Le contexte
Un éditeur logiciel international avait accumulé plusieurs centaines de comptes AWS répartis entre des dizaines d’équipes projet. Chaque équipe avait fait au mieux, ce qui donnait autant de conventions que d’équipes : des règles de pare-feu incohérentes d’un compte à l’autre, des sauvegardes présentes ici et absentes là, des périmètres de sécurité impossibles à démontrer devant un auditeur, et une facture que personne ne savait expliquer entièrement.
L’objectif n’était pas de reprendre le contrôle en interdisant tout. Une gouvernance qui bloque les équipes projet est contournée dans le mois, et le résultat est pire que la situation de départ parce que les contournements ne sont pas documentés.
Ce que nous avons fait
Nous avons repris le parc et centralisé ce qui devait l’être, en laissant aux équipes projet ce qui leur appartient.
- Centralisation de la politique de sécurité : AWS Organizations, service control policies et gestion centralisée des règles de pare-feu avec Firewall Manager, appliquées de façon homogène sans avoir à négocier compte par compte.
- Mise en cohérence du réseau et de la protection périmétrique : conception de la connectivité inter-comptes avec Transit Gateway pour remplacer un maillage de VPC peering devenu illisible, et politiques WAF centralisées devant les applications exposées, gérées comme le reste par Firewall Manager plutôt que compte par compte.
- Un backup as a service basé sur AWS Backup, que les dizaines d’équipes projet consomment en déclarant simplement leur besoin de rétention, sans devenir chacune spécialiste du sujet.
- Une vue de sécurité unique avec Security Hub, agrégeant les constats de tous les comptes au lieu de les laisser dormir dans chacun. Sur un parc de cette taille, l’enjeu n’est pas de produire des alertes — il y en a des milliers — mais de les rendre exploitables : rattacher chaque constat à une équipe responsable, et suivre ce qui se corrige réellement.
- Mise en conformité avec les exigences d’audit : traçabilité, cloisonnement des environnements, politiques de rétention, et production automatique des preuves attendues.
- Réduction des coûts et reprise des infrastructures existantes, en commençant par les postes les plus lourds plutôt que par les plus faciles.
- Optimisation des performances : dimensionnement des charges conteneurisées sur ECS pour absorber les pics de trafic sans surprovisionner en permanence, et reprise de la configuration des bases managées Aurora.
Le résultat
La sécurité se pilote depuis un point central au lieu d’être renégociée équipe par équipe, les sauvegardes existent partout et sont testées, et l’audit s’appuie sur des preuves produites automatiquement plutôt que reconstituées dans l’urgence.
La facture a baissé. Le changement le plus durable est ailleurs : elle est redevenue explicable, ce qui permet enfin d’arbitrer.