Date:
7 Jul 2025
Auteur:
PREO AG
Sur site vs. cloud
La sécurité dans le cloud et au sein des entreprises utilisant encore des solutions sur site.
L’informatique cloud fait désormais partie intégrante du quotidien des entreprises et des stratégies IT modernes. Qu’elles soient privées ou publiques, les organisations de toutes tailles s’appuient sur les services cloud pour rendre leur infrastructure plus évolutive, plus flexible et plus rentable.
Cependant, plus l’usage du cloud s’intensifie, plus les risques en matière de sécurité augmentent ; tout comme les conséquences potentiellement critiques en cas d’attaque. Les cybercriminels ciblent de plus en plus les failles des plateformes et services cloud.
Chaque année, les principaux fournisseurs investissent des milliards dans la sécurisation et la disponibilité de leurs systèmes. En parallèle, la demande de solutions de cybersécurité ne cesse de croître. Selon l’association professionnelle Bitcom, les entreprises allemandes investiront à elles seules plus de 10 milliards d’euros dans la cybersécurité et la sécurité cloud d’ici à 2024 ; une tendance en forte progression.
Dans cet article de blog, nous présentons les approches fondamentales que les entreprises et les administrations publiques peuvent adopter pour renforcer efficacement leur sécurité dans le cloud. Nous examinons également les situations où il peut être pertinent de ne pas migrer certaines charges de travail vers le cloud (ou de les réintégrer sur site) non seulement pour des raisons de sécurité, mais aussi pour des considérations opérationnelles ou stratégiques.
Cinq approches pour renforcer efficacement la sécurité dans l’informatique cloud
L’entreprise de recyclage de taille moyenne Eu-Rec, basée en Rhénanie-Palatinat (Allemagne), a récemment été contrainte de se placer sous la protection de la loi sur les faillites à la suite d’une cyberattaque. Ces deux dernières années seulement, plusieurs incidents systémiques impliquant des fournisseurs d’énergie, des établissements de santé ou encore des administrations publiques ont également fait la une de l’actualité.
Si les entreprises et les infrastructures critiques sont particulièrement exposées à ces menaces, toutes les organisations — quels que soient leur secteur ou leur taille — devraient réévaluer régulièrement leur stratégie de sécurité et l’adapter en fonction des scénarios de menace actuels.
Voici cinq approches clés pour renforcer la sécurité de l’informatique cloud :
1. Gestion des identités et des accès (IAM)
Une stratégie IAM solide constitue la première ligne de défense contre les accès non autorisés. Les services cloud, accessibles depuis n’importe quel endroit, sont particulièrement exposés si les identités ne sont pas protégées de manière fiable.
Il est donc essentiel que les entreprises mettent en place des procédures d’authentification multifacteur (MFA), des contrôles d’accès basés sur les rôles (RBAC) et des vérifications régulières des droits d’accès. Le respect du principe du moindre privilège — qui consiste à n’accorder à chaque utilisateur que les autorisations strictement nécessaires à ses fonctions — est également fondamental.
2. Cryptage des données
Toutes les données doivent être chiffrées, aussi bien lors de leur transmission que pendant leur stockage. Les plateformes cloud modernes proposent généralement des fonctionnalités de chiffrement intégrées, mais il revient à l’utilisateur final d’en assurer l’activation et la gestion.
Les responsables informatiques doivent garantir en permanence un chiffrement de bout en bout. Pour les données sensibles ou personnelles, il est recommandé d’utiliser des systèmes de gestion des clés (KMS) adaptés, afin de renforcer la sécurité et le contrôle.
3. Surveillance et détection des anomalies
Une surveillance continue de l’environnement cloud, appuyée par l’intelligence artificielle, permet d’identifier rapidement toute activité inhabituelle et d’y réagir sans délai.
Pour cela, les entreprises s’appuient sur des solutions SIEM (Security Information and Event Management) et sur des outils de Cloud Security Posture Management (CSPM). Ces systèmes offrent une visibilité maximale sur les configurations, les accès et les menaces potentielles, permettant ainsi de prévenir de manière proactive les failles de sécurité et les erreurs de configuration.
4. Sécurisation des API et des interfaces
Les API sont au cœur de nombreuses applications cloud, mais elles représentent également un point d’entrée sensible pour les cyberattaques. Les interfaces système étant particulièrement exposées, leur protection doit être une priorité.
Pour limiter les risques, les API doivent systématiquement être authentifiées, chiffrées et soumises à des contrôles réguliers afin de détecter d’éventuelles vulnérabilités. L’implémentation de limitations de débit (rate limiting) et de journaux détaillés permet également de prévenir les abus et de préserver l’intégrité des services.
5. Audits de sécurité et contrôles de conformité périodiques
Le respect des exigences réglementaires telles que le RGPD, la norme ISO 27001 ou des standards sectoriels spécifiques implique de démontrer que l’usage du cloud s’effectue dans des conditions de sécurité optimales.
Des audits réguliers et des tests de pénétration permettent d’identifier les failles potentielles et de garantir la conformité aux normes légales, sectorielles ou internes. Bien que les fournisseurs cloud proposent souvent leurs propres outils et rapports de conformité, il est fortement recommandé de les compléter par des audits indépendants pour renforcer la transparence et la fiabilité.
Pour plus de sécurité dans l’informatique cloud : des capacités de journalisation renforcées chez Microsoft
Microsoft a également fait les frais d’une sécurité insuffisante en 2023, lorsqu’un groupe de hackers chinois, Storm-0558, a réussi à s’emparer d’une clé de signature principale, accédant ainsi à des milliers de données clients sur Azure, Exchange et Outlook.
En réponse, Microsoft Purview Audit a renforcé considérablement la sécurité en introduisant des fonctions de journalisation étendues. Ces journaux offrent aux entreprises et aux administrations une meilleure visibilité sur les activités des utilisateurs et des administrateurs, et permettent de surveiller à tout moment des milliers d’événements dans Exchange, SharePoint et Teams.
Un guide officiel, le Microsoft Expanded Cloud Logs Implementation Playbook, publié par l’agence américaine de cybersécurité (CISA), accompagne d’ailleurs cette évolution avec une méthodologie de déploiement harmonisée.
Tout ne doit pas aller dans le cloud : la sécurité sur site reste essentielle
Malgré les nombreux avantages du cloud et les progrès réalisés en matière de sécurité, de plus en plus d’entreprises — notamment celles opérant dans des infrastructures critiques — ainsi que les institutions publiques et les administrations, choisissent de maintenir certaines charges de travail dans votre centre de données local ou de les rapatrier du cloud pour des raisons de sécurité. Cela concerne particulièrement les cas suivants :
- Lorsque des données hautement sensibles sont traitées — par exemple dans les secteurs de l’énergie, de la santé, de la logistique, de la finance, de la défense ou du domaine militaire. La perte totale de contrôle sur l’infrastructure informatique et le stockage des données représente non seulement un risque existentiel, mais peut aussi constituer une infraction, notamment si des réglementations ou certifications imposent des exigences spécifiques en matière de protection des données et de transparence.
- Lorsque des normes ou des architectures de sécurité propriétaires ne peuvent pas être facilement transposées vers des plateformes cloud. Les systèmes legacy complexes ou les applications développées sur mesure ne sont pas toujours migrables de manière sécurisée ou efficace.
- Lorsque des obligations réglementaires ou contractuelles imposent le stockage des données dans un pays donné ou sous certaines conditions. Certaines entreprises sont également soumises à des restrictions à l’export ou à des clauses de confidentialité renforcées.
- Lorsque des exigences de latence minimale ou de haute disponibilité ne peuvent être garanties de manière fiable via des offres cloud, notamment dans des environnements de production ou de computing en périphérie (edge computing)
- Lorsque des considérations de coûts ou de contrôle justifient de ne pas dépendre exclusivement de fournisseurs tiers. Les entreprises qui conservent la maîtrise de leur infrastructure informatique conservent également un contrôle total sur leurs données et leurs systèmes, ce qui peut s’avérer décisif en cas d’incident de sécurité.
Objectif stratégique : cloud et sécurité doivent aller de pair
Avec une stratégie de sécurité globale et adaptée (allant de la gestion des identités au chiffrement, en passant par une surveillance approfondie en continu) les entreprises peuvent exploiter pleinement les avantages du cloud, sans perdre le contrôle sur leurs données, leurs charges de travail ou leurs systèmes.
Pour autant, il reste essentiel de garder à l’esprit les risques potentiels. Pour de nombreuses organisations, il est souvent plus judicieux de combiner les bénéfices du cloud avec des solutions sur site, notamment pour les charges de travail sensibles ou critiques. Ce n’est pas un hasard si les architectures cloud hybrides, qui réunissent le meilleur des deux approches, s’imposent aujourd’hui comme le modèle préféré de la majorité.
Par ailleurs, l’exploitation locale présente d’autres avantages, notamment en matière de gestion des actifs logiciels. De plus en plus de responsables informatiques gagnent en flexibilité budgétaire en achetant ou en revendant légalement des licences de logiciels d’occasion, réduisant ainsi durablement leurs coûts de licence.
Des avantages convaincants : les logiciels d’occasion PREO pour un usage local
Pionnier du marché européen des logiciels d’occasion, PREO propose aux entreprises, organisations et administrations publiques un large choix de licences en volume d’occasion pour une utilisation sur site, à tout moment. L’accent est mis sur les logiciels standards largement utilisés, développés par des éditeurs leaders tels que Microsoft, Adobe, VMware ou Oracle. Ces solutions permettent aux entreprises d’optimiser durablement leurs coûts de licence et de bénéficier des avantages suivants :
- Des économies significatives sur les coûts de licence, pouvant atteindre jusqu’à 70 % par rapport aux versions neuves équivalentes.
- L’acquisition de licences 100 % conformes à la législation et aux exigences d’audit, avec une transparence maximale à chaque étape du processus, notamment grâce à une documentation complète accessible sur le portail de licences PREO « Easy Compliance ».
- Un accompagnement personnalisé pour toutes les questions liées aux transactions de licences ou à l’intégration de logiciels d’occasion dans des infrastructures réseau classiques ou dans des modèles cloud hybrides.
- Des capacités éprouvées de gestion des licences logicielles pour les projets d’infrastructure IT à grande échelle, couvrant des milliers de postes et des sites répartis sur plusieurs pays.
- Une approche plus durable de l’informatique, en favorisant une économie circulaire active et en contribuant à la réduction de l’empreinte carbone des entreprises.
- Une solide expérience issue de nombreux projets de référence menés avec succès auprès d’entreprises renommées, issues de secteurs et d’industries variés.
