Network Architectures & Cloud Computing Fundamentals

L'Architecture des Réseaux : Connecter les Ordinateurs

Une entreprise moderne ne peut fonctionner avec des ordinateurs isolés. Le partage d'informations, l'accès à des applications communes et la communication sont essentiels. C'est le rôle des réseaux informatiques.

La vidéo animée suivante est une excellente introduction qui définit ce qu'est un réseau et explique les deux types fondamentaux que nous allons étudier.

Pour récapituler et formaliser ce que vous venez de voir :

• Un réseau local (LAN - Local Area Network) connecte des appareils informatiques dans une zone géographique restreinte, comme un bureau, un bâtiment ou un campus universitaire. Les appareils peuvent partager des fichiers, des imprimantes et un accès Internet unique. C'est un réseau privé, contrôlé par l'organisation.
• Un réseau étendu (WAN - Wide Area Network) couvre une large zone géographique, comme une ville, un pays ou même le monde entier. Il sert à interconnecter plusieurs LAN. L'exemple le plus connu de WAN est Internet. Une entreprise multinationale utilisera un WAN pour connecter ses bureaux de Paris, New York et Tokyo.

L'image ci-dessous illustre comment plusieurs réseaux locaux (LAN) sont connectés entre eux par des routeurs (IR - Intermediate Routers) et peuvent être reliés via un réseau étendu (WAN) pour former un "internetwork" (un réseau de réseaux).

Pour un auditeur, il est crucial de comprendre cette distinction. Les contrôles que vous évaluerez pour un LAN (par exemple, la sécurité physique des commutateurs et des câbles dans un bureau) seront très différents de ceux pour un WAN (par exemple, le chiffrement des données qui transitent sur des lignes publiques).

Le Cloud Computing : L'Informatique comme un Service

Maintenant que nous savons comment les ordinateurs sont connectés, explorons une manière moderne de les utiliser. Traditionnellement, une entreprise achetait, installait et gérait ses propres serveurs dans ses propres locaux. C'est ce qu'on appelle une infrastructure "sur site" ou "on-premises". Le cloud computing propose une alternative : accéder à des ressources informatiques (serveurs, stockage, logiciels) via Internet, comme un service.

Le texte suivant, tiré d'un ouvrage sur les fondements du commerce, introduit ce concept de manière très accessible.

Comme la lecture l'indique, le cloud computing se décline en trois modèles de service principaux. Votre rôle d'auditeur exige une parfaite compréhension de ces modèles, car ils déterminent les responsabilités de l'entreprise et celles du fournisseur de services.

Pour visualiser cette répartition des tâches, rien de mieux qu'une bonne analogie.

Cette analogie illustre parfaitement la notion de responsabilité partagée. Le diagramme suivant formalise ce concept. Il est l'un des schémas les plus importants pour un auditeur informatique travaillant avec le cloud.

Analysons ce diagramme, qui est au cœur de l'audit du cloud :

• On-Premises (Sur site) : L'entreprise gère tout, de la mise en réseau physique (câbles, routeurs) au stockage, aux serveurs, jusqu'aux applications. Tout est "bleu". L'audit couvre l'ensemble de cette pile technologique.
• Infrastructure as a Service (IaaS) : Le fournisseur cloud gère l'infrastructure physique de base (réseau, stockage, serveurs, virtualisation). L'entreprise cliente gère le système d'exploitation, les logiciels intermédiaires (middleware), l'environnement d'exécution (runtime), les données et les applications.
  • Exemples : Amazon Web Services (AWS) EC2, Microsoft Azure VMs, Google Compute Engine.
  • Implication pour l'audit : L'audit se concentre sur les éléments "bleus". L'entreprise est-elle responsable de la sécurisation du système d'exploitation ? De l'application des correctifs de sécurité ? De la configuration de la base de données ? Oui. Pour les éléments "oranges", l'auditeur s'appuiera sur les rapports d'audit du fournisseur (par exemple, un rapport SOC 2).
• Platform as a Service (PaaS) : Le fournisseur gère tout ce qui est inclus dans l'IaaS, PLUS le système d'exploitation, le middleware et le runtime. L'entreprise se concentre uniquement sur le développement et la gestion de ses propres applications et données.
  • Exemples : Heroku, Google App Engine, AWS Elastic Beanstalk.
  • Implication pour l'audit : Le périmètre de l'audit se réduit. L'auditeur n'a plus à se soucier de la mise à jour du système d'exploitation. Il se concentre sur la sécurité de l'application développée par l'entreprise et la gestion des accès à cette application.
• Software as a Service (SaaS) : Le fournisseur gère absolument tout. Il fournit une application clé en main. L'entreprise cliente est un simple utilisateur du service.
  • Exemples : Microsoft 365, Google Workspace, Salesforce, votre logiciel de comptabilité en ligne.
  • Implication pour l'audit : Le périmètre d'audit est le plus restreint. Il se concentre presque exclusivement sur la gestion des utilisateurs (qui a accès à quoi ?) et la configuration des options de sécurité offertes par l'application. La quasi-totalité de l'assurance sur la sécurité de l'infrastructure provient des rapports d'audit du fournisseur.

Votre expérience en gestion des risques vous permet de voir immédiatement que chaque modèle transfère une partie du risque (et du contrôle) vers le fournisseur. Un auditeur doit savoir précisément où se situe cette frontière.

Conclusion

Au cours de cette leçon, nous avons connecté les mondes de l'informatique. Vous êtes maintenant capable d'expliquer comment les ordinateurs d'une organisation communiquent entre eux et comment les services cloud redéfinissent la notion de propriété et de gestion de l'infrastructure informatique.

Voici les points essentiels à retenir :

• Les réseaux LAN et WAN décrivent l'étendue géographique d'un réseau. Le LAN est local et privé (un bureau), tandis que le WAN est étendu et connecte des LAN entre eux (Internet).
• Le cloud computing consiste à utiliser des services informatiques via Internet au lieu de posséder et de gérer sa propre infrastructure.
• Les modèles IaaS, PaaS et SaaS définissent le niveau de service fourni par le fournisseur cloud et, par conséquent, le niveau de responsabilité qui incombe à l'entreprise cliente.
• Pour un auditeur, comprendre ce modèle de responsabilité partagée est crucial pour définir le périmètre de l'audit et savoir où concentrer ses efforts de vérification.

Maintenant que nous avons une carte de l'infrastructure informatique (les composants, leurs interconnexions et leur "localisation" physique ou virtuelle), nous pouvons commencer à parler de la manière de la protéger. La prochaine leçon introduira les principes fondamentaux de la sécurité de l'information : la triade Confidentialité, Intégrité et Disponibilité (CIA).