Accueil / IT Business / Parole d'entreprise / DevOps : Quand le « Zero Trust » garantit la disponibilité des données en temps réel

DevOps : Quand le « Zero Trust » garantit la disponibilité des données en temps réel

Si le secteur de la sécurité a tendance à voir le modèle Zero Trust comme un rempart efficace pour protéger les réseaux d’entreprise contre toute personne non autorisée, les spécialistes de la sécurité et de la conformité des données inscrivent cet enjeu dans un contexte plus global. Car le Zero Trust vise également à garantir la disponibilité et la sécurité des données dans l’environnement DevOps. Pour ce faire, il est décisif de pouvoir s’appuyer sur un système performant de gestion et d’anonymisation des données de test.

Une question d’actualité, même pour le DevOps

Pour les décideurs DevOps, la priorité est de protéger les logiciels en cours de développement. Car malheureusement, les applications et les systèmes d’exploitation sont de plus en plus ciblés par les cybercriminels, comme l’ont clairement démontré les événements liés à SolarWinds, entrés dans l’histoire comme l’une des campagnes de piratage les plus inquiétantes. Les hackers ont infecté une mise à jour de ce logiciel de gestion et de surveillance informatique, s’immisçant ainsi dans les réseaux de nombreuses entités publiques et privées, partout dans le monde. Au cours des enquêtes menées par la suite, les experts en sécurité ont constaté que le point d’entrée de l’attaque avait été le pipeline DevOps de SolarWinds. Les hackers n’ont même pas eu besoin de pirater les systèmes de production : les clients de SolarWinds ayant installé eux-mêmes la mise à jour infectée, les cyberattaquants n’ont eu qu’à utiliser des identifiants de connexion compromis pour accéder au réseau de l’entreprise et s’y déplacer pour voler de grandes quantités de données.

Car de plus en plus, ces attaques sont associées à des vols de données et à des ransomwares. Elles visent tout particulièrement les environnements hors production, et ce, pour une raison bien précise : beaucoup d’entreprises utilisent des ensembles de données réels, parfois volumineux, pour tester le fonctionnement, la stabilité et la résilience de leurs applications, fonctions ou mises à jour. Or, les spécialistes de la cybersécurité cherchent en premier lieu à protéger les systèmes de production, au détriment des environnements de test. Certaines entreprises jugent même le processus d’anonymisation des données sensibles incompatible avec les exigences de rapidité des flux de travail DevOps. De plus, ces équipes de développement, rarement intégrées à un service interne, sont souvent dispersées dans le monde entier. Des données sensibles sont donc conservées, sans protection, dans des systèmes externes. À cela s’ajoute le fait qu’elles sont souvent envoyées aux développeurs par mail ou sur des services cloud, via des lignes publiques. Selon Delphix, 56 % des entreprises n’anonymisent pas leurs données sensibles dans les environnements de test. Au-delà des enjeux de conformité, cette pratique génère une cible facile pour les cybercriminels, surtout si l’entreprise déploie de nombreuses instances de test – dans son infrastructure interne ou sur le cloud.

Protection classique versus Zero Trust

En principe, le modèle Zero Trust n’accorde aucune confiance implicite aux actifs, comptes d’utilisateurs, microservices ou données, sur la simple base de leur emplacement, ou périmètre. Cela signifie que chaque utilisateur, chaque transaction, doit être vérifié avant de pouvoir accéder à une ressource de l’entreprise. Le National Institute of Standards and Technology (NIST) définit le Zero Trust comme un ensemble évolutif de paradigmes de cybersécurité qui concentrent la défense des périmètres statiques axés sur le réseau, sur les utilisateurs, les actifs et les ressources.

Toutefois, le Zero Trust ne s’installe pas aussi facilement qu’une nouvelle solution de protection informatique. Un logiciel ou un appareil serait nettement insuffisant et ne permettrait au mieux que de placer quelques domaines sous le périmètre de protection Zero Trust. Les réseaux d’entreprise étant de plus en plus complexes, les concepts de sécurité traditionnels ainsi que les contrôles d’accès doivent être entièrement révisés. En effet, le périmètre de collaboration va bien au-delà des frontières de l’entreprise, car les employés travaillent souvent ailleurs, de chez eux par exemple. Quant aux sous-traitants et aux fournisseurs, eux aussi se connectent à une multitude d’appareils et de réseaux. Bref, l’infrastructure ne se trouve plus à 100 % au sein de l’entreprise. En outre, le devoir de diligence concernant les données (surtout en matière de DevOps) soulève un défi particulier, car les concepts de protection classiques s’avèrent bien trop limités.

Le Zero Trust appliqué au DevOps

La valeur stratégique des données commerciales augmente le besoin en environnements adaptés, avec des applications donnant accès à de plus en plus de données sensibles. Ces dernières sont donc sans cesse en mouvement : elles peuvent être, par exemple, extraites d’un référentiel sur site, puis chargées dans un flux de travail analytique, sur le cloud. Ces ensembles de données sont couramment transférés en externe, à des équipes de développement ou à des fournisseurs, pour traitement ultérieur. Or, ils ne sont pas forcément soumis à un modèle Zero Trust (anonymisation, tokenisation, etc.). Par conséquent, les entreprises transmettent de plus en plus de données sensibles à des environnements hors production.

De multiples sources de données, une sécurité élevée

Le DevOps exige d’importants volumes de données, qui doivent être facilement et rapidement accessibles. D’où deux besoins fondamentaux : regrouper ces grandes quantités de données issues d’une multitude de sources différentes, et les protéger contre tout accès et utilisation non autorisés, au cours des opérations de DevOps. Delphix est en mesure de fournir très rapidement, et en grandes quantités, des données réelles pour les scénarios de test à partir de nombreux systèmes sources (mainframes ou conteneurs cloud, pour les applications cloud-natives via SaaS ou encore des clouds privés et publics). Dans un premier temps, les données sont rendues inaltérables via une architecture Write-Once-Read-Many, ce qui les immunise contre les ransomwares.

Elles sont mises à disposition via une couche de virtualisation pour éviter la création de copies redondantes. L’avantage est que les testeurs travaillent toujours avec des données actuelles : aucun pool de données n’encombre les systèmes de stockage après les tests, voire n’est oublié dans des endroits mal sécurisés. Enfin, les données sont anonymisées. Concrètement, les DPI ou les données sensibles sont rapidement identifiées, quelle que soit leur source, à l’aide d’algorithmes préconfigurés.

Elles sont ensuite automatiquement anonymisées ou tokenisées. Ce qui présente un atout de taille pour le DevOps : dans les scénarios de test par exemple, les développeurs n’utilisent pas de données réelles, mais des données à la fois fictives et réalistes, avec une intégrité référentielle. L’anonymisation les transforme de manière irréversible : elles sont donc inutilisables pour les hackers. Les testeurs peuvent mener leurs opérations avec la même envergure et la même qualité qu’avec des données réelles – bien que dans ce cas de figure, les directives de conformité et de sécurité sont respectées.

L’essentiel est que le processus d’anonymisation ne devienne pas un goulot d’étranglement pour les développeurs et les testeurs, ce qui était malheureusement souvent le cas avec les technologies précédentes, détournant ainsi de nombreux services DevOps de l’anonymisation. D’où l’intérêt d’une solution capable de répéter des tâches batch fastidieuses d’anonymisation de données, afin de ne pas entraver le travail de DevOps. Pour ce faire, il faut une technologie qui intègre en toute transparence la mise à disposition, le masquage et la virtualisation des données.

Une fois ces conditions réunies, les DevOps pourront profiter pleinement et à grande échelle des avantages des données virtuelles réelles anonymisées, que ce soit sur site, dans des environnements multi-cloud ou n’importe où, pour leurs besoins et scénarios de test, dans le respect des règles de conformité.

Par  Sven Marz, Senior Director Field Services EMEA de Delphix

A voir

La communication unifiée en 2022 : un sujet stratégique

L'évolution des usages et des modes de travail est désormais une réalité concrète pour des millions de collaborateurs : la crise sanitaire a modifié nos habitudes et fait émerger de nouveaux outils à large échelle...