Modèle de responsabilité partagée
Répartition des tâches de sécurité entre le fournisseur cloud et le client, qui reste toujours responsable de ses données et accès.
Définition complète
Le modèle de responsabilité partagée décrit qui, du fournisseur cloud ou du client, doit configurer, exploiter et surveiller chaque mesure de sécurité. La répartition dépend du type de service :
En IaaS (machines virtuelles), le fournisseur gère les centres de données, le réseau physique et les serveurs physiques ; le client gère les systèmes d'exploitation, les applications et les règles réseau. En PaaS, le fournisseur prend aussi en charge les systèmes d'exploitation. En SaaS (Microsoft 365, CRM en ligne), il gère la quasi-totalité de la pile technique.
Quel que soit le modèle, le client conserve toujours la responsabilité de ses données (classification, protection, conformité), de ses comptes et identités (création, suppression, authentification multifacteur, droits), de ses terminaux et de la configuration des services qu'il utilise. Passer au cloud transfère une partie du travail, jamais la responsabilité de ces éléments.
Source : Microsoft Learn, responsabilité partagée dans le cloud
Exemple concret
Une PME de négoce de 25 salariés pensait que ses données étaient « sauvegardées par Microsoft » depuis son passage à Microsoft 365. Un salarié dont le compte, protégé par un simple mot de passe, a été piraté voit ses fichiers OneDrive et un dossier SharePoint partagé chiffrés puis supprimés. La plateforme a fonctionné normalement : ce sont l'absence d'authentification multifacteur et de sauvegarde indépendante, deux responsabilités du client, qui ont permis l'incident.
Comment se protéger
- Lire la documentation de responsabilité partagée de chacun de vos fournisseurs cloud
- Lister pour chaque service ce qui relève de vous : comptes, droits, configuration, données, sauvegarde
- Activer l'authentification multifacteur sur tous les comptes cloud
- Mettre en place une sauvegarde indépendante des données que vous jugez critiques
- Revoir régulièrement les partages externes et les droits d'accès
- Préciser dans les contrats avec vos infogérants qui assure chaque tâche de sécurité
Questions fréquentes
Seulement si l'incident vient de la partie qu'il gère (infrastructure, plateforme). Un compte piraté faute d'authentification multifacteur, un partage public ou une mauvaise configuration relèvent du client.
Oui : les comptes utilisateurs, les droits, les options de sécurité à activer, les partages, les appareils qui se connectent et la protection des données elles-mêmes restent de votre ressort.
Termes liés
Authentification multifacteur
Méthode de connexion requérant plusieurs preuves d'identité.
CSPM
Outil qui vérifie en continu la configuration de vos environnements cloud et signale les réglages dangereux.
Plan de reprise d'activité
Procédures pour restaurer les systèmes après un incident majeur.
Sécurité de Microsoft 365
Réglages et bonnes pratiques pour protéger comptes, emails et fichiers d'une entreprise utilisant Microsoft 365.
Vous avez besoin d'un expert en Modèle de responsabilité partagée ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.