Les pannes de cybersécurité basées sur le cloud de Zscaler présentent un problème de redondance

Lorsque les offres de logiciels en tant que service de cybersécurité sont affectées par une panne, cela peut entraîner une perturbation importante, en particulier si le service protège les parties critiques de l’infrastructure d’une entreprise. 

Au cours des deux dernières semaines, par exemple, pannes à la société de services de cybersécurité Zscaler a entraîné une latence, une perte de paquets et des pannes pour certaines entreprises. Le 25 octobre, un problème de transfert de trafic causé des perturbations et la perte de paquets pour certains clients régionaux du fournisseur de cybersécurité. La semaine précédente, l'entreprise clients avertis qu'ils pourraient subir une perte de paquets en raison de dommages à un câble transocéanique près de la France.

Malheureusement, de nombreuses entreprises n’étaient pas préparées. « L'entreprise entière a été mise hors service pendant plusieurs heures ce matin », a déclaré un ingénieur en sécurité informatique. dit sur Twitter de l'impact sur son entreprise.

Alors que les pannes de n'importe quel service cloud peuvent avoir un impact dramatique sur les opérations commerciales - une panne d'Amazon Web Services en décembre 2021 a supprimé des pans entiers du Web pendant des heures, par exemple — les cyberdéfenses occupent souvent une position privilégiée au sein de l’infrastructure d’une entreprise, ce qui rend une panne plus impactante. Une application SaaS (Software-as-a-Service) d'entreprise n'a généralement d'impact que sur sa propre base d'utilisateurs, tandis que les services SaaS de cybersécurité peuvent souvent avoir un impact sur plusieurs applications.

Un porte-parole de Zscaler a souligné que l’impact des pannes était limité, affectant un seul des cinq cloud et une seule des offres de services de l’entreprise. En outre, « seul un petit sous-ensemble » de clients a rencontré une dégradation des services. Mais la situation montre que les entreprises doivent se préparer à de telles pannes, même si elles sont rares, déclare Merritt Maxim, vice-président et directeur de recherche pour la sécurité et les risques chez Forrester Research.

Zscaler « n'est pas la première panne de cloud et ne sera pas la dernière non plus », dit-il, ajoutant : « Les produits et services cloud ne sont pas nécessairement plus sensibles aux pannes que leurs équivalents sur site, [mais] le problème est souvent que En raison de cette perception, les organisations n’évaluent pas correctement toutes les causes possibles des pannes du cloud et n’élaborent pas de plans d’atténuation en réponse à ces menaces.

En effet, les incidents Zscaler ne sont pas uniques. En octobre 2020, un la panne a affecté Microsoft Azure AD, le service SaaS de gestion des identités et des accès de l’entreprise, empêchant les entreprises et les utilisateurs de se connecter à leurs applications. Un an plus tard, un panne de Facebook de six heures bloqué de nombreux utilisateurs — y compris certaines entreprises – de l’utilisation de la technologie d’authentification unique de l’entreprise et a ralenti de nombreux sites Web lorsque les scripts s’appuyant sur le service de l’entreprise ne pouvaient pas s’exécuter.

Les pannes de cloud de plus en plus rares, mais percutantes

Dans l'ensemble, il y a eu une réduction du nombre de pannes importantes parmi les services cloud, 60 % des opérateurs déclarant avoir eu une panne au cours des trois dernières années, contre 78 % en 2020, selon résultats d'enquête publiés par l'Uptime Institute.

Et par rapport aux logiciels et appareils de cybersécurité sur site, les services basés sur le cloud sont néanmoins plus fiables, déclare Jim Reavis, PDG de Cloud Security Alliance, une organisation du secteur.

« Les fournisseurs de cloud matures, y compris ceux proposant des offres de cybersécurité, fonctionnent un peu comme des services publics qui fournissent des services à la demande à de larges bases de clients », explique-t-il. "Ils sont généralement très fiables, c'est pourquoi leurs pannes intermittentes, comme celles des services publics, sont dignes d'intérêt."

C’est pour cette raison que les deux perturbations subies par Zscaler se démarquent, tout comme le manque de préparation des entreprises.

« Les choses se produiront tant que les humains et la nature seront impliqués », déclare Misha Kuperman, vice-président senior des opérations cloud et de l'écosystème chez Zscaler. Il ajoute : « Avec les bons outils, nous pouvons offrir plus de fiabilité et contourner de tels incidents, comme nous l'avons fait à plusieurs reprises. »

Intégrer la redondance de la sécurité dans le cloud

Les entreprises doivent également s'assurer qu'elles réalisent que la sécurité et la fiabilité du cloud constituent un modèle de responsabilité partagée. Les fournisseurs de cloud, y compris les services de cybersécurité basés sur le cloud, sont responsables de leur infrastructure, mais les entreprises doivent concevoir leur infrastructure cloud ou hybride pour gérer les pannes.

Les entreprises qui connaissent l’architecture de leur fournisseur de cloud seront mieux préparées aux pannes, déclare Reavis de CSA.

« Il est important de comprendre comment le fournisseur parvient à assurer la redondance de son architecture, de ses procédures opérationnelles, y compris les mises à jour logicielles, et de son empreinte dans les centres de données mondiaux », explique-t-il. « Le client doit alors comprendre comment cette redondance répond à ses propres exigences en matière de risque et si sa propre architecture tire pleinement parti des capacités de redondance.

Les clients professionnels doivent également réévaluer régulièrement leur paysage technologique et leur profil de risque. Alors que les pannes de réseau et d’électricité – ainsi que les catastrophes naturelles – dominaient autrefois les discussions sur la résilience, les menaces malveillantes telles que les ransomwares et les attaques par déni de service sont souvent plus susceptibles de dominer les discussions aujourd’hui, explique Maxim de Forrester.

« Comprendre l’évolution des risques et leur impact respectif sur les entreprises est impératif pour prioriser les risques que vous souhaitez atténuer », dit-il. Une analyse d'impact commercial menée avec des équipes internes « vous permet de créer des niveaux de criticité des applications qui aident à déterminer si la résilience par défaut des services cloud est suffisante ou si vous avez besoin d'une solution plus robuste ».