Cloud Security Alliance
Cloud Security Alliance
Section intitulée « Cloud Security Alliance »Référence cloud pour les matrices de contrôle, l’évaluation des fournisseurs et les repères de sécurité partagée.
→ Lire l’explication complète de la marmotte
La Cloud Security Alliance propose des outils de comparaison et de lecture des contrôles cloud très pratiques pour l’architecture, l’audit fournisseur et la gouvernance.
Lectures prioritaires
Section intitulée « Lectures prioritaires »- Site officiel : cloudsecurityalliance.org
- Cloud Controls Matrix
- STAR et documents d’assurance fournisseur
Sous-chapitres
Section intitulée « Sous-chapitres »Contrôles cloud
Section intitulée « Contrôles cloud »- Matrices de contrôle et sécurité partagée
- Alignement entre exigences internes et offres de fournisseurs
- Utilité pour cadrer des revues d’architecture
Évaluation fournisseur
Section intitulée « Évaluation fournisseur »- Lecture des engagements de sécurité
- Comparaison de maturité entre plateformes
- Questions à poser avant adoption
Architecture et exploitation
Section intitulée « Architecture et exploitation »- Gouvernance des comptes, des identités et du stockage
- Journalisation, chiffrement, segmentation logique
- Place du cloud dans une stratégie de maîtrise
Dans TortueTech
Section intitulée « Dans TortueTech »- Référence à relier aux pages cloud, IAM, journaux et gouvernance
- Bon support pour transformer des exigences en checklist fournisseur
Points à vérifier
Section intitulée « Points à vérifier »à compléter: quels contrôles CSA croiser avec ISO et NISTà compléter: liens vers futurs contenus cloud du site
🐝 Ce qui arrive si on s’en passe
Section intitulée « 🐝 Ce qui arrive si on s’en passe »Ignorer ces références, c’est évaluer chaque fournisseur avec un questionnaire maison, différent à chaque achat, et comparer des réponses qui ne portent jamais sur les mêmes contrôles. Le partage des responsabilités reste alors implicite : chacun suppose que l’autre journalise, chiffre ou cloisonne, et l’écart ne se découvre qu’au moment de chercher une trace qui n’a jamais été produite. L’évaluation du fournisseur, faute de grille commune, se réduit à la lecture de la plaquette commerciale, genre littéraire réputé pour son optimisme.
🦫 Explication de la marmotte 🍫
Section intitulée « 🦫 Explication de la marmotte 🍫 »Beaucoup d’organisations utilisent des services informatiques hébergés chez un fournisseur et utilisés à distance, ce qu’on appelle le cloud. La sécurité y est partagée : le fournisseur protège une partie de l’ensemble, le client protège le reste, et chacun doit savoir précisément où passe la limite. La Cloud Security Alliance produit des références pour organiser ce partage. Sa principale est une matrice de contrôles, la Cloud Controls Matrix : un grand tableau qui liste les mesures de sécurité à mettre en place et indique à qui chacune revient. Une organisation s’en sert pour comparer ses propres exigences avec ce que propose un fournisseur, et pour cadrer une revue d’architecture. L’alliance anime aussi le programme STAR, qui rassemble des documents d’assurance publiés par les fournisseurs, c’est-à-dire des descriptions de la manière dont ils protègent leurs services. En les lisant, on compare la maturité de plusieurs plateformes et on prépare les questions à poser avant de choisir. Les contrôles couvrent notamment la gestion des comptes et des identités, le stockage, la journalisation des événements, le chiffrement des données et le cloisonnement logique entre clients. Le site s’appuie sur ces références pour transformer des exigences en liste de vérification à soumettre à un fournisseur, et pour relier les pages consacrées au cloud, aux identités, aux journaux et à la gouvernance.
À lire aussi
- ISORéférence normative internationale pour les systèmes de management, les contrôles et la gestion des risques.
- IECCoéditeur des normes ISO/IEC et repère clé dès que la sécurité touche l’industrie, l’énergie ou les équipements.
- Common CriteriaRéférence pour l’évaluation et la certification de produits de sécurité selon des profils et niveaux d’assurance.
- ENISAAgence européenne de cybersécurité, utile pour NIS2, résilience, cloud et sécurité des chaînes d’approvisionnement.
Pages voisines
La citent
Cloud Security Alliance
Elle cite
: les deux pages se citent l’une l’autre.