En effet, il se peut que vous ne stockiez pas seulement vos fichiers, photos, vidéos, mais également les paramètres de votre application, vos notes, vos rappels et, si vous utilisez un gestionnaire de mots de passe, éventuellement votre mot de passe maître sécurisé.
Si vous travaillez dans une organisation collaborative, qu’elle soit liée au monde professionnel ou au domaine privé, vous travaillez probablement beaucoup avec des documents partagés en ligne que vous transmettez, et peut-être même que vous partagez des identifiants. Je ne suis pas ici pour vous montrer du doigt, c’est juste une réalité pour beaucoup d’entre nous. L’important ici est de bien comprendre les risques qui sont liés à nos comportements et surtout de bien intégrer ce que nous pouvons faire pour les atténuer.
Après tout, n’oublions pas que le Cloud n’est rien de plus que l’ordinateur d’un tiers. Par conséquent, le risque lié au stockage dans le Cloud est que finalement vous abandonnez le contrôle que vous avez sur vos fichiers au niveau local. Ainsi, il existe un risque, même minime, qu’un individu puisse accéder à vos données, de manière malveillante ou accidentelle.
Voici quelques exemples d’individus non autorisés qui chercheraient à accéder à vos données Cloud :
- Un attaquant qui se faufilerait au sein du serveur Cloud où vos fichiers sont stockés.
- Un employé de l’entreprise Cloud qui a un accès trop large aux fichiers des clients.
- Un collègue qui a quitté depuis un certain temps l’entreprise mais qui a toujours accès à vos fichiers.
Peut-être que cet ancien collègue ne cherche pas réellement à accéder à ses anciens fichiers, ou bien peut-être est-il allé travailler pour un concurrent. Peut-être que cet attaquant ne peut accéder qu’à d’anciens documents Word que vous aviez oubliés, ou peut-être a-t-il trouvé tout un ensemble de données contenant vos mots de passe financiers non chiffrés.
Pour résumer, stocker vos données Cloud, quelles qu’elles soient, de manière sécurisée signifie les protéger de toutes personnes indésirables, même si vous ne pouvez pas accéder physiquement à ces dernières. Pour ce faire, vous devez prendre et combiner ensemble plusieurs mesures de sécurité.
TOUJOURS : opter pour des services qui utilisent un chiffrement puissant
Vous ne stockeriez pas vos fichiers cruciaux n’importe où, n’est-ce pas ? Vous ne souhaiteriez pas confier vos fichiers à un vieux service douteux qui prétend fournir un stockage Cloud.
Le processus de transfert de fichiers de votre ordinateur vers leurs serveurs est-il sécurisé ? Quand les données Cloud sont sur leurs serveurs, sont-elles chiffrées et également sécurisées, et si oui, comment ?
Ce type d’information est vraiment le minimum à obtenir concernant le service de stockage en question. Si vous ne trouvez pas les détails à ce sujet facilement, allez ailleurs.
SI VOUS LE POUVEZ : chiffrez d’abord localement
Si vous stockez des fichiers localement, puis les sauvegardez dans le Cloud via un programme tel que Dropbox, S3 ou Google Drive, le meilleur moyen de les sécuriser est de les chiffrer localement, c’est-à-dire sur votre ordinateur, disque dur ou un autre périphérique, et ce avant qu’ils ne soient envoyés dans le Cloud. Ainsi, si un individu parvenait à pénétrer au sein de votre stockage Cloud, vos fichiers chiffrés ne représenteraient, pour ce dernier, rien d’autre qu’un enchevêtrement inutile de données illisibles.
Bien sûr, vous n’utilisez peut être pas systématiquement le Cloud comme un disque dur géant contenant de nombreux fichiers. Vous n’êtes donc pas toujours en mesure de chiffrer vos fichiers localement. Vous devez parfois vous reposer sur les services que vous utilisez pour accomplir cette tâche à votre place.
Ainsi, il est intéressant de vérifier s’ils sont effectivement en mesure de le faire.
Prenez les gestionnaires de mots de passe, par exemple. Les gestionnaires dignes de ce nom chiffreront vos données localement avant de les sauvegarder en ligne. Ils conserveront également la clé nécessaire pour chiffrer et déchiffrer ces données sur votre appareil et JAMAIS dans le Cloud. Cela nécessitera un peu de lecture et de recherche de votre part pour le vérifier, mais tout service sérieux, que vous pourrez utiliser sans soucis, indiquera clairement où et comment il traite ce type d’information.
TOUJOURS : utiliser des passcodes robustes et le MFA
De nombreux services Cloud, tels que Google Drive ou iCloud, offrent la possibilité d’accéder aux fichiers et aux informations en ligne, via un portail web. Si vous souhaitez accéder à vos données de cette manière, alors n’importe quel attaquant en mesure de deviner ou d’hameçonner votre mot de passe concernant ce service, aura lui aussi accès à vos données Cloud.
Pour cette raison, vous devez autoriser l’utilisation d’un mot de passe fort et unique et activer l’authentification multi-facteurs (MFA) partout où elle est disponible.
Votre téléphone et votre ordinateur sont également des portes d’entrée donnant accès à votre vie dans le Cloud. Assurez-vous qu’elles soient également bien protégées par des codes PIN et des passcodes puissants.
TOUJOURS : suivre le principe du moindre privilège
Le principe du moindre privilège est de donner aux gens uniquement l’accès dont ils ont besoin pour mener à bien leurs missions, et rien de plus.
Si possible, demandez aux utilisateurs de créer leurs propres comptes afin que vous n’ayez pas à partager les identifiants. De cette façon, les utilisateurs pourront obtenir l’accès dont ils ont besoin, plutôt qu’un accès général dont n’importe qui aurait besoin. De plus, si une personne quitte votre entreprise, vous n’aurez pas à réinitialiser le mot de passe unique que tout le monde utilise, ou bien, comme c’est le cas souvent si personne ne pense à révoquer son accès, vous ne lui laisserez pas avoir accès à toutes les données professionnelles de l’entreprise.
TOUJOURS : avoir une sauvegarde de vos données vitales
Si vous ne pouvez pas vivre sans certains fichiers, certaines photos ou autres types de données, vous devez vous assurer de disposer de sauvegardes de vos données Cloud.
Personnellement, j’ai plusieurs sauvegardes sur des disques durs physiques pour mes fichiers sensibles, en plus des sauvegardes dans le Cloud. Les sauvegardes ne sont utiles que si elles sont testées régulièrement, aussi je veille à les vérifier de temps en temps pour m’assurer que tout est toujours là où il devrait être et que tout fonctionne correctement. Et si un jour mes sauvegardes dans le Cloud devaient être compromises ou bien si le service Cloud que j’utilise devait s’arrêter (rappelez-vous, il s’agit ni plus ni moins de l’ordinateur d’un tiers), il est fort probable que ce jour-là les sauvegardes faites sur mon disque dur physique me sauvent la vie !
Billet inspiré de Storing your stuff securely in the cloud, sur Sophos nakedsecurity.
