Les organisations investissent beaucoup pour protéger le réseau et les applications, mais négligent souvent l’image de base depuis laquelle tout démarre. Une AMI aux paquets obsolètes ou aux snapshots non chiffrés propage le risque à chaque instance qui en naît. La bonne nouvelle : protéger l’image est un point de contrôle unique et très rentable.
La triade qui résout cela est simple à énoncer et exigeante à tenir : chiffrement, correctifs et conformité démontrable.
1. Chiffrement : protéger les données au repos et en transit
Le chiffrement est la ligne de défense quand tout le reste a échoué. Pour les images machine, il s’articule à plusieurs niveaux :
- Snapshots EBS chiffrés avec AWS KMS, ou Azure Disk Encryption et Google CMEK sur les autres clouds.
- Clés gérées par le client (CMK) avec rotation automatique et politiques d’accès minimales.
- Chiffrement par défaut activé au niveau du compte pour qu’aucune image ne naisse en clair.
- Gestion des secrets hors de l’image : n’intégrez jamais de mots de passe ni de jetons ; injectez-les à l’exécution avec Secrets Manager, Vault ou Parameter Store.
2. Correctifs : la course contre les CVE
Des vulnérabilités sont publiées chaque jour. Une image est sûre le jour où vous la créez, et un peu moins chaque jour qui passe. La gestion des correctifs dans un monde immuable ne consiste pas à mettre à jour des serveurs vivants, mais à recuire fréquemment.
- Rythme de reconstruction : reconstruisez l’image de base au moins mensuellement, et en urgence face à une CVE critique de votre stack.
- Analyse dans le pipeline : intégrez Trivy, Grype ou Amazon Inspector pour détecter les CVE avant publication.
- Porte de qualité : bloquez la publication si des vulnérabilités dépassent un seuil, par exemple critiques ou élevées exploitables.
- SBOM : générez une Software Bill of Materials pour savoir exactement ce que contient chaque image et réagir vite au prochain Log4Shell.
3. Conformité : démontrer, pas seulement faire
En audit, être sûr ne suffit pas : il faut le démontrer par des preuves. Les images bien gouvernées produisent naturellement ces preuves.
| Référentiel | Ce qu’il attend de vos images | Preuve que vous pouvez fournir |
|---|---|---|
| SOC 2 | Contrôles de sécurité cohérents et surveillés | Rapports de durcissement et logs de build |
| ISO 27001 | Gestion des vulnérabilités et contrôle des changements | Scans de CVE, versionnement et SBOM |
| PCI DSS | Configuration sécurisée et correctifs documentés | Benchmark CIS et historique de reconstructions |
| ENS / RGPD | Chiffrement et minimisation des données | Chiffrement KMS et absence de données personnelles |
Comment les pratiques d’image sûre se traduisent en preuves de conformité.
Le nouveau contexte réglementaire de 2026
L’environnement normatif se durcit. En 2026 entrent en vigueur des étapes clés de la réglementation européenne sur l’IA et de nouvelles directives de responsabilité du fait des produits, et plusieurs juridictions renforcent leurs exigences de gouvernance et de conformité dans le cloud. Traduction pratique : la traçabilité de ce que vous exécutez et de la façon dont vous le sécurisez cesse d’être facultative. Une chaîne d’images auditable est votre meilleure assurance.
Checklist de sécurité d’image
- Chiffrement par défaut activé et snapshots avec CMK.
- Aucun secret intégré ; gestion externe des identifiants.
- Analyse des CVE à chaque build avec porte de qualité.
- Reconstruction périodique et en cas de CVE critique.
- Benchmark CIS appliqué et validé.
- SBOM et logs de build archivés comme preuve.
- Retrait sûr des images obsolètes.
Questions fréquentes
À quelle fréquence corriger une image immuable ?
On ne la corrige pas à chaud : on la reconstruit. Un cycle mensuel est un bon minimum, avec des reconstructions extraordinaires en cas de CVE critiques touchant votre logiciel.
Qu’est-ce qu’un SBOM et pourquoi en ai-je besoin ?
Un SBOM est l’inventaire de tous les logiciels et dépendances de votre image. Il permet de savoir en quelques minutes si une nouvelle vulnérabilité vous concerne, et il est de plus en plus exigé en conformité.
Le chiffrement affecte-t-il les performances ?
Le chiffrement EBS avec KMS est transparent et son impact sur les performances est pratiquement imperceptible pour la plupart des charges.
Chez imaxe.cloud, nous appliquons chiffrement, analyse et mise à jour continue à nos images pour que vous partiez d’une base défendable face à n’importe quel audit.
