Les menaces liées à l’IA :
• Plus de 2 professionnels de la sécurité sur 5 (43%) prédisent que les menaces alimentées par l’IA échapperont aux techniques de détection traditionnelles pour devenir un vecteur de menace plus courant.
• 47% anticipent des attaques à la chaîne d’approvisionnement alimentées par l’IA compromettant des composants logiciels ou des services cloud pour obtenir un accès.
Le développement d’applications :
• 100% des répondants à l’enquête déclarent adopter le développement d’applications assisté par l’IA. Cependant, la principale préoccupation en matière de sécurité cloud en ce moment est la découverte de vulnérabilités et d’exploitations imprévues introduites par le code généré par l’IA.
La consolidation continue :
• Les répondants déclarent utiliser en moyenne 16 outils de sécurité cloud provenant de 14 fournisseurs différents.
• 91% des répondants déclarent que le nombre d’outils spécialisés utilisés crée des angles morts qui affectent leur capacité à hiérarchiser les risques et à prévenir les menaces.
Le stockage des données :
• 98% des organisations stockent des données sensibles dans plusieurs emplacements - dans des serveurs sur site, dans le cloud public, dans des applications SaaS, sur des clouds privés hébergés par un tiers et sur des points de terminaison.
La sécurité reste un obstacle :
• 84% des répondants déclarent que les processus de sécurité entraînent des retards dans leurs projets. En fait, la sécurité est un facteur de blocage entravant les mises en production de logiciels, selon 86% des répondants.
La relation sécurité/développeur :
• 92% des répondants sont d’accord pour dire que des priorités conflictuelles entre DevOps et cloud SecOps entravent le développement et le déploiement efficaces.
• Plus alarmant encore, 71% affirment que des déploiements précipités ont introduit des vulnérabilités de sécurité. 52% des répondants ont cité les conflits entre DevOps et SecOps comme une source de stress significative.

A l’échelle mondiale, le rapport dévoile également les principales préoccupations de sécurité cloud :

1. Les risques de sécurité avec le code généré par l’IA. Avec notamment les vulnérabilités et exploits imprévus introduits par le code généré par l’IA
2. Les risques API avec l’appréhension parmi les organisations concernant les APIs non gérées et non sécurisées, les risques liés aux APIs tierces, et le manque de supervision dans les intégrations API
3. Les attaques alimentées par l’IA avec une prise de conscience croissante de la manière dont l’IA pourrait être utilisée comme arme, associée à une incertitude qui rend difficile la planification et la défense
4. La gestion d’accès inadéquate avec le contrôle de qui a accès à quoi dans le cloud
5. L’impact CI/CD sur la surface d’attaque. Les attaquants peuvent facilement introduire des vulnérabilités et les déployer rapidement en production
6. Les menaces internes. Le défi universel de réduction des risques associés aux insiders compromis, y compris les partenaires commerciaux, les fournisseurs tiers, les sous-traitants, ainsi que les employés
7. Les actifs inconnus et non gérés : les lacunes dans la gestion des actifs et la visibilité qui pourraient entraîner des vulnérabilités et des violations

D’autres enseignements à tirer du rapport 2024 :
• A la question de savoir ce qu’ils feraient différemment s’ils migraient vers le cloud pour la première fois, 50 % des répondants ont déclaré qu’ils consacreraient plus de temps à refactoriser leurs applications plutôt que de les migrer avec des changements minimes. Le rapport montre que les organisations qui ont déplacé des charges de travail vers le cloud sans les optimiser pour le cloud ont eu des coûts totaux de possession plus élevés. De plus, leurs applications n’ont pas bénéficié des avantages d’agilité et de scalabilité pour lesquels le cloud est réputé.
• La préférence de déploiement pour le lift and shift (35 %) s’aligne sur l’approche pragmatique adoptée par de nombreuses organisations en matière de migration vers le cloud. Les organisations qui commencent par le lift and shift progressent généralement vers le refactoring et le développement cloud-native, évoluant au-delà de la recherche de gains rapides pour adopter des stratégies cloud-first afin de bénéficier de performances, de scalabilité et d’efficacité économique accrues. L’enquête confirme cette tendance, les déploiements cloud-native supplantant le lift and shift à 36 % parmi les organisations ayant 3 ans ou plus d’expérience dans le cloud. À travers les régions, les tendances en matière de maturité montrent que l’Australie (26 %), Singapour (26 %) et les États-Unis (24 %) sont en tête avec environ un quart de leurs environnements entièrement cloud-native. La France et l’Allemagne suivent respectivement avec 17 % et 14 %.
• La majorité des répondants (67 % au niveau mondial) déclarent consacrer entre 10 % et 30 % de leur coût total de possession (TCO) cloud à la modernisation des applications héritées. Pour 24 % des organisations, les coûts montent en flèche à plus de 30 %, mettant en évidence la nécessité d’équilibrer la continuité opérationnelle et la recherche de l’innovation.
• Le cloud est, on peut le dire, nébuleux. On ajoute ici un fournisseur de services cloud (FSC), là un outil de sécurité. L’écosystème s’étend. Encore et encore. La complexité est un compagnon constant. 98% des personnes interrogées considèrent qu’il est important de réduire la moyenne de 16 outils de sécurité cloud qu’elles possèdent.
• Les risques liés aux API : 43% des répondants mondiaux ont les yeux rivés sur les risques associés aux API. En tant que passerelles d’échange de données et d’intégration entre applications, les API peuvent permettre des accès non autorisés, exposer des données sensibles et créer des vulnérabilités aux cyberattaques.
• Alors que la technologie de l’IA continue de se développer, le risque d’attaques basées sur l’IA augmente. Une prise de conscience croissante de la façon dont l’IA pourrait être utilisée à des fins malveillantes - associée à une incertitude qui rend difficile la planification et la défense - préoccupe 38% des organisations. Le potentiel d’une plus grande sophistication et d’un ciblage plus précis conduisant à des dommages plus importants devrait alerter les organisations sur l’évolution de la menace que représente l’IA.
• La gestion inadéquate des accès est citée par 35 % des organisations comme une préoccupation majeure, soulignant les difficultés rencontrées par les entreprises pour contrôler qui a accès à quoi dans le cloud.
• Avec son potentiel d’introduire des vulnérabilités et de les déployer rapidement en production, l’impact de la chaîne d’intégration et de livraison continue (CI/CD) sur la surface d’attaque préoccupe 34 % des organisations.
• Les incidents de sécurité dans le cloud sont en hausse, avec une augmentation des violations de données, qui constituent généralement l’incident le plus grave. 64 % des organisations signalent une hausse alarmante. De plus, 48 % des organisations signalent une augmentation des violations de conformité, suivies d’une augmentation des temps d’arrêt opérationnels dus à des erreurs de configuration rencontrées par 45 % d’entre elles.
• 71 % des personnes interrogées affirment que les déploiements précipités ont introduit des vulnérabilités de sécurité. 50 % des organisations prioriseraient la conformité dès le départ.
• L’IA est là, et on peut dire que les organisations sont à la fois anxieuses, optimistes et engagées. En effet, près de 2 professionnels de la sécurité du cloud sur 5 (38 %) considèrent les attaques basées sur l’IA comme une préoccupation majeure. Lorsqu’on interroge spécifiquement sur la sécurité des données, et plus particulièrement sur le risque que des attaques basées sur l’IA compromettent des données sensibles, ce chiffre grimpe à 89 %, soit plus du double. Les personnes interrogées évoluent clairement en terrain inconnu. Plus de 2 répondants sur 5 (43 %) prévoient que les menaces basées sur l’IA échapperont aux techniques de détection traditionnelles et se généraliseront. Quelles sont les tendances les plus inquiétantes qu’ils s’attendent à voir ? 47 % anticipent des attaques sur la chaîne d’approvisionnement alimentées par l’IA, compromettant des composants logiciels ou des services cloud. Viennent ensuite le phishing personnalisé, l’ingénierie sociale ou les deepfakes pour tromper les utilisateurs (45 %), ainsi que la manipulation des sorties ou l’exploitation des vulnérabilités des systèmes d’IA (44 %).

Méthodologie
L’enquête annuelle sur l’État de la Sécurité Cloud-Native a été menée entre le 20 décembre 2023 et le 17 janvier 2024, à l’aide d’une invitation par e-mail et d’une enquête en ligne. La population des répondants comprenait 2 800 cadres et praticiens des départements de développement, de sécurité de l’information ou de technologie de l’information dans quatre régions clés : NAM (États-Unis, 36%), EMEA (DE, FR, UK, 21%), LATAM (BR, MX, 14%), et APJ (IN, SG, AU, JP, 29%).

—