Face à une sécurité laxiste, Amazon retarde le déploiement de Microsoft 365

On ne badine pas avec la sécurité IT et Amazon vient d’en faire la démonstration avec Microsoft. La semaine dernière, Bloomberg indiquait que le géant du e-commerce et du cloud avait mis sur pause pendant une année entière le déploiement de Microsoft 365 auprès de ses collaborateurs (1,6 million). Ce laps de temps a été nécessaire pour corriger une longue liste de problèmes de sécurité identifiés par Amazon.

Le CISO d’Amazon, CJ Moses a indiqué à nos confrères « après avoir effectué notre propre analyse du logiciel, nous avons demandé des modifications pour se prémunir contre les accès non autorisés et créer un inventaire plus détaillé de l'activité des utilisateurs dans les applications, dont certaines sont également commercialisées par Microsoft sous le nom d'Office 365 ».

Avoir les mêmes normes de sécurité

Le dirigeant a ajouté « nous avons approfondi O365 et tous les contrôles qui l'entourent et nous les avons soumis aux mêmes normes, comme nous le ferions pour n'importe laquelle de nos équipes de service au sein d'Amazon ». Le CISO a travaillé en étroite collaboration avec un haut responsable de la sécurité chez Microsoft à savoir Charlie Bell, vice-président exécutif chargé de la sécurité, de la conformité et de l’IAM. Auparavant, il a passé plus de 23 ans chez Amazon où il a gravi les échelons jusqu’à devenir SVP chez AWS. CJ Moses a déclaré qu’à un moment donné, il était sous les ordres de Charlie Bell chez Amazon.

La discussion a donc été facilitée pour apporter des modifications « sur les outils vérifiant que les utilisateurs accédant aux applications sont correctement autorisés et, une fois qu'ils sont entrés, que leurs actions sont suivies de sorte que les systèmes automatisés d'Amazon puissent surveiller les changements qui pourraient indiquer un risque de sécurité », précise le CISO. Il constate que « l'offre groupée de Microsoft, issue de produits distincts, comprend différents protocoles d'authentification et de suivi des utilisateurs, dont certains ne répondaient pas aux normes d'Amazon. Nous voulions nous assurer que tout était enregistré et que nous avions accès à cet enregistrement en temps quasi réel. C'était une partie du problème ». Interrogé par nos confrères de CSOonline, Microsoft n’a pas répondu à la demande de commentaires sur l’examen minutieux de sa suite bureautique.

Une démarche intelligente

Face à cette annonce, la communauté des experts en cybersécurité a réagi plutôt positivement. Certains ont applaudi Amazon, estimant qu’il était l'une des rares entreprises ayant suffisamment de poids pour faire pression sur Microsoft afin qu'elle procède à des changements majeurs en matière de cybersécurité. Ainsi, Adam Ennamli, responsable du risque et de la sécurité à la Banque générale du Canada salue « une manœuvre très intelligente ». Il ajoute que cette démarche « montre au monde entier qu’il accorde la priorité à la sécurité et ce faisant démontre la supériorité d’AWS ». Les demandes d'Amazon « intègrent tout ce qui est exigé d’un fournisseur et soulignent indirectement que les utilisateurs du cloud obtiennent une sécurité médiocre de la part de Microsoft », glisse-t-il. Avant d’observer, « le retard pris par Amazon dans le déploiement de Microsoft 365 en dit long sur l’état de la technologie en entreprise aujourd’hui ». Et de saluer l’initiative « du géant de la technologie qui met en pause sa propre transition vers le cloud en raison de problèmes de sécurité ».

De son côté Roger Grimes, évangéliste en matière de défense chez KnowBe4, insiste sur la capacité d’Amazon a négocié avec Microsoft dans le domaine de la sécurité. « Il doit être agréable d'avoir la puissance financière nécessaire pour dire à Microsoft de corriger ces choses ou nous n'achèterons pas, et de voir Microsoft écouter ». Il poursuit en soulignant « « je ne sais pas tout ce qu'ils demandent à Microsoft de corriger, mais c'est probablement la bonne chose à faire et cela profitera au monde entier.

Des faiblesses dans la journalisation et la télémétrie

Pour Richard Blech, CEO de ZSoc, la décision d’Amazon « révèle un problème systémique qui devrait provoquer une onde de choc dans la communauté de la cybersécurité : l'incapacité des fournisseurs, même les plus établis, à donner la priorité à la sécurité fondamentale à une époque où les menaces sont d'une sophistication sans précédent ». Il ajoute, « le cœur du problème réside dans les capacités inadéquates de Microsoft en matière de journalisation et de télémétrie, qu'Amazon a jugées insuffisantes pour répondre à ses besoins en matière de sécurité. Il ne s'agit pas seulement d'une lacune technique, mais d'un abus de confiance fondamental ».

La démarche d’Amazon est aussi salué par Matthew Webster, qui dirige Cyvergence : « les efforts d'Amazon ne protègent pas seulement ses propres intérêts, mais contribuent également à renforcer l'écosystème pour d'innombrables autres entreprises ». Il constate que « cette affaire se distingue par le fait qu'elle implique deux mastodontes de l'industrie qui examinent de près la sécurité » et que l’influence d’Amazon « garantit des changements systémiques au sein de Microsoft, ce qui profite à l'ensemble de l'écosystème plutôt qu'à une seule société ». Et d’observer que « les petites entreprises demandent souvent des modifications dans le cadre de contrats juridiques, mais il s'agit généralement de modifications ponctuelles, en particulier dans des environnements non cloud ». Des approches qui peuvent « conduite à des inefficacité et à des risques », regrette le dirigeant. Enfin d’autres responsables de la sécurité estiment que l’initiative d’Amazon est moins un effort altruiste pour améliorer la cybersécurité de toutes les entreprises qu'un argument de vente à peine déguisé pour AWS. L’objectif est de dire qu’AWS se soucie de la sécurité, tout en soulignant que l’un de ses principaux concurrents ne le fait pas.