Cloud security assessment checklist : 12 contrôles

Un environnement Microsoft 365, Azure, AWS ou Google Cloud peut sembler bien protégé parce qu’il est hébergé par un grand fournisseur. Pourtant, la plupart des incidents ne viennent pas d’une défaillance du datacenter : ils naissent d’un compte trop privilégié, d’une règle réseau oubliée, d’un partage de fichiers ouvert ou d’une alerte jamais traitée. Cette cloud security assessment checklist permet de vérifier les contrôles qui protègent réellement vos opérations, vos données et votre continuité d’activité.

Une évaluation utile ne consiste pas à cocher des cases pour satisfaire une exigence de conformité. Elle doit révéler où un attaquant pourrait entrer, se déplacer, exfiltrer des données ou interrompre un service essentiel. Pour une PME ou une entreprise de taille intermédiaire, l’enjeu est de prioriser les écarts qui présentent un risque métier concret, sans mobiliser inutilement les équipes internes.

Commencez par définir le périmètre réel

Avant de contrôler les paramètres de sécurité, identifiez ce qui existe réellement dans votre environnement. Beaucoup d’entreprises ont une vision partielle de leur cloud : une équipe utilise une plateforme SaaS avec une carte bancaire, un ancien projet conserve un stockage actif ou un fournisseur dispose encore d’un accès administrateur. Ces zones peu visibles deviennent rapidement des angles morts.

Recensez les tenants, abonnements, comptes cloud, applications SaaS et environnements de test. Associez à chacun un propriétaire métier et technique, les données traitées, les utilisateurs concernés et son niveau de criticité. Les actifs qui soutiennent la facturation, les échanges clients, la production ou les dossiers RH doivent recevoir une attention immédiate.

Cette étape doit également clarifier le modèle de responsabilité partagée. Le fournisseur protège l’infrastructure physique et certains services de base. Votre organisation reste responsable de la configuration des accès, de la classification des données, de l’usage des applications et, selon le service, de la protection des postes qui s’y connectent. Confondre ces responsabilités crée un faux sentiment de sécurité.

Cloud security assessment checklist : les 12 contrôles prioritaires

Les contrôles ci-dessous forment une base de travail pragmatique. Leur niveau de mise en œuvre dépend de votre secteur, des obligations contractuelles, de la sensibilité des données et de la maturité de votre équipe. Une petite structure ne gérera pas chaque mesure comme une organisation réglementée, mais elle ne peut pas ignorer les risques fondamentaux.

1. Vérifier l’authentification multifacteur

L’authentification multifacteur doit être activée pour tous les utilisateurs, et imposée en priorité aux comptes administrateurs, aux accès distants et aux comptes qui manipulent des données sensibles. Préférez les méthodes résistantes au phishing lorsque cela est possible, comme les clés de sécurité ou les mécanismes d’authentification sans mot de passe.

Vérifiez aussi les exceptions. Un ancien compte de service ou un accès d’urgence sans protection adéquate peut neutraliser une politique par ailleurs bien conçue.

2. Réduire les privilèges administrateurs

Chaque droit administratif permanent augmente la surface d’attaque. Examinez qui peut créer des utilisateurs, modifier les politiques de sécurité, accéder aux journaux, gérer les clés ou supprimer des ressources. Les privilèges doivent correspondre au rôle, être accordés pour une durée limitée quand c’est possible et faire l’objet de revues régulières.

Les comptes administrateurs ne devraient pas servir à la messagerie quotidienne ou à la navigation web. Séparer les usages limite fortement les conséquences d’un vol d’identifiants.

3. Supprimer les comptes et accès inutilisés

Contrôlez les comptes d’anciens salariés, de consultants, de prestataires et de partenaires. Vérifiez les boîtes partagées, les comptes techniques, les jetons d’accès API et les clés d’applications. Un processus de départ RH efficace doit déclencher la révocation rapide des accès cloud, mais aussi le transfert des données et des responsabilités nécessaires à la continuité des opérations.

Un compte inactif n’est pas un compte sans risque. Il est souvent moins surveillé et plus facile à exploiter.

4. Cartographier les données sensibles

Vous devez savoir quelles données sont stockées dans le cloud, où elles résident et qui peut les consulter ou les exporter. Cela inclut les données clients, financières, médicales, RH, les secrets commerciaux et les informations d’authentification.

La classification guide ensuite les décisions de chiffrement, de conservation et de partage. Une donnée peu sensible n’exige pas nécessairement les mêmes restrictions qu’un dossier client réglementé. En revanche, l’absence de classification conduit fréquemment à appliquer trop peu de protection aux données critiques, ou trop de contraintes aux équipes sans gain réel.

5. Contrôler le chiffrement et la gestion des clés

Vérifiez que les données sont chiffrées au repos et pendant leur transmission. Mais ne vous arrêtez pas à cette affirmation générale : examinez les clés de chiffrement, les personnes autorisées à les administrer, les règles de rotation et la journalisation de leur utilisation.

La gestion des clés par le fournisseur peut convenir à de nombreux usages. Pour des données très sensibles ou des exigences contractuelles précises, des clés gérées par le client apportent davantage de contrôle, avec une charge opérationnelle plus élevée. Le bon choix dépend de votre capacité à administrer ces clés sans créer de risque de perte d’accès.

6. Examiner l’exposition réseau

Recherchez les machines virtuelles, bases de données, interfaces d’administration et stockages accessibles depuis Internet. Toute exposition doit avoir une justification documentée. Limitez les ports ouverts, restreignez les adresses sources, segmentez les environnements et évitez d’exposer directement les services d’administration.

Une règle temporaire créée pour dépanner devient souvent permanente. Les revues de pare-feu et de groupes de sécurité doivent donc être planifiées, pas seulement réalisées après un incident.

7. Sécuriser les configurations par défaut

Les services cloud évoluent vite et leurs paramètres par défaut ne correspondent pas toujours à votre niveau de risque. Vérifiez notamment les partages publics, la création d’invitations externes, les redirections de messagerie, l’accès anonyme, les règles de conservation et l’activation des services non utilisés.

Les modèles de configuration approuvés facilitent la cohérence. Ils évitent que chaque nouveau projet soit déployé avec des paramètres différents, difficiles à auditer et à maintenir.

8. Protéger les postes et les identités

Le cloud ne remplace pas la sécurité endpoint. Un poste compromis peut voler une session active, contourner certains contrôles ou synchroniser des fichiers malveillants. Assurez-vous que les appareils accédant aux ressources critiques disposent d’une protection contre les menaces, de correctifs à jour, d’un chiffrement de disque et de politiques de conformité.

L’accès conditionnel peut alors refuser ou limiter les connexions depuis un appareil non géré, obsolète ou présentant des signaux de compromission. Cette mesure est particulièrement utile pour les équipes hybrides et les collaborateurs mobiles.

9. Centraliser les journaux et surveiller les alertes

Sans traces exploitables, une investigation devient lente et incertaine. Activez les journaux d’authentification, d’administration, d’accès aux données, de messagerie et de réseau selon les services utilisés. Définissez ensuite une durée de conservation adaptée aux besoins opérationnels, contractuels et réglementaires.

La collecte seule ne suffit pas. Il faut des alertes pertinentes sur les connexions impossibles, les élévations de privilèges, les créations de règles suspectes, les exports inhabituels et les désactivations de protections. Une alerte sans responsable, délai de traitement ni procédure d’escalade n’est pas un contrôle de sécurité.

10. Tester la résilience face au rançongiciel

Vérifiez les sauvegardes des données et des configurations critiques, leur isolement, leur chiffrement et leur capacité de restauration. Une sauvegarde qui n’a jamais été testée est une hypothèse, pas une assurance.

Testez la restauration d’une boîte de messagerie, d’un fichier, d’une application et, si votre activité le justifie, d’un environnement complet. Définissez des objectifs réalistes de délai et de perte de données acceptable. Les priorités doivent refléter l’impact métier : un système de production ou de relation client ne peut pas toujours attendre plusieurs jours.

11. Évaluer les applications et intégrations tierces

Les applications connectées au cloud reçoivent souvent des autorisations étendues pour lire les messages, fichiers, calendriers ou annuaires. Passez en revue les applications OAuth, les connecteurs, les API et les comptes de service. Désactivez ce qui n’est plus requis et limitez les autorisations au strict nécessaire.

Accordez une attention particulière aux outils de partage de documents, de signature électronique, d’automatisation et de collaboration. Ils sont utiles, mais constituent aussi des voies d’accès attrayantes lorsque leurs permissions sont excessives.

12. Préparer la réponse à incident

Votre équipe doit savoir qui décide, qui analyse, qui contacte les utilisateurs et qui communique avec les clients ou partenaires si un compte cloud est compromis. Documentez les actions immédiates : désactiver un compte, révoquer les sessions, isoler un appareil, préserver les journaux et restaurer les données.

Un exercice sur un scénario de phishing avec prise de contrôle de compte révèle vite les lacunes. Il met aussi en évidence les dépendances entre équipes TI, direction, RH et opérations. SentriCorp accompagne ce type de démarche pour transformer les constats techniques en plan de défense priorisé et exploitable.

Faire de l’évaluation un cycle de protection

Une évaluation ponctuelle est utile après une migration, un incident, une acquisition ou un changement majeur de fournisseur. Mais les risques évoluent avec les nouveaux utilisateurs, les applications déployées, les modifications de configuration et les tactiques d’attaque. Les contrôles les plus efficaces sont ceux qui sont revus à cadence définie, mesurés et corrigés.

Commencez par les accès administrateurs, l’authentification multifacteur, les données exposées, les journaux et les sauvegardes. Ce sont souvent les actions qui réduisent le plus rapidement le risque. Ensuite, attribuez un responsable et une date à chaque écart identifié. Votre sécurité cloud devient alors un engagement opérationnel continu, au service direct de la confiance et de la continuité de votre entreprise.