Points clés
- Les migrations cloud exposent à des risques spécifiques liés à la transition : configurations héritées, données exposées pendant la migration, compétences insuffisantes
- McKinsey : 70 % des projets de migration cloud rencontrent des problèmes significatifs — dont une large part liés à la sécurité
- Les cinq erreurs les plus fréquentes : lift-and-shift sans adaptation sécurité, credentials laissés dans le code, droits excessifs, sauvegardes non testées, monitoring insuffisant
- La migration cloud doit être traitée comme un projet de transformation avec ses propres Security Gates, pas comme un projet purement technique
La migration vers le cloud est l'un des projets de transformation les plus complexes sur le plan de la sécurité. Elle combine les risques des projets de transformation en général (configurations temporaires qui deviennent permanentes, dépendances non documentées, compétences insuffisantes) avec des risques spécifiques au cloud (modèle de responsabilité partagée mal compris, surface d'attaque élargie, visibilité réduite pendant la transition).
L'erreur la plus fondamentale dans les migrations cloud est de les traiter comme des projets purement techniques d'infrastructure, alors qu'elles impliquent des changements profonds dans la posture de sécurité de l'organisation. Une migration "lift and shift" — déplacement des systèmes on-premise vers le cloud sans adaptation — reproduit les configurations et les pratiques de sécurité de l'infrastructure existante dans un environnement où ces pratiques ne sont plus adaptées.
Les erreurs de migration les plus documentées
L'analyse des incidents post-migration révèle des catégories d'erreurs récurrentes : les configurations par défaut conservées (les services cloud sont souvent configurés par défaut avec des paramètres de permissivité élevée pour faciliter la prise en main — ces paramètres doivent être durcis avant toute mise en production), les credentials dans le code (clés d'accès API, mots de passe, tokens d'authentification laissés dans le code source ou les fichiers de configuration lors du portage des applications), et les droits IAM excessifs (attribution de droits d'administration trop larges pour simplifier les déploiements initiaux, jamais réduits ensuite).
Trufflehog, GitGuardian et des outils similaires scannent régulièrement les dépôts publics et identifient des milliers de credentials actifs exposés par erreur lors de migrations — une erreur évitable qui crée des vulnérabilités permanentes tant que les credentials ne sont pas révoqués.
La migration comme moment de réexamen de la posture
Une migration cloud est aussi une opportunité rare : elle force une remise à plat de l'architecture existante et permet d'introduire des contrôles de sécurité qui auraient été impossibles à ajouter sur l'infrastructure héritée sans interruption majeure. Les organisations qui utilisent leur migration cloud pour améliorer leur posture de sécurité — en appliquant le principe de moindre privilège, en déployant le chiffrement systématique, en révisant les droits d'accès — en sortent avec une infrastructure cloud plus sécurisée que leur infrastructure on-premise initiale.
Le Cloud Adoption Framework (CAF) publié par AWS, Google et Microsoft fournit chacun une guidance structurée sur les pratiques de sécurité à adopter lors des migrations. Ces frameworks convergent sur un principe commun : la sécurité doit être adressée dès la phase de planification, pas ajoutée lors de la phase de déploiement.
La formation comme prérequis à la migration
Une migration cloud sans formation préalable des équipes IT et sécurité sur les spécificités de l'environnement cible est une migration à risque élevé. Les compétences cloud ne s'improvisent pas : la gestion des identités et des accès dans AWS ou Azure, la configuration des réseaux virtuels, la sécurisation des containers et des fonctions serverless — toutes ces compétences requièrent une formation dédiée avant d'être opérationnelles dans un environnement de production.
Les certifications cloud (AWS Security Specialty, Azure Security Engineer, Google Professional Cloud Security Engineer) sont des jalons de validation des compétences pour les équipes techniques. La direction peut les utiliser comme indicateurs de la préparation des équipes avant de valider le démarrage d'une migration significative.
Le cabinet de conseil et de défense Booz Allen Hamilton a exposé des fichiers de travail classifiés sur un bucket S3 public d'Amazon. Les fichiers, incluant des identifiants d'accès à des systèmes gouvernementaux et des outils de surveillance, avaient été laissés dans un bucket configuré comme public lors d'une migration vers AWS. UpGuard, une société de sécurité, a découvert l'exposition en analysant des buckets S3 accessibles publiquement. L'incident illustre que la migration vers le cloud, réalisée sans les procédures de vérification de configuration appropriées, peut exposer des données sensibles immédiatement après le déploiement.
Accenture, l'un des plus grands cabinets de conseil en IT au monde, a exposé des données internes de ses clients sur quatre buckets S3 AWS configurés sans authentification. Les données incluaient des credentials d'accès à des plateformes cloud de clients, des certificats de sécurité, et des outils d'API pouvant permettre d'accéder aux environnements cloud des clients. UpGuard a découvert l'exposition. Accenture a sécurisé les buckets après notification. L'incident est d'autant plus significatif qu'il touchait une organisation qui conseil ses clients sur la sécurité cloud.
Le service de transport régional Grab a réalisé une migration partielle de ses services vers AWS. Des clés d'API et des secrets d'accès à des services cloud internes ont été identifiés dans des dépôts de code semi-publics, résidu d'un processus de migration qui n'avait pas intégré de procédure de vérification automatique des credentials dans le code. L'incident n'a pas causé de compromission publique connue mais a conduit Grab à déployer des outils de scan systématique des dépôts de code pour détecter les secrets exposés — une pratique désormais standard dans l'industrie cloud.