Cloud Azure : le socle de sécurité que trop d'entreprises n'appliquent pas

Migrer dans le cloud ne veut pas dire être protégé. Azure, AWS, Google Cloud : les entreprises migrent, et beaucoup partent du principe que « c’est dans le cloud, donc c’est sécurisé ».

Un modèle de responsabilité partagée

Le fournisseur sécurise l’infrastructure. L’entreprise sécurise ses données, ses accès et ses configurations. Si personne ne le fait côté client, personne ne le fait.

Un tenant Azure mal configuré est une porte ouverte sur le système d’information : des droits trop larges, pas de MFA, pas d’accès conditionnel, pas de supervision.

Le socle recommandé par Microsoft

Six mesures qu’une trop grande partie des entreprises n’applique pas :

• Accès conditionnel fondé sur le risque. Les décisions d’accès tiennent compte du risque de connexion (sign-in risk) et du risque utilisateur (user risk), grâce à Microsoft Entra ID Protection.
• MFA activée partout, sans exception. Une exception oubliée est précisément celle qu’un attaquant trouvera.
• PIM sur les rôles sensibles. Pas d’accès administrateur permanent : les droits sont activés à la demande, pour une durée limitée.
• Comptes de secours (break glass). Sécurisés, surveillés et testés, pour ne pas se retrouver enfermé dehors en cas de problème d’accès conditionnel.
• Politique de mot de passe alignée sur les recommandations de l’ANSSI et du NIST.
• Supervision des connexions suspectes. Des alertes configurées, pas seulement des journaux que personne ne lit.

De la configuration, pas un projet de six mois

Ce socle relève de la configuration, pas d’un chantier de plusieurs mois. Encore faut-il savoir quoi activer, pourquoi, et dans quel ordre, pour ne pas bloquer les utilisateurs légitimes.

Par où commencer

Un audit de tenant permet de savoir où vous en êtes et de classer les corrections par priorité. C’est l’objet de l’offre Audit et durcissement.