Introduction à la sécurité du cloud computing

• Architecture du cloud computing (NIST, ISO 17788/17889).
• Shadow IT : détection et prévention des usages non approuvés du cloud.
• Le principe de responsabilité partagée en Iaas, PaaS et SaaS.
• Les normes ISO 27017 et 27018 pour sécuriser les données dans le cloud.

La sécurité des données dans le cloud

• Les données dans le cloud : cycle de vie, classification, anonymisation, pseudonymisation, tokenisation.
• L’approches BYOK (bring your own key) et les solutions HSM dans le cloud.
• Le CASB (cloud access security broker), principes et solutions.

Les référentiels de la cloud security alliance (CSA)

• Les 14 domaines du security guidance for critical areas of focus in cloud computing.
• La certification CCSK (certificate of cloud security knowledge).
• La cloud controls matrix (CCM) et le consensus assessments initiative questionnaire (CAIQ).
• Le framework de certification OCF et l'annuaire STAR (security, trust & assurance registry).
• Le code de conduite RGPD (CoC GDPR) pour les fournisseurs.

Les risques dans le cloud computing selon l'ENISA

• Évaluation et gestion des risques du cloud par la norme ISO 27005.
• Les spécificités de la gestion des risques dans le cloud.
• Les principaux risques identifiés par l'ENISA.

L’évaluation de la sécurité des fournisseurs

• Panorama des certifications/qualifications (SecNumCloud, SSAE18, HDS…).
• La certification de sécurité européenne issue du Cybersecurity Act.
• Intérêts et limites de la certification ISO 27001 pour les services cloud.

La sécurité dans les contrats cloud

• Les accords de service (SLA) : pénalités versus indemnités.
• Les clauses de sécurité à insérer dans un contrat de cloud (confidentialité, effacement des données…).
• Clauses de réversibilité amont & aval.

Aspects juridiques

• Le cadre juridique des données à caractère personnel (GDPR, CCT, BCR…).
• Comment assurer sa conformité RGPD dans le cloud ?
• Les lois et dispositions américaines (Privacy Shield, Patriot Act., FISA, Cloud Act).
• Comment la loi Godfrain (CP 323) s’applique-elle dans un contexte de cloud international ?
• Les hébergeurs de données de santé (certification HDS, obligations de sécurité, localisation des données, etc.).