Microsoft Azure Blob : quelles leçons tirées de la fuite de données ?

Récemment, suite à une mauvaise configuration un Bucket Azure Blob, le géant américain Microsoft a été exposée à une fuite massive de documents sensibles appartenant à ses clients.

La réalité qui a été évoqué une question de responsabilités partagées au niveau de la sécurité du cloud.

« Plusieurs sociétés souhaitant nouer un partenariat avec Microsoft ont placé des données dans ce Bucket ouvert pour l’occasion par la firme de Redmond. Plus de 100 « pitch decks », des mémorandums d’informations confidentielles et codes sources de 10 à 15 entreprises sont concernés. Les entreprises ont confié à Microsoft leurs propositions et leur propriété intellectuelle dans le l’objectif d’intégrer l’écosystème du CRM Dynamics et, sans le savoir, ces données ont été mises en danger par une mauvaise configuration. », explique Christopher Burgess, IDG NS.

Cet article va aussi vous intéresser : Les conséquences qu’il faut attendre des failles de sécurité de Microsoft Exchange

À quel moment parle-t-on de responsabilité partagée surtout en ce qui concerne en la sécurité du cloud. Dans notre cas d’espèce sur qui pourrait être accusé d’avoir mal configuré les terminaux concernés. À cette question, les chercheurs de vpnMentor déclarent : « Nous pouvons dire que le modèle de responsabilité partagée implique que la charge de sécuriser correctement les actifs de données revient à l’utilisateur ». Par ailleurs, les responsables de sécurité des systèmes d’informations doivent chercher à approfondir au mieux ce concept de « responsabilité partagée selon lequel le fournisseur du cloud est responsable de la sécurité du cloud, tandis que le client est responsable de la sécurité dans le cloud ».

À ce sujet, Christopher Burgess souligne : « Nous constatons très régulièrement que les propriétaires de systèmes de stockage dans le cloud ne parviennent pas à assurer la confidentialité de leurs espaces de stockage. Ils ignorent souvent les multiples niveaux d’accès et les processus et procédures d’authentification mis en place par les fournisseurs de services cloud pour protéger leurs données. Parce que de plus en plus de données d’entreprise résident dans le cloud, que ce soit Azure Blob ou AWS S3, la configuration de l’environnement pour restreindre l’accès aux seules personnes autorisées est un enjeu de base. La mauvaise configuration de Microsoft concernait 63 Go de données, soit 3 800 fichiers, qui avaient été créés en 2016. On pourrait considérer que l’accès à ces données n’a pas de conséquence en 2021, mais le propriétaire de l’information devrait être le seul à en déterminer sa valeur actuelle. ».

Son côté, le CEO d’ActiveCypher, Michael Quinn déclare : « Dans le cas présent, il est difficile de dire qui doit être réellement mis en cause. Des consultants externes, des fournisseurs et de plus en plus d’employés ont accès à de vastes volumes de données critiques, et les entreprises se retrouvent devant un défi de taille, celui de créer une chaîne d’approvisionnement de données sécurisée. Ces derniers mois, le réseau/écosystème actuel s’est révélé perméable et potentiellement exposé. Une perte de vue de l’objectif (la protection des données) et le redoublement d’efforts n’a pas donné de meilleurs résultats ». Il ajoute par ailleurs que la meilleure démarche dans ce contexte devra consister à veuillez au préalable à la sécurité des données depuis le fichier des façons ils dépendent entendu point de création. Que cette année soit en transit ou en repos ou même en externe.

Dans le rapport de mars 2021 publié par AlgoSec, en association avec la Cloud Security Alliance, intitulé : « State of Cloud Security Concerns, Challenges and Incidents », il a été mis en évidence que :

– 26 % des pannes peuvent-ils être causés par un problème du fournisseur de service cloud ;

– 21 % de ces pannes sont causé par de mauvaises configurations.

Accédez maintenant à un nombre illimité de mot de passe :