Cloud Shared Responsibility Model (Modèle de responsabilité partagée)
cloudDéfinition
Le modèle de responsabilité partagée définit la répartition des obligations de sécurité entre le fournisseur de services cloud (CSP) et le client selon le modèle de déploiement choisi. En IaaS (Infrastructure as a Service), le CSP sécurise l'infrastructure physique, la virtualisation et le réseau sous-jacent, tandis que le client est responsable du système d'exploitation, des middlewares, des applications et des données. En PaaS, le client délègue davantage au CSP et reste responsable des données et du code applicatif. En SaaS, le client n'est responsable que des données et de la gestion des accès utilisateurs. Cette ligne de démarcation est souvent mal comprise, menant à des configurations de sécurité insuffisantes côté client — bucket S3 publics, bases de données RDS exposées, groupes de sécurité trop permissifs. Chaque CSP majeur (AWS, Azure, GCP) publie des diagrammes détaillés de ce modèle. La conformité dans le cloud nécessite de cartographier précisément ces responsabilités pour chaque service utilisé.
Description
Le modèle de responsabilité partagée cloud définit la frontière entre les obligations de sécurité du CSP (infrastructure physique, hyperviseur, services managés) et celles du client (données, identités, configurations, applications). Cette démarcation varie selon le modèle IaaS, PaaS ou SaaS et constitue le fondement de toute stratégie de sécurité cloud.
Contexte cloud
Les erreurs les plus coûteuses résultent d'une mauvaise compréhension de cette frontière : croire que le CSP gère la sécurité des données client dans S3 (il gère l'infrastructure S3, pas les ACLs), ou que les sauvegardes RDS gèrent la continuité d'activité (les snapshots automatiques ne couvrent pas les suppressions accidentelles sans protection activée).
Points clés
- AWS Shared Responsibility Model par service : EC2 (client gère OS/apps), RDS (client gère données/accès), Lambda (client gère code/configs), SaaS WorkMail (client gère seulement données/users)
- Matrice de contrôles : documenter pour chaque service cloud utilisé les contrôles sous responsabilité client vs CSP pour les audits ISO 27001 et SOC 2
- CAIQ CSA : utiliser le questionnaire CCM pour valider que le CSP couvre bien les contrôles de sa partie du modèle partagé
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis