Les messageries Gmail de Google et Office 365 de Microsoft, viennent de pâtir d’une panne géante à quelques jours d’intervalle. Alors que le recours au Cloud entraîne des risques systémiques, le Club des Experts de la Sécurité de l’Information et du Numérique, alias le Cesin, met en garde les dirigeants d’entreprises et prône la cyber-résilience.
L’explosion du phénomène d’externalisation des systèmes et des données ainsi que la multiplication des incidents impactant ces services doivent conduire l’entreprise à se saisir du sujet de la cyber-résilience. Dans un environnement en mutation constante où nombre d’événements deviennent imprévisibles, comment continuer à opérer et assurer une protection efficace des systèmes d’information de l’entreprise, ainsi qu’une continuité de service irréprochable ?
Les questions de disponibilité et d’intégrité des systèmes sont essentielles
Le recours au Cloud s’est banalisé avec une offre en apparence pléthorique mais qui repose en pratique sur une poignée d’acteurs du Cloud public majoritairement américains. Cette pratique appelle cependant des interrogations cruciales puisqu’elle modifie profondément les usages et les politiques de sécurité des systèmes d’information, en rendant dépendantes les entreprises aux fournisseurs de Cloud et donc au niveau de service qu’ils proposent. Parmi l’ensemble des risques du Cloud, les questions de disponibilité et d’intégrité des systèmes sont essentielles. Il s’agit notamment de faire face à deux phénomènes. L’évolution des menaces, d’une part, avec une augmentation significative des attaques ayant des impacts sur l’intégrité des systèmes et des données, avec des effets destructeurs, de propagations latérales et de dommages collatéraux. D’autre part, la concentration de quelques grands fournisseurs de Cloud a résolument fait évoluer les systèmes d’information vers de nouvelles formes de fragilité.
Un niveau de complexité élevé, inédit et difficile à maîtriser
Au-delà des vulnérabilités sans cesse découvertes, ces systèmes atteignent des dimensions considérables, avec en outre un niveau de complexité élevé, inédit et difficile à maîtriser. Ces architectures peuvent désormais facilement basculer dans des états instables et simultanément créer des pannes sur tout un ensemble d’entreprises clientes colocataires. La taille, la complexité et les interdépendances rendent les réparations difficiles à orchestrer dans des délais satisfaisants et compatibles avec les besoins opérationnels, quelles que soient les promesses inscrites dans les contrats. Lorsque le déséquilibre de ces systèmes s’installe, les moyens de secours sont insuffisants face au risque réel et il devient long et complexe de rétablir le fonctionnement nominal. A titre d’exemple, c’est la situation qu’ont connu ces derniers jours un ensemble d’entreprises européennes, victimes d’une panne prolongée de leur messagerie Office 365, avec un impact métier important. Quelques jours après, Gmail a également connu un incident d’ampleur. Or l’état vulnérable de ces systèmes ultraconcentrés se conjugue avec la cybercriminalité, car à la complexité et la vulnérabilité intrinsèques des architectures s’ajoutent les risques liés aux cyberattaques et à l’espionnage industriel.
Développer la résilience
Dans ce paysage, le risque systémique est très élevé. Alain Bouillé, président du Cesin, précise : « Les entreprises qui ont opté pour une stratégie « Cloud first » ne pouvaient plus assumer des infrastructures concentrées en propre. Mais leur risque s’est déplacé et est monté d’un cran au niveau des fournisseurs de Cloud. Il convient maintenant à chaque entreprise de l’adresser en développant sa résilience, en limitant les solutions trop monolithiques, en cassant les trop fortes dépendances à un nombre restreint d‘acteurs, en introduisant certaines rusticités et solutions de repli alternatives, en créant des zones de respiration des SI et en conservant la maîtrise de quelques éléments fondamentaux, nécessaires à une reconstruction, afin de ne jamais se retrouver en total déséquilibre. »
La cyber-résilience est un chantier essentiel pour les entreprises à l’aulne des évènements récents, qu’ils soient liés à la cybercriminalité ou aux défaillances à répétition des fournisseurs. Ce besoin impérieux nécessite une vision à long terme, car les choix d’aujourd’hui impacteront durablement leur développement de demain.
