Checkmarx, leader de la sécurité des applications cloud-natives, a lancé Checkmarx Application Security Posture Management (ASPM) et Cloud Insights pour fournir aux organisations une visibilité inédite sur la posture de sécurité de leurs applications, et ce, du code au cloud. Disponibles sur la plateforme AppSec Checkmarx One, elles permettent aux entreprises qui développent des applications cloud natives de réduire considérablement les risques applicatifs et business en leur fournissant des informations de sécurité de bout-en-bout et en leur permettant de mieux corréler et prioriser les efforts de remédiation.

En corrélant et en hiérarchisant les signaux de chaque solution de sécurité applicative directement dans l’environnement de développement de l’entreprise, Checkmarx ASPM améliore la visibilité, réduit les risques et in fine permet de mieux gérer la posture globale de sécurité. ASPM se nourrie de Fusion, le moteur de corrélation primé et de la solution de gestion des risques applicatifs de Checkmarx, extrayant déjà des informations à valeur ajoutée issues de sa plateforme AppSec, telles que l’identification des vulnérabilités. Désormais, la couverture est étendue au-delà des solutions Checkmarx, via l’intégration des résultats SARIF (Static Analysis Results Interchange Format) et OSCF (Open Cybersecurity Schema Framework) de n’importe quelle solution tierce, y compris celles de partenaires tels que Zimperium, Onapsis et autres.

Avantages de Checkmarx Cloud Insights :

• Corrélation et intégration des données de Checkmarx avec les données des fournisseurs de services cloud (CSP) et des plateformes de protection des applications cloud natives (CNAPP).
• Une nouvelle façon de prioriser la remédiation, notamment par le biais de bibliothèques open source appelées dans l’environnement d’exécution (via l’intégration avec Sysdig) et par l’exposition au réseau Internet lorsqu’il est déployé dans l’environnement cloud (grâce aux partenariats avec Wiz et Amazon Web Services). Les informations sont intégrées dans Checkmarx Application Risk Management.
• La capacité de suivre la correction d’une vulnérabilité tout au long du cycle de vie du développement logiciel (SDLC) par le biais du chemin d’attaque.
• Amélioration de l’expérience des développeurs grâce à la proposition de renseignements sur les risques priorisés avec l’orientation vers la correction des vulnérabilités les plus critiques, les plus exposées au risque d’exploitation ou les plus à risque.

« Checkmarx One est la principale plateforme de sécurité applicative. Son ouverture aux résultats issus d’entreprises tierces, va permettre à nos clients communs d’étendre leur couverture et d’obtenir une vue unifiée au sein de Checkmarx ASPM. Nous sommes ravis de nous associer à Checkmarx, qui porte les informations sur les menaces de sécurité mobile de Zimperium directement dans la plateforme Checkmarx Application Security Posture Management (ASPM) », a déclaré Nitin Bhatia, directeur de la stratégie chez Zimperium. « Cette collaboration permet à une organisation de gérer et de sécuriser plus efficacement l’ensemble de son périmètre d’applications mobiles, garantissant ainsi une protection complète contre les menaces émergentes. »

Dans le contexte de l’adoption du schéma européen de certification du cloud EUCS, la capacité des acteurs économiques à protéger leurs données stratégiques est au cœur des débats.  Souveraineté, confiance numérique, ces termes utilisés sans distinction entraînent une confusion qui dessert la sécurité de l’information. Le Clusif plaide pour une clarification rapide.

Les organisations font des choix de solutions d’hébergement de cloud en intégrant plusieurs dimensions : la sécurité, l’accessibilité, le droit applicable, la performance, les coûts etc.

Depuis quelques années la notion de souveraineté tente de s’inviter dans les critères d’évaluation de ces solutions. Notamment car les questions d’autonomie et d’indépendance sont au cœur du débat public. Mais cette notion, la souveraineté, concernant les solutions d’hébergement du cloud, est employée sans fondements clairs. Ce qui a pour conséquence de créer de la confusion chez les acheteurs et des effets d’aubaine chez les fournisseurs.

Plutôt que d’employer la notion de souveraineté, notion régalienne, à tort et à travers, le Clusif lui préfère la notion de confiance numérique. Celle-ci peut être définie avec des critères objectifs et concrets, nous en proposons 15 :

• Localisation physique des Datacenters
• Localisation des données (transit, repos, utilisation)
• Localisation des services et applications tierces
• Localisation des équipes d’administration / exploitation
• Localisation des sous-traitants
• Localisation si chaîne de sous-traitance
• Localisation des personnes à accès à privilèges
• Localisation des supervisions / sauvegardes
• Localisation du siège de la société
• Nationalité des services ou produits utilisés
• Nationalité du ou des hébergeurs
• Nationalité des personnels à accès techniques
• Nationalité des fonds de capitaux
• Montage juridique de la société / entité
• Certifications pour l’hébergeur

« La souveraineté est un enjeu trop important pour être dévoyé. Cela se joue au niveau de l’État. En matière d’hébergement de cloud, appuyons-nous déjà sur la notion de confiance numérique pour viser un meilleur niveau de sécurité et une offre réellement adaptée aux besoins de chacun », souligne Benoît Fuzeau, président du Clusif.

Nous n’ignorons pas les besoins de certaines organisations d’avoir accès à des solutions réellement souveraines. Mais le Clusif œuvre pour que les professionnels de la cybersécurité puissent guider les choix d’achats de solutions en se basant sur des besoins différenciés. Et pour cela il faut sortir d’un emploi excessif et trop flou de la notion de souveraineté.