La sécurité cloud pâtit encore de processus trop manuels

La politique de sécurité du cloud est un problème de modèle opérationnel

Seulement 9% des répondants à une enquête de la Cloud Security Alliance ont déclaré que la gestion des politiques de sécurité était pleinement intégrée aux workflows de développement et de déploiement. Les conditions entourant cette automatisation sont plus complexes : la responsabilité s’étend à plusieurs équipes, 67% des répondants travaillent chaque jour sur trois consoles de gestion de la sécurité ou plus, et 92% ont signalé au moins une certaine difficulté à obtenir une vue unique et précise des politiques dans l’ensemble de leurs environnements.

L’enquête, commandée par AlgoSec, a recueilli les réponses en ligne de 515 professionnels de l’IT et de la sécurité dans des organisations de tailles et de localisations variées. La Cloud Security Alliance a indiqué que ses analystes avaient mené l’analyse et l’interprétation. AlgoSec vend une technologie de gestion des politiques de sécurité, l’entreprise a donc un intérêt commercial dans la manière dont les entreprises évaluent ce problème.

La gestion manuelle des politiques a des conséquences opérationnelles

Le travail manuel reste très répandu. Quelque 61% des répondants ont indiqué que leurs organisations utilisent des approches manuelles ou réactives pour la gestion des politiques de sécurité ; 48% ont décrit les changements de politique eux-mêmes comme étant majoritairement ou entièrement manuels. Les répondants ont identifié les erreurs de configuration manuelle comme le principal goulot d’étranglement pour déployer de nouvelles applications.

Les enjeux opérationnels sont importants. Au cours de l’année précédente, 65% ont déclaré que leur organisation avait subi au moins une interruption d’application critique pour l’activité causée par une politique de sécurité mal configurée. Quelque 46% ont signalé deux incidents de ce type ou plus.

La conformité crée un autre point de pression. La revue manuelle était la posture de conformité la plus courante, citée par 40% des répondants, tandis que 25% ont déclaré que leur organisation avait échoué à un audit de conformité ou reçu une observation d’audit au cours de l’année précédente. Ces résultats placent les processus manuels, les interruptions et les problèmes de conformité dans le même groupe de répondants. Ils n’établissent pas que la gestion manuelle a causé chaque résultat.

Pour les dirigeants, la question pratique est de savoir si les équipes peuvent comprendre les effets d’un changement de politique proposé dans des environnements hybrides ou multi-cloud.

La responsabilité des politiques s’étend aux équipes et aux outils

La responsabilité des politiques se répartit entre plusieurs fonctions :

La gestion des politiques de sécurité franchit donc les frontières organisationnelles. Les dirigeants qui évaluent un modèle opérationnel doivent définir comment ces fonctions se partagent la responsabilité des décisions de politique.

Les outils sont eux aussi distribués. Quelque 67% des répondants travaillent chaque jour sur trois consoles de gestion de la sécurité ou plus. Cela donne aux responsables technologiques un test concret pour les investissements en automatisation : déterminer si un workflow améliore la gestion des politiques dans tous les environnements concernés par un changement.

La visibilité rend ce test plus exigeant. Au total, 92% ont signalé au moins une certaine difficulté à obtenir une vue unique et précise des politiques dans l’ensemble de leurs environnements. La visibilité inter-environnements est une question distincte à examiner parallèlement à l’automatisation des workflows.

L’analyse des risques avant changement est la principale priorité d’amélioration

Les répondants ont placé l’analyse des risques avant un changement de politique en tête de leurs priorités d’amélioration. Elle a été sélectionnée par 32%, soit plus du double du taux de toute autre capacité mentionnée dans l’enquête.

Cela suggère une séquence pratique pour l’évaluation. Les équipes peuvent évaluer l’impact probable d’un changement proposé, puis décider quel travail de routine automatiser. Les responsables technologiques peuvent juger l’automatisation en partie selon que les personnes qui approuvent les changements peuvent voir l’impact probable sur les politiques avant l’exécution.

Un modèle centré sur les applications redéfinit la gestion des politiques

Hillary Baron, AVP of Research, Cloud Security Alliance, plaide pour une approche centrée sur les applications. « Ce qui était autrefois principalement un problème de configuration réseau est devenu un problème de connectivité applicative. L’approche traditionnelle centrée sur l’infrastructure, qui définit les politiques appareil par appareil et règle par règle, est de moins en moins adaptée à l’environnement actuel », a déclaré Baron.

Le principe opérationnel proposé par Baron centre les politiques sur les applications exploitées par les organisations et sur la connectivité dont ces applications ont besoin dans des environnements hybrides et multi-cloud. Dans ce modèle, la gestion se concentre sur le résultat au niveau applicatif que les règles d’infrastructure permettent collectivement.

Cette manière de cadrer le sujet offre aux dirigeants un autre test pour les décisions de gestion des politiques : déterminer si les équipes gèrent des règles d’infrastructure isolées ou la connectivité dont les applications ont besoin entre les environnements.

Eran Shiff, Chief Product Officer, AlgoSec, plaide pour une visibilité unifiée, une évaluation des risques avant changement, une automatisation des tâches de routine et des preuves de conformité à jour. AlgoSec a commandé l’étude et vend des technologies sur ce marché, ce qui donne à l’entreprise un intérêt commercial dans cette manière de présenter le sujet. Les dirigeants peuvent traiter ces capacités comme des critères d’évaluation lorsqu’ils examinent si des technologies ou des modèles opérationnels spécifiques produisent les résultats annoncés.

Les budgets 2026 affinent la décision d’investissement

Seulement 44% des répondants s’attendent à une hausse de budget en 2026. Pour les responsables technologiques qui définissent les priorités, la question clé est de savoir ce que chaque investissement change dans les décisions de politique.

Clarifie-t-il la responsabilité entre les opérations de sécurité, les opérations réseau, les architectes cloud et DevOps ? Améliore-t-il la vue inter-environnements utilisée pour approuver les changements ? Et aide-t-il les équipes à évaluer le risque avant qu’un changement de politique n’arrive en production ?

Ces questions mettent les investissements à l’épreuve des conditions signalées par les répondants : responsabilité distribuée, multiples consoles de gestion et difficulté à obtenir une vue unique des politiques.

Points clés à retenir pour les décideurs

• La gestion manuelle des politiques comporte un risque opérationnel : 61% des répondants utilisent des approches manuelles ou réactives, tandis que 65% ont signalé au moins une interruption critique pour l’activité causée par une politique de sécurité mal configurée. Les dirigeants doivent examiner où les changements manuels créent un risque évitable.
• La responsabilité des politiques doit dépasser les frontières organisationnelles : Les opérations de sécurité, les opérations réseau, les architectes cloud et DevOps se partagent tous la responsabilité. Les dirigeants doivent clarifier la responsabilité et évaluer si les workflows fournissent une vue cohérente des politiques entre les équipes et les environnements.
• L’analyse des risques avant changement doit guider l’automatisation : Les répondants ont classé l’analyse des risques avant les changements de politique comme leur principale priorité d’amélioration. Les investissements en automatisation doivent aider les équipes à comprendre les impacts probables avant que les changements n’arrivent en production.
• Une gestion centrée sur les applications offre un modèle opérationnel différent : Gérer la connectivité dont les applications ont besoin peut réduire la dépendance à une logique de politique appareil par appareil. Les dirigeants doivent évaluer si les outils de politique prennent en charge des résultats au niveau applicatif dans des environnements hybrides et multi-cloud.
• Des budgets plus serrés exigent des améliorations mesurables des politiques : Avec seulement 44% qui s’attendent à des hausses de budget en 2026, les investissements doivent avoir une valeur opérationnelle claire. Donnez la priorité aux capacités qui améliorent la responsabilité, la visibilité inter-environnements et l’évaluation des risques avant les changements de politique.