Renforcement de la sécurité dans le cloud : l’initiative de la société générale #
En plus des autres mesures de sécurité, la banque a décidé de mettre en place des contrôles systémiques sur le cloud public d’AWS.
Il s’agit de politiques déployées par conception, qui s’appliquent à toutes les entités, ressources et réseaux. Ces contrôles permettent de tracer une ligne entre les entités et les données d’une organisation et l’extérieur, empêchant ainsi l’accès illégitime et l’exfiltration de données.
Un plan ambitieux pour une sécurité optimale #
La banque prévoit de couvrir une quarantaine de services AWS avec ces contrôles d’ici fin 2024. Pour les utilisateurs de cloud public, la sécurisation des services déployés dans cet environnement est une préoccupation majeure. Les erreurs de configuration sont souvent à l’origine des failles.
C’est pourquoi la Société Générale a décidé de déployer une surcouche de sécurité, basée sur le service data perimeter de l’américain AWS. Ce service permet de renforcer la sécurité des environnements cloud privé virtuel sur AWS.
L’introduction des contrôles périmétriques sur S3 #
Dès le début de l’année 2023, la direction informatique corporate planifie le déploiement des contrôles périmétriques d’AWS sur S3. Le service S3 est le plus grand fournisseur de flux, ce qui en fait le candidat idéal pour l’introduction de ces nouvelles mesures de sécurité.
En appliquant un contrôle des ressources à l’ensemble des ressources stockées dans S3, la banque s’attend à obtenir des avantages rapides et significatifs. Une initiative qui a conduit à la création d’un groupe de travail transverse, afin de coordonner les efforts des différentes DSI de la Société Générale sur le sujet.
Les contrôles by design : une garantie pour les régulateurs #
L’implémentation des contrôles by design nécessite un certain accompagnement au changement auprès des équipes, car ils limitent par définition les exceptions. Cependant, la Société Générale a créé un processus de gestion des demandes d’exception pour traiter ces cas particuliers.
Dans le contexte bancaire, ces contrôles constituent une garantie aux yeux des régulateurs. Ils sont implantés par conception, immuables et centralisés, ce qui est fortement apprécié par ces derniers. Ils permettent également de séparer tout ce qui relève de la production de l’ensemble des environnements hors-production.
Voici quelques-uns des services AWS qui seront couverts par les contrôles d’ici fin 2024 :
- Amazon Simple Storage Service (S3)
- Amazon Elastic Compute Cloud (EC2)
- Amazon Relational Database Service (RDS)
- Amazon DynamoDB
En adoptant ces nouvelles mesures de sécurité, la Société Générale se positionne comme un leader en termes de sécurité dans le cloud. Elle démontre que la sécurité n’est pas une option, mais une nécessité dans le monde numérique d’aujourd’hui. Ces contrôles permettent non seulement de protéger les données sensibles de l’entreprise, mais aussi de renforcer la confiance des clients dans les services de la banque. C’est une étape cruciale pour assurer la pérennité et la croissance de l’entreprise à l’ère du numérique.
