Cloud, plateformes & exploitation

Cloud, plateformes & exploitation

Le cloud a changé une chose fondamentale : l’infrastructure n’est plus un objet qu’on visite, c’est une déclaration qu’on soumet, et personne ne sait plus vraiment ce qui tourne tant que la facture ne le rappelle pas. Le modèle de responsabilité partagée promet une frontière nette entre ce que le fournisseur sécurise et ce qui reste à la charge du client ; en pratique, cette frontière est le premier endroit où les incidents se cachent, précisément parce que chacun pense que c’est à l’autre de vérifier.

L’IAM cloud pousse cette logique encore plus loin que l’IAM classique : des rôles qu’on assume en chaîne, des permissions accordées « pour aller vite » et jamais retirées, des comptes de service qui dorment avec des droits qu’ils n’utilisent plus. Chaque permission ajoutée est un pari sur le fait que personne ne l’exploitera avant qu’on pense à la retirer.

Les conteneurs et l’orchestration ajoutent leur propre terrain de jeu : RBAC Kubernetes mal calibré, admission control absent, un service mesh qui promet du mTLS partout et qui, en réalité, laisse passer ce qu’on n’a pas explicitement bloqué. Le serverless et l’infrastructure as code déplacent encore le problème sans le résoudre : un événement mal filtré devient un vecteur, une dérive de configuration silencieuse finit par ressembler à une politique qu’on n’a jamais écrite.

Ce qui reste, au bout du compte, c’est la question de la posture : ce qu’un outil de conformité voit vraiment, face à ce qui tourne réellement. L’inventaire déclaré et l’inventaire réel ne coïncident presque jamais, et c’est dans cet écart que vit la majorité des angles morts cloud.