Outils & Solutions v1.0

CSPM

Outil qui vérifie en continu la configuration de vos environnements cloud et signale les réglages dangereux.

Définition complète

Le CSPM (Cloud Security Posture Management, gestion de la posture de sécurité cloud) évalue en continu la configuration des ressources hébergées chez un fournisseur cloud (Azure, AWS, Google Cloud) : espaces de stockage accessibles publiquement, bases de données exposées sur internet, absence de chiffrement, comptes sans authentification multifacteur, journaux désactivés.

Il compare ces réglages à des référentiels de bonnes pratiques, produit des recommandations classées par priorité et, souvent, un score de sécurité qui permet de suivre les progrès. Certaines offres proposent aussi une correction automatique ou le suivi de la conformité à des normes.

Dans le cloud, la plupart des incidents ne viennent pas d'une faille du fournisseur mais d'une erreur de configuration du client, qui reste responsable de ses réglages (voir le modèle de responsabilité partagée). Les grands fournisseurs intègrent une version de base de ces fonctions : chez Microsoft, le CSPM de base de Defender for Cloud est gratuit, les fonctions avancées sont payantes.

Source : Microsoft Learn, qu'est-ce que la gestion de posture de sécurité cloud (CSPM)

Exemple concret

Une société de formation de 40 salariés a migré ses outils sur un cloud public avec l'aide d'un freelance. Un CSPM activé un an plus tard révèle qu'un espace de stockage contenant les copies des pièces d'identité des stagiaires est accessible par simple lien, sans authentification. L'entreprise ferme l'accès, vérifie les journaux de consultation et évalue avec son DPO s'il faut notifier la CNIL.

Comment se protéger

  • Activer les fonctions de posture de sécurité incluses chez votre fournisseur cloud
  • Traiter en priorité les ressources exposées sur internet et les données accessibles publiquement
  • Couvrir tous les abonnements et comptes cloud, y compris ceux créés hors du service informatique
  • Désigner un responsable du suivi des recommandations et d'un objectif de score
  • Contrôler la configuration avant chaque mise en production plutôt qu'après
  • Faire auditer l'environnement cloud par un tiers lors d'une migration importante

Questions fréquentes

Termes liés

Chiffrement

Transformation des données pour les rendre illisibles sans clé.

Modèle de responsabilité partagée

Répartition des tâches de sécurité entre le fournisseur cloud et le client, qui reste toujours responsable de ses données et accès.

Scanner de vulnérabilités

Outil qui analyse automatiquement serveurs, postes et sites web pour repérer les failles connues et les mauvaises configurations.

Shadow IT

Usage par les salariés d'applications, services cloud ou appareils non validés par l'entreprise, hors de tout contrôle de sécurité.
Trouver un prestataire spécialisé
Tester ma maturité cyber

Vous avez besoin d'un expert en CSPM ?

Créez votre compte pour recevoir des réponses de prestataires qualifiés.

Créer un compte gratuit Déjà inscrit ? Se connecter
Retour au lexique