Gouvernance et sécurité AWS à l'échelle de l'organisation

Le contexte

Verimatrix édite des logiciels de protection du contenu pour les opérateurs et les plateformes de diffusion. Plusieurs équipes produit, chacune avec ses comptes AWS, et une exigence de sécurité qui ne peut pas se traiter compte par compte : ce qui compte, c’est que la règle soit la même partout.

Ce qui a été fait

• Mise en place des services de sécurité à l’échelle de l’organisation, plutôt qu’au niveau de chaque compte pris isolément.
• Développement d’outils CloudOps de sécurité pour industrialiser la détection et la remédiation au lieu de les traiter à la main.
• Support d’architecture auprès des équipes projet, pour que les nouvelles applications intègrent les règles dès leur conception.

Pourquoi quatre ans, et pas un audit

Quatre ans. Sur cette durée, il ne s’agit plus d’un projet livré puis oublié : la sécurité d’une organisation ne se termine pas, elle se tient. C’est exactement le modèle d’un abonnement — une présence continue, à volume réduit, qui absorbe les sujets au fur et à mesure qu’ils apparaissent.

Un audit de sécurité ponctuel aurait trouvé des écarts. Il n’aurait pas tenu la barre pendant quatre ans.

Cette gouvernance n’a pas commencé en 2021 : j’avais posé le socle quelques années plus tôt, quand l’entreprise s’appelait encore Inside Secure. Voir ce premier cas.

Services AWS mobilisés

Amazon Organizations, AWS CloudTrail, AWS Config, Amazon GuardDuty, AWS Security Hub, AWS Firewall Manager, AWS WAF, AWS Shield Advanced, Amazon ECS, Amazon EC2, Amazon VPC, AWS CDK, AWS Lambda, AWS Step Functions, Amazon SES.