Sécurité On-Premise vs Cloud

L’entreprise est responsable de l’ensemble de la chaîne :

• Sécurité physique du datacenter
• Réseau
• Serveurs
• Hyperviseur
• Systèmes d’exploitation
• Applications
• Données
• Sauvegardes
• PRA / PCA

Responsabilité : totalement interne.

Fonctionnement selon un modèle de responsabilité partagée.

Le fournisseur sécurise l’infrastructure. Le client sécurise la configuration, les accès et les données.

• Contrôle d’accès aux locaux
• Vidéosurveillance
• Gestion des accès physiques
• Protection incendie
• Alimentation électrique redondée

• Sécurité physique gérée par le fournisseur
• Datacenters certifiés (ISO 27001, SOC, etc.)
• Haut niveau de redondance et de protection

Avantage : niveau industriel difficilement atteignable pour une PME.

• Active Directory local
• Gestion souvent plus statique
• Granularité parfois limitée

• IAM très granulaire (policies, RBAC)
• Rôles temporaires
• MFA natif
• Fédération d’identités (SSO, SAML, OIDC)

Risque majeur en Cloud : mauvaise configuration des droits.

• Infrastructure moins exposée par défaut
• Accès via VPN ou réseau interne

• Ressources accessibles via Internet
• APIs exposées
• Risques de mauvaise configuration (ex : stockage public)

Le Cloud augmente la surface d’attaque logique.

• Failles techniques
• Correctifs non appliqués
• Obsolescence matérielle

• Erreurs de configuration
• Rôles trop permissifs
• Mauvaise gestion des accès
• Exposition involontaire de données

En Cloud, la mauvaise configuration est un facteur de risque majeur.

• L’entreprise gère tous les correctifs
• Processus parfois lent

Dépend du modèle :

• IaaS : le client gère l’OS
• PaaS : le fournisseur gère l’OS
• SaaS : le fournisseur gère l’ensemble

La charge de patch management peut être fortement réduite en PaaS/SaaS.

• Infrastructure relativement stable
• Capacité limitée

• Création et suppression dynamique d’instances
• Infrastructure éphémère
• Infrastructure as Code

La sécurité doit être automatisée (approche DevSecOps).

• SIEM (Security Information and Event Management) interne
• Centralisation parfois complexe

• Journalisation native (CloudTrail, équivalents)
• Traçabilité complète des appels API
• Intégration facilitée avec SIEM

La visibilité est souvent meilleure en environnement Cloud.

• Mise en œuvre manuelle
• HSM coûteux

• Chiffrement natif au repos et en transit
• Services KMS managés
• Rotation automatisée possible

• L’entreprise doit démontrer seule sa conformité

• Certifications fournies par le fournisseur (ISO 27001, SOC, PCI-DSS, etc.)
• La conformité reste partagée

La responsabilité réglementaire n’est pas transférée au fournisseur.

En environnement On-Premise, le risque provient principalement de l’infrastructure. En environnement Cloud, le risque provient principalement de la configuration.