Chacune des grandes plates-formes cloud a sa propre méthodologie pour transmettre les informations de sécurité aux plates-formes de journalisation et de sécurité, laissant aux fournisseurs le soin de trouver des moyens propriétaires de les traduire dans un format qui fonctionne pour leur outil. Le Cloud Security Notification Framework (CSNF), un nouveau groupe de travail qui comprend Microsoft, Google et IBM tente de créer une nouvelle manière ouverte et standard de fournir ces informations.

Nick Lippis, cofondateur et coprésident d’ONUG, une communauté de cloud d’entreprise ouverte, qui est le principal moteur de CSNF, affirme que ce qu’ils ont créé est en partie standard et en partie open source. «Ce sur quoi nous nous sommes vraiment concentrés, c’est comment automatiser la gouvernance sur le cloud. Et donc, la sécurité était le lieu idéal pour cela, où nous pouvons apporter une valeur ajoutée immédiatement à la communauté », a-t-il déclaré.

Bien qu’ils aient attiré certains des grands fournisseurs de cloud, ils ont également de grandes entreprises qui utilisent des services de cloud comme FedEx, Pfizer et Goldman Sachs. AWS est manifestement absent du groupe, le plus grand acteur du marché des infrastructures cloud de loin. Mais Lippis dit qu’il espère que, à mesure que le projet mûrira, d’autres entreprises, dont AWS, le rejoindront.

«Il y a beaucoup de programmes de sécurité et de programmes industriels qui arrivent et que les gens leur demandent de rejoindre, et certaines entreprises veulent donc attendre de voir à quel point cela se passe bien. [before making a commitment to it]», A déclaré Lippis. Son espoir est qu’avec le temps, Amazon reviendra et rejoindra le groupe, mais en attendant, ils travaillent pour arriver au point que tout le monde dans la communauté se sentira bien dans ce qu’il fait.

L’idée est de commencer par des alertes de sécurité et de trouver un moyen de créer un format commun pour donner aux entreprises le même type de système qu’elles ont dans le centre de données pour suivre les alertes de sécurité dans le cloud. La façon dont ils espèrent le faire est avec ce dialogue ouvert entre les fournisseurs de cloud et les entreprises impliquées dans le groupe.

«Donc, la structure de cela est qu’il existe un comité de pilotage qui est présidé par les RSSI de ces grandes marques grand public du cloud, ainsi que les fournisseurs de cloud, et ils fournissent le vote et la direction. Et puis il y a le groupe de travail où tout le travail est fait. La beauté de ce que nous faisons est que nous avons maintenant des consommateurs et aussi des fournisseurs qui travaillent ensemble et collaborent », a-t-il déclaré.

Don Duet, membre de l’ONUG, qui est PDG et co-fondateur de Concourse Labs, a été impliqué dans la formation du CSNF. Il dit que pour garder le projet concentré, ils considèrent cela comme un problème de gestion des données et ils établissent un vocabulaire commun pour que chacun puisse travailler au sein du groupe.

«Comment établir un consensus sur les types de termes sur lesquels tout le monde peut s’entendre, puis construire la base sous-jacente afin que les experts de vos fournisseurs de ressources dans ce cas, les fournisseurs de services cloud, puissent bénir la façon dont leurs données [connects] à ces normes communes », a expliqué Duet.

Il dit que ce problème particulier est plus un problème organisationnel qu’un problème technique, rassemblant les différentes parties prenantes et établissant simplement un consensus à ce sujet. À ce stade, ils ont ce processus en place et la prochaine étape consiste à le prouver en faisant tester les différentes entreprises impliquées dans ce processus dans les mois à venir.

Après avoir passé la phase de test, en octobre, ils prévoient de démontrer à quoi cela ressemble dans un scénario avant et après, avec le nouveau cadre et sans lui. Au fur et à mesure que le groupe travaille à la réalisation de ces objectifs, l’espoir est que le cadre deviendra éventuellement plus établi et que d’autres entreprises et fournisseurs se joindront à eux et en feront une manière plus standard de partager les alertes de sécurité. Si tout se passe bien, ils espèrent intégrer au fil du temps d’autres informations de sécurité dans ce cadre.