Sécuriser l’accès aux applications tout en améliorant l’expérience utilisateur : la fin du casse-tête pour les équipes IT
Collaborateurs de plus en plus mobiles, passage des applications en mode cloud, sophistication croissante des cyberattaques… Les équipes IT sont aujourd’hui à la croisée de multiples enjeux et exigences. Comment concilier tous ces paramètres, privilégier autant la sécurité que l’expérience utilisateur, et sans compliquer (voire en la simplifiant) la vie des équipes IT ? Il existe aujourd’hui des moyens permettant de résoudre l’équation et de proposer aux utilisateurs un accès sécurisé à toutes les applications via Internet, depuis n’importe quel lieu et avec n’importe quel périphérique. Explications.
L’accès aux applications, maillon faible de la sécurité en entreprise
D’après un rapport du NIST (National Institute of Standards and Technology), « 92 % des vulnérabilités signalées se trouvent dans les applications, et non dans les réseaux ». En cause : l’augmentation de la surface d’attaque à mesure que les applications passent en mode cloud et que les utilisateurs évoluent de plus en plus dans un environnement hybride.
La complexité croissante des applications (davantage de fonctionnalités, nouvelles architectures, API) et la sophistication des cyberattaques contribuent également toutes les deux à faire de la sécurité de l’accès aux applications un point essentiel pour les équipes IT.
L’expérience utilisateur au centre des attentions
« AnyTime, AnyWhere, AnyDevice » : une formule qui résume bien le souhait des utilisateurs, celui de pouvoir accéder n’importe quand à toutes les ressources de l’entreprise, de n’importe où et depuis n’importe quel device (y compris depuis du matériel personnel avec l’essor du BYOD ou « Bring Your Own Device »). Il s’agit donc de permettre aux utilisateurs d’accéder à un environnement applicatif optimisé, mis à jour en permanence et sécurisé.
Ajoutons à cela des contraintes en matière de fluidité et de rapidité, puisqu’il est aujourd’hui nécessaire de proposer le chemin le plus court et le plus rapide aux utilisateurs lorsqu’ils se connectent à leurs applications. Autant d’éléments essentiels pour maintenir une bonne productivité (et une motivation) dans les équipes.
Comment fournir un accès sécurisé et contextuel aux applications d’entreprise ?
Dans ce contexte, impossible de répondre aux défis d’aujourd’hui avec les outils d’hier. Le VPN expose par exemple à des problèmes de lenteur et a parfois du mal à tenir compte de l’évolution de certaines applications. L’utilisation de mots de passe faibles pour accéder aux applications fait également partie des problèmes qui se posent. Autant dire qu’en matière de sécurité et d’expérience utilisateur, le compte n’y est pas.
« Les entreprises peuvent aujourd’hui s’appuyer sur diverses fonctionnalités d’authentification et de sécurité », explique Christian Gédié, responsable des partenariats sur les solutions réseaux et sécurité chez Citrix et en charge de la solution « Application & Delivery Security ». Celle-ci fournit un accès sécurisé et contextuel aux applications d’entreprise, en s’appuyant notamment sur :
– L’authentification unique (Single Sign-On ou SSO) vers les applications SaaS, web, mobiles et virtuelles,
– Le filtrage web et navigateur isolé permettant de se protéger des applications non autorisées et des malwares,
– L’accès contextuel (incluant un contrôle de la conformité et de l’emplacement du périphérique, par exemple) avec la MFA ou même sans mot de passe.
– L’accès Zero Trust à toutes les applications internes, qui analyse également l’utilisation des applications SaaS et Web.
« Notre console d’administration permet aux équipes IT d’avoir une vision globale de leur réseau et de répondre à une problématique de sécurité essentielle : être certain qu’un utilisateur qui se connecte aux applications est bien celui qu’il prétend être et utilise pour cela un chemin sécurisé et autorisé », explique Christian Gédié.
Une réponse globale qui simplifie la gestion pour les équipes IT
Toutes ces opérations doivent également devenir plus simples et plus rapides pour les équipes IT. Une console d’administration leur permet de monitorer la totalité du réseau de manière complète, en suivant son évolution et son hybridation. Si la solution apporte non seulement aux équipes IT une meilleure visibilité sur leur réseau, elle facilite également la gestion des mises à jour. La sécurité peut évoluer automatiquement à mesure que l’entreprise se développe.
Quid de la gestion des données ? « Si les solutions telles que celle proposée par Citrix permettent de gagner en agilité, les données sont sécurisées et hébergées dans des infrastructures propres aux clients. Les entreprises gardent la main sur la gouvernance de leurs données et le contrôle des applications cloud », poursuit Christian Gédié.
Sécuriser l’accès aux applications, optimiser l’expérience utilisateur, simplifier la gestion pour les équipes IT : plus besoin de choisir entre l’un ou l’autre des paramètres, puisqu’il existe désormais des solutions permettant de cocher toutes les cases.
Cyber-résilience : protéger ses sauvegardes dans le cloud, l’ultime rempart
Aucun SI n’est infaillible et l’ingéniosité des cybers assaillants est redoutable. Les organisations font face à des cyberattaques de plus en plus intrusives, qui peuvent désormais viser les sauvegardes. Sécuriser ses sauvegardes de données reste donc la meilleure des protections. En stockant leurs sauvegardes de données dans le cloud, les entreprises acquièrent la certitude de retrouver des données saines et exploitables. L’enjeu ultime ? Pouvoir reprendre leur activité le plus rapidement possible en cas de cyberattaque.
« La cybersécurité est morte ! Vive la cyber-résilience ! »
Cloisonner son SI en limitant les droits aux bonnes personnes avec les bonnes autorisations est nécessaire, mais n’est plus suffisant. Il faut désormais accepter les risques pour mieux agir. Autrement dit, faire preuve de cyber-résilience. L’ampleur des menaces est telle qu’il ne s’agit plus seulement d’empêcher les cyberattaques, mais bien de s’y préparer en mettant en place un plan de contre-mesures à déployer le cas échéant.
« Définir un PRA (Plan de reprise d’activité) fait partie de la cyber-résilience ». Le PRA n’est d’ailleurs pas un document IT à proprement parler, c’est un document de gouvernance de l’entreprise. » Objectif : mettre en place toutes les mesures nécessaires à une reprise d’activité lorsqu’une cyberattaque surviendra.
Intégrer la sauvegarde de données dans la stratégie de sécurité des entreprises
Les cyberattaques ne visent plus uniquement le stockage primaire et les systèmes opérationnels, mais s’étendent désormais aux sauvegardes. Le nombre d’entreprises ayant pris des mesures pour endiguer ce nouveau danger est encore faible. Les sauvegardes de données constituent un élément à part entière de la stratégie de sécurité des entreprises.
Sauvegarder ses données en local, une fausse bonne idée ? « Les entreprises qui utilisent un système de sauvegarde de données sur site prennent le risque de voir leurs sauvegardes contaminées en cas de cyberattaque. Dans ce genre de cas, toutes les données ne sont pas forcément restaurables, certaines sauvegardes ne sont pas saines, et les équipes doivent passer du temps pour savoir quelles sauvegardes sont bonnes. Cela représente beaucoup trop de temps. », poursuit Aurélien OLIVIER.
Sauvegarder ses données dans le cloud pour accélérer la reprise d’activité
Comment mettre alors ses données en sécurité ? En stockant une copie de ses sauvegardes quotidiennes à un endroit tiers sécurisé. La sauvegarde de données hors site, dans un cloud comme Microsoft Azure, avec un protocole différent et un système de sauvegarde inaltérable, est une solution. Objectif : pouvoir utiliser la copie de ses données en cas d’attaque et disposer ainsi de sauvegardes 100 % saines.
Cette solution cloud offre une grande agilité et présente l’avantage de réduire le temps de vérification des données et donc de reprise d’activité. « L’environnement de stockage du cloud Azure utilise un protocole différent. Cela crée une barrière difficilement franchissable en cas de cyberattaque ». Les clients s’assurent ainsi que leurs sauvegardes sont saines et qu’elles ne sont pas corrompues. Sauvegarder ses données en cloud permet d’avoir une restauration de données et une reprise d’activité beaucoup plus rapides, même si le temps de restauration est propre à la volumétrie de données et au débit disponible chez le client.
Mettre en place des sauvegardes de données dans le cloud : mode d’emploi
Un projet de mise en place de sauvegardes en cloud nécessite d’abord une étape d’analyses préalables, qui consiste à étudier les données et la solution de stockage existante. Les entreprises qui s’engagent dans un projet de sauvegarde de leurs données en cloud doivent également mener un travail de classification de ces données en fonction de leur degré critique.
Place ensuite à la construction de la solution, avec quelques jours d’implantation et de tests. Il est d’ailleurs plus facile d’aller tester ses sauvegardes dans le cloud, dans un environnement isolé. Les tests n’ont pas d’impact sur la production. Un premier envoi de données a lieu et il faut ensuite valider une première restauration de données. Un transfert de compétences est également prévu. « La plupart des projets peuvent être déployés en 2 ou 3 jours. » Après avoir externalisé leurs sauvegardes de données dans le cloud Azure, les entreprises doivent également revoir leurs process, faire des tests régulièrement, intégrer les sauvegardes des nouvelles applications…
À vos sauvegardes ! Les menaces cyber augmentent mais des solutions comme les sauvegardes en cloud permettent de les affronter, encore faut-il affecter une partie de son budget sécurité à la question des sauvegardes. Pour les entreprises, entre le stockage des données sur site ou dans le cloud Azure, le choix est vite fait, quand on sait qu’une journée d’interruption d’activité peut se chiffrer en plusieurs centaines de milliers d’euros pour certaines entreprises.
Ne laissez pas vos données devenir le nouveau terrain de jeu des cybercriminels.