateur ait besoin de saisir quoi que ce soit. Cela concerne tous les fichiers accessibles, sensibles ou non. Les employés malveillants et les cybercriminels disposant des droits d’accès adéquats ont donc plus de facilité à trouver et à dérober des données de valeur.
Maintenant que les administrateurs et le personnel de sécurité doivent se maintenir à flot tout en gérant les dépôts de données sur site et dans le Cloud, comment leur faciliter la tâche ?
Tout d’abord, il est important d’adopter une solution d’automatisation à même de réduire le chaos aussi vite qu’il est créé. Confier aux utilisateurs la responsabilité de leurs données est un bon objectif, mais ils ont besoin d’automatisation pour rester sur les rails. À l’instar des voitures modernes qui alertent le conducteur lorsqu’il quitte sa voie, ou même des véhicules autonomes, les contrôles d’accès doivent s’accompagner de fonctions d’auto-réparation et les dépôts de données s’auto-nettoyer. Les projets de nettoyage manuel sont fastidieux et sans fin. Ils font courir trop de risques aux entreprises.
La plupart des responsables ignorent où se trouvent les données sensibles, qui y a accès, qui a besoin d’y accéder ou qui les utilise. L’automatisation aide à mieux comprendre les données et à distinguer celles qui sont les plus à risque de celles qui sont obsolètes ou inutiles. Cette visibilité leur permet de limiter les risques de manière rapide et sécurisée.
Deuxièmement, une fois la surface de risque réduite, il convient de s’assurer que rien ne passe entre les mailles du filet : utilisateurs légitimes se servant de leurs droits d’accès de manière abusive ou utilisateurs victimes de cybercriminels externes, de malwares ou de menaces persistantes avancées.
Il y a dix ans, les véhicules autonomes avec correction des erreurs étaient considérés comme de la pure science-fiction par la plupart des gens. Pourtant, ces technologies seront bientôt disponibles. La protection automatisée des données est elle aussi devenue réalité, avec la visualisation des risques, l’autoréparation en cas d’exposition des données et la détection avancée.
Les entreprises qui choisissent d’intensifier la collaboration à l’aide des technologies Cloud ont deux options : soit accroître la collaboration et multiplier les risques, soit automatiser la protection des données pour suivre le rythme de la collaboration dans le Cloud.