Une nouvelle approche de la sécurité pour AWS #
Avec l’objectif de couvrir une quarantaine de services AWS d’ici la fin de 2024, la banque déploie actuellement un nouveau système de contrôle systémique sur le cloud public d’AWS.
Ces nouvelles stratégies de contrôle sont conçues pour empêcher les accès non autorisés et l’exfiltration de données. Elles visent à créer une barrière entre les entités et les données de l’organisation et l’extérieur, améliorant ainsi la sécurité globale.
Les détails des mesures de sécurité #
La Société Générale a déployé des politiques de sécurité « by design », qui s’appliquent à toutes les entités, ressources et réseaux. Ces politiques sont conçues pour assurer la sécurité des données tout en préservant l’agilité des projets basés sur le cloud.
En plus de ces politiques, la banque a également mis en place un système de gestion des postures de sécurité. Ce système vérifie régulièrement la configuration des environnements cloud, assurant ainsi qu’ils sont toujours conformes aux normes de sécurité les plus élevées.
Le rôle d’AWS dans le processus #
A partir de début 2023, la direction informatique de la Société Générale prévoit de déployer les contrôles périmétriques d’AWS sur S3. S3 a été choisi car il est le service concentrant le volume de flux le plus important, ce qui en fait une cible stratégique pour l’application de ces nouvelles mesures de sécurité.
Le déploiement de ces contrôles périmétriques sur S3 devrait permettre à la banque de réaliser rapidement des bénéfices en terme de sécurité, en contrôlant l’accès à l’ensemble des ressources stockées dans S3.
Une approbation réglementaire #
Le responsable de la cybersécurité à la Société Générale a souligné que cette nouvelle approche de la sécurité est particulièrement appréciée des régulateurs. En effet, ces contrôles sont implantés « by design », ce qui signifie qu’ils sont intégrés dès la conception des services et sont donc immuables et centralisés.
Cette stratégie de sécurité est également appréciée car elle permet de séparer tout ce qui relève de la production de l’ensemble des environnements hors-production, ce qui constitue une garantie supplémentaire de sécurité.
Voici une liste des services AWS que la Société Générale prévoit de couvrir avec ces contrôles d’ici fin 2024 :
- Amazon S3
- Amazon EC2
- Amazon RDS
- Amazon Redshift
Pour la Société Générale, l’objectif final est clair : renforcer la sécurité de ses outils AWS tout en préservant l’agilité de ses projets basés sur le cloud. En adoptant une approche proactive et en déployant des contrôles systémiques sur le cloud public d’AWS, la banque est en bonne voie pour atteindre cet objectif. Il est intéressant de noter que cette stratégie est non seulement efficace pour améliorer la sécurité, mais qu’elle est également bien accueillie par les régulateurs. En fin de compte, il s’agit d’une approche équilibrée qui tient compte à la fois des exigences de sécurité et des besoins opérationnels de l’entreprise.
