Cloud Encryption Best Practices

Définition

Les bonnes pratiques de chiffrement cloud couvrent les principes et les configurations recommandées pour protéger les données au repos (at-rest) et en transit (in-transit) dans les environnements cloud. Un chiffrement correctement implémenté garantit que les données compromises (par un breach, un accès non autorisé, ou un vol de supports physiques) restent inutilisables sans les clés correspondantes. Le chiffrement des données au repos dans le cloud s'applique à tous les types de stockage : disques des VMs (EBS sur AWS avec KMS, Managed Disks Azure avec Azure Disk Encryption, Persistent Disks GCP avec CMEK), bases de données (RDS avec chiffrement KMS, Azure SQL avec TDE - Transparent Data Encryption, Cloud SQL avec CMEK GCP), stockage objet (S3 avec SSE-KMS ou DSSE-KMS, Azure Blob Storage avec CMK, GCS avec CMEK), et files d'attente, streams, et caches (SQS, Kinesis, ElastiCache avec KMS). Le chiffrement des données en transit est obligatoire pour tout le trafic : TLS 1.2 minimum (TLS 1.3 recommandé) pour toutes les connexions client-serveur, mTLS pour les communications service-to-service dans les microservices (Istio, Linkerd), et chiffrement des tunnels VPN/Direct Connect/ExpressRoute pour les connexions hybrides cloud-on-premises. Les configurations TLS doivent désactiver les suites de chiffrement faibles (3DES, RC4, MD5, SHA-1) et les versions anciennes (SSLv3, TLS 1.0, TLS 1.1). La gestion des clés de chiffrement (KMS) doit suivre le principe de séparation des responsabilités : les administrateurs de clés (créent et gèrent les clés) doivent être différents des utilisateurs des clés (chiffrent et déchiffrent des données). Les clés doivent être rotées automatiquement (tous les 90-365 jours selon la criticité), et l'accès aux clés doit être journalisé (KMS CloudTrail pour AWS, Key Vault diagnostic logs pour Azure). Le chiffrement de bout-en-bout (E2E) ajoute une couche supplémentaire pour les données ultra-sensibles : les données sont chiffrées côté client avant l'envoi vers le cloud, et ne sont déchiffrées que côté client lors de la lecture. Cette approche garantit que même le cloud provider ne peut pas accéder aux données en clair, mais impose une gestion des clés côté client plus complexe.