Cloud Security Benchmark

Définition

Les Cloud Security Benchmarks sont des ensembles de recommandations techniques prescriptives pour configurer de manière sécurisée les services cloud. Le Center for Internet Security (CIS) publie les benchmarks les plus reconnus pour AWS, Azure, et GCP (CIS AWS Foundations, CIS Azure Foundations, CIS GCP Foundations), utilisés comme références par les auditeurs et les équipes de sécurité pour évaluer la posture de sécurité cloud. Le CIS AWS Foundations Benchmark (version 3.0, dernière en 2024) couvre environ 60 recommandations organisées en 6 sections : IAM, Storage, Logging, Monitoring, Networking, et Machine Images. Chaque recommandation a un niveau de profil (Level 1 = recommandations applicables sans impact sur la fonctionnalité, Level 2 = recommandations plus strictes pouvant impacter certains cas d'usage) et une description de la remédiation. AWS Security Hub inclut un standard CIS AWS Foundations directement applicable. Le Microsoft Cloud Security Benchmark (MCSB, anciennement Azure Security Benchmark) est le framework de référence de Microsoft pour les configurations sécurisées des services Azure, mappé sur les contrôles CIS, NIST CSF, et ISO 27001. Il couvre la sécurité réseau, la gestion des identités, l'accès privilégié, la protection des données, la gestion des actifs, la journalisation, et la réponse aux incidents. Microsoft Defender for Cloud utilise le MCSB comme base de ses recommandations. Le CIS GCP Foundations Benchmark couvre les recommandations de sécurité pour GCP, incluant la gestion des comptes et des organisations, la sécurité IAM, la journalisation et la surveillance, la configuration réseau, et les instances Compute. Google Security Command Center (SCC) avec Security Health Analytics évalue automatiquement la conformité aux recommandations CIS GCP. L'implémentation des benchmarks cloud doit être automatisée via Infrastructure as Code et des outils CSPM. La configuration manuelle basée sur des checklists est sujette aux erreurs humaines et ne peut pas être maintenue dans des environnements cloud dynamiques. Des outils comme Prowler, ScoutSuite, et les services natifs (Security Hub, Defender for Cloud) permettent d'évaluer automatiquement la conformité aux benchmarks.