Un guide pour connaître la CNAPP et la mettre en application
La sécurité du cloud ne se limite plus à vérifier la posture. Il s’agit de garder une longueur d’avance sur les attaquants dans des environnements en constante évolution : nouveaux services, nouvelles identités, nouveau code.
Les outils traditionnels ne suivent pas le rythme des infrastructures éphémères, de la prolifération des identités et de la vitesse du DevOps. Les équipes de sécurité ont besoin d’une plateforme qui unifie les signaux, comprend l’exposition réelle et accélère la remédiation, sans ralentir l’ingénierie.
C’est la raison d’être des CNAPP : unifier la sécurité du cloud, du développement à la production, à travers les infrastructures, les workloads, les identités et les données. Mais toutes les CNAPP ne se valent pas. Beaucoup sont assemblées à partir d’outils rachetés. D’autres génèrent trop de bruit, sans contexte.
Dans ce guide, vous découvrirez comment choisir une CNAPP qui élimine la complexité et offre à votre équipe une véritable voie vers la sécurité : visibilité full-stack, runtime protection et workflows pensés pour les développeurs.
Vous verrez aussi ce que les leaders des CNAPP modernes font différemment : analyse des risques basée sur un graphe, analyse agentless et traçabilité code-to-cloud.
Gartner® Market Guide for CNAPP
The Gartner® Market Guide for Cloud-Native Application Protection Platforms (CNAPP) explores this shift and outlines what security leaders should consider as the market matures.
Les fonctionnalités essentielles d’une CNAPP
Les cloud native application protection platforms modernes vont au-delà des outils de sécurité isolés et adoptent une approche de défense unifiée et intelligente. Contrairement aux anciennes CNAPP qui reposent sur une corrélation manuelle ou sur des agents, les plateformes modernes s’appuient sur l’analyse contextuelle et sur des graphes de risques unifiés. Elles font ainsi remonter le faible pourcentage de problèmes qui comptent vraiment et bloquent les menaces actives en real-time.
Les CNAPP les plus avancées utilisent un modèle de risque basé sur un graphe pour relier les signaux liés à l’identité, aux données et à l’infrastructure. Vous identifiez ainsi les véritables chemins d’attaque (par exemple, un container vulnérable accessible via un rôle IAM surprivilégié qui atteint des données sensibles) et vous priorisez l’essentiel au lieu de courir après les alertes.
Voici un aperçu détaillé des fonctionnalités essentielles d’une CNAPP :
1. Sécuriser le développement cloud (shift-left security)
Sécuriser le développement cloud est une capacité essentielle d’une CNAPP. Cette approche shift-left (approche préventive en amont du cycle de développement) consiste à identifier et traiter en continu les risques applicatifs, du code à la production, puis à les prioriser selon leur gravité. L’application security posture management (ASPM) analyse tout, du code applicatif à l’infrastructure as code (IaC), en passant par les composants tiers et les CI/CD pipelines. Puis, elle relie les risques entre eux pour montrer quels problèmes affectent réellement votre activité.
Autre composant essentiel du shift-left security ? La sécurisation de la software supply chain. Une approche sans faille de la supply chain security prévient les attaques, comme les compromissions issues d’artefacts de build corrompus. Afin de réduire les risques avant le déploiement, les étapes clés consistent à :
analyser les code repositories à la recherche de secrets codés en dur
mettre en œuvre l’infrastructure as code (IaC)
vérifier les dependencies pour détecter les vulnérabilités connues dans les bibliothèques tierces.
2. Sécuriser l’infrastructure cloud (contrôles préventifs)
Toute CNAPP digne de ce nom sécurise l’infrastructure cloud et vous aide à maintenir des configurations conformes tout en limitant les risques de dérive. Voici comment :
La gestion de la posture de sécurité cloud (CSPM) identifie et corrige les éléments non conformes aux politiques requises, ce qui réduit le risque de dérive dans le temps et renforce la conformité réglementaire.
La gestion des droits d’accès à l’infrastructure cloud (CIEM) signale les comportements inhabituels des utilisateurs et offre une visibilité sur l’ensemble des droits d’accès sur plusieurs plateformes cloud. Elle détecte les secrets exposés susceptibles de mettre en danger les systèmes cloud.
Pour protéger ce qui s’exécute dans le cloud, les cloud workload protection platforms (CWPP) sécurisent les containers et les virtual machines. Ils combinent des contrôles de vulnérabilités et une surveillance en real-time, facilitant la détection des tentatives d’accès à des ressources normalement inaccessibles.
La data security posture management (DSPM) vise à protéger les données sensibles. Elle localise l’endroit où sont stockées les informations importantes, surveille leurs déplacements dans le cloud et vérifie que les paramètres de stockage sont correctement appliqués. Elle identifie aussi la façon dont les attaquants tentent d’atteindre ces données, ce qui donne aux équipes de développement l’occasion de combler les lacunes avant tout incident.
Enfin, l’API security est un autre domaine où les CNAPP excellent. Les API sont souvent le point de connexion entre les services : mal sécurisées, elles deviennent une porte d’entrée facile pour les attaquants. Les CNAPP aident à repérer tôt les problèmes liés aux API, afin qu’elles ne soient pas une faiblesse cachée de votre configuration cloud.
3. Runtime protection (cloud detection & response)
La cloud detection and response assure une détection des menaces en real-time. Elle produit des réponses automatisées face aux attaques visant votre environnement cloud. Ces attaques comprennent les malwares, le crypto-mining et la remote code execution. La CDR offre une visibilité complète et recueille des informations issues de l’activité cloud, des audit logs et des signaux. Elle suit ainsi les mouvements des attaquants, visualise les chemins d’attaque et permet aux équipes de sécurité de réagir plus rapidement.
À travers les catégories évoquées (développement sécurisé, contrôles préventifs et runtime protections), des fonctionnalités de conformité intégrées simplifient la cloud governance et l’application des politiques pour des normes comme PCI DSS, GDPR et NIST. Ces fonctionnalités réduisent la charge des audits et le travail manuel, tout en maintenant une conformité continue.
IDC MarketScape for CNAPP
Wiz was named a Leader in the IDC MarketScape: Worldwide Cloud-Native Application Protection Platforms (CNAPP) 2025 Vendor Assessment
Une approche étape par étape pour identifier les besoins de votre organisation en matière de CNAPP
Le choix de la CNAPP adaptée à votre organisation commence par une compréhension claire de votre situation actuelle. Voici comment procéder :
Étape 1 : Évaluer votre environnement cloud
Avant de choisir une CNAPP, assurez-vous de bien comprendre votre architecture cloud et toutes les workload dependencies. Posez-vous les questions suivantes :
Opérons-nous sur AWS, Azure, GCP ou un mélange de fournisseurs (multi-cloud) ?
Nos applications s’exécutent-elles sur des virtual machines, des serverless functions ou des containers ?
Notre infrastructure est-elle provisionnée à l’aide d’outils IaC ?
Nos équipes utilisent-elles des outils CI/CD pour le déploiement des applications et de l’infrastructure ?
Une évaluation rigoureuse fournit une cartographie claire de votre empreinte cloud et aide à déterminer quelles fonctionnalités de CNAPP sont les plus importantes.
Étape 2 : Évaluer les failles de sécurité existantes
Au cours de cette étape, évaluez votre stratégie de sécurité actuelle et repérez ses lacunes en matière de protection des applications cloud-native.
Examinez les domaines clés suivants :
Failles de visibilité : avez-vous besoin d’une visibilité en real-time sur les erreurs de configuration ou les API exposées ?
Risques liés à l’identité et aux accès : existe-t-il des identifiants inutilisés ou des politiques IAM faibles ou trop permissives dans votre environnement cloud ?
Solutions ponctuelles déconnectées : utilisez-vous des solutions CSPM, CWPP et CIEM qui créent des angles morts parce qu’elles sont mal connectées ?
Évaluer vos points faibles en matière de sécurité révélera les lacunes de votre système et vous aidera à identifier la CNAPP la mieux adaptée pour obtenir une couverture complète.
Étape 3 : Définir les priorités métier
Pour choisir la bonne CNAPP, alignez-la sur les besoins de sécurité et opérationnels de votre organisation. Évaluez vos priorités selon les critères suivants :
Conformité : votre objectif principal est-il de répondre aux exigences de conformité, ou vous concentrez-vous uniquement sur la prévention des attaques en real-time ?
Intégration DevSecOps : avez-vous besoin de fonctionnalités d’analyse IaC pour prévenir les vulnérabilités avant le passage en production ?
Coût : la solution évolue-t-elle à un coût raisonnable avec votre empreinte cloud ?
Les principaux facteurs de différenciation des CNAPP
À mesure que les environnements cloud gagnent en complexité, les CNAPP deviennent indispensables, tant pour la sécurité que pour la protection globale de la plateforme. En 2025, les CNAPP de référence se distinguent par des solutions natives, agentless et pensées pour les développeurs. Elles font remonter les risques réels et les retracent jusqu’à leur source, tout au long du cycle de développement.
Plateforme unifiée : les CNAPP les plus efficaces ne sont pas un assemblage d’outils rachetés. Les intégrations natives éliminent les écarts entre la sécurité de la posture, des workloads, des identités et des données. Une bonne CNAPP crée un système unifié où les équipes de sécurité bénéficient d’une visibilité fluide, d’une détection plus rapide et de workflows plus simples.
Architecture agentless-first qui analyse tout et se déploie instantanément : les CNAPP dotées d’une approche agentless-first permettent un onboarding, une installation et une visibilité instantanés, sans installation ni gestion d’agents. Les équipes de sécurité repèrent ainsi les erreurs de configuration, les API exposées, les risques liés à l’identité et les workloads vulnérables. Cette architecture prend aussi en charge l’analyse continue de l’IaC, des containers et des API en real-time, avec un impact minimal sur les performances et sans créer de goulots d’étranglement.
Corrélation code-to-cloud : les meilleures CNAPP de 2025 retracent les menaces actives et les vulnérabilités jusqu’à leur source. Qu’il s’agisse d’un modèle IaC mal configuré, d’un secret exposé dans un commit Git ou d’une tâche CI/CD non sécurisée. Les développeurs corrigent ainsi les problèmes tôt, et les équipes de sécurité identifient rapidement les causes profondes.
Priorisation contextuelle des risques : la plupart des environnements cloud génèrent beaucoup d’alertes. C’est pourquoi une bonne CNAPP ne se contente pas de lister les vulnérabilités. Elle relie les points en analysant les relations entre la sensibilité des données, les privilèges d’identité et l’exposition réseau. C’est seulement après qu’elle priorise le faible pourcentage de problèmes qui présentent un risque réel pour l’entreprise. La CNAPP que vous choisissez montre aussi les chemins d’attaque potentiels et le lateral movement. Vos équipes de sécurité peuvent ainsi mieux décider plutôt que courir après le bruit.
Workflows pensés d’abord pour les développeurs, intégrés aux IDE, PR et tâches CI : une excellente CNAPP intègre la sécurité dans tous les workflows des développeurs sans les ralentir. Elle fournit des intégrations natives avec les IDE, les SCM et les workflows CI/CD, analyse les modèles IaC en real-time, signale les failles de sécurité dans les pull requests et applique des politiques strictes dans les CI/CD pipelines.
Couverture cloud-native : choisissez une CNAPP qui offre une protection complète et approfondie sur différents types de compute, notamment les virtual machines, les containers, les serverless workloads et les clusters Kubernetes.
N’oubliez pas : il n’y a pas de protection complète sans runtime monitoring, application des politiques, découverte et protection des API, cartographie de la sensibilité des données avec le DSPM et analyse des permissions et des rôles avec le CIEM.
Détection et réponse en real-time : une excellente CNAPP détecte et réagit en real-time, en interceptant les attaques actives, les erreurs de configuration et les comportements suspects au moment où ils surviennent. Mieux encore : elle bloque automatiquement le lateral movement et scelle les chemins d’exploitation avant que les attaquants ne compromettent des données sensibles ou des workloads.
Policy as code : les méthodes de conformité manuelles ne passent pas à l’échelle, surtout dans un environnement cloud aussi dynamique. C’est pourquoi les CNAPP modernes prennent en charge la policy-as-code. Vous pouvez alors automatiser la conformité à l’aide d’outils comme Open Policy Agent (OPA) pour définir et appliquer des politiques sous forme de code dans tout votre environnement. Une bonne CNAPP fournit aussi des politiques prêtes à l’emploi pour les CIS benchmarks, HIPAA, GDPR et d’autres, ainsi qu’une détection de dérive en real-time.
Wiz Named a Leader in The Forrester Wave™
Forrester’s CNAPP evaluation rated Wiz with the highest Current Offering category score, which we believe reflects our commitment to protecting everything built and run in the cloud.
Les pièges courants à éviter lors du choix d’une CNAPP
Des CNAPP assemblées à partir d’outils disparates
La plupart des fournisseurs prétendent offrir une CNAPP complète mais, au lieu d’une plateforme unifiée, ils combinent des outils rachetés et créent des solutions cloisonnées façon Frankenstein. À cause de cette mauvaise intégration, ces solutions laissent des angles morts où les menaces se cachent. Les équipes de sécurité jonglent alors avec plusieurs tableaux de bord aux flux de données incohérents, ce qui provoque de l’alert fatigue et laisse passer des informations critiques.
Privilégiez toujours une CNAPP unifiée qui intègre CSPM, CWPP et CIEM et offre une visibilité sur l’ensemble de votre environnement cloud.
Les CNAPP sans visibilité sur le runtime
La plupart des CNAPP négligent la runtime protection et laissent les workloads exposés aux attaques en direct. Sans workload monitoring en real-time, sans réponse automatisée ni threat detection, les équipes de sécurité ne voient ni l’exploitation ni le lateral movement. Autre inconvénient : une runtime security insuffisante vous prive de mécanismes pour contenir ou bloquer un comportement malveillant une fois qu’un attaquant a pénétré vos systèmes.
Lors de votre choix, optez pour une CNAPP qui propose le workload monitoring et la threat detection en real-time ainsi que des capacités de réponse automatisée, afin de prévenir les attaques avant qu’elles ne causent de graves dommages.
Quand la sécurité ralentit les développeurs (et comment la bonne CNAPP l’évite)
Les équipes d’ingénierie modernes avancent vite. Si les outils de sécurité ne suivent pas, ils sont mis de côté ou ignorés. Ainsi, quand les outils de sécurité perturbent les workflows des développeurs, ces derniers finissent souvent par les contourner ou les désactiver.
La sécurité devient alors un audit après déploiement plutôt qu’une fonction intégrée. Résultat : greffer la sécurité à la fin du SDLC laisse des vulnérabilités critiques atteindre la production avant d’être détectées.
La solution ? Une CNAPP pensée pour les développeurs, avec une intégration native IDE/CLI pour qu’ils ne la contournent pas pendant le développement.
Sécurisez tout ce que vous créez et exécutez dans le cloud, avec Wiz
Wiz est la CNAPP conçue pour le fonctionnement réel du cloud : une plateforme unifiée dès le premier jour, agentless par conception et contextuelle par défaut.
🧠 Priorisez l’essentiel : le Security Graph de Wiz relie les erreurs de configuration, les risques d’identité, les vulnérabilités et l’exposition des données, pour que vous corrigiez de véritables chemins d’attaque plutôt que de simples résultats d’analyse.
⚡ Sécurisez à la vitesse du cloud : analysez instantanément des environnements multi-cloud sans agents, sans ralentissement notable et avec une couverture étendue de vos assets.
🛠 Donnez les moyens aux développeurs : corrigez directement depuis les pull requests, les tâches CI et les IDE.
🔒 Stoppez les menaces en real-time : bénéficiez d’une détection et d’une prévention runtime qui bouclent la boucle.
👉 Prêt à unifier votre sécurité cloud et à éliminer le bruit ? Demandez une démo pour découvrir comment Wiz vous aide à sécuriser tout ce que vous créez et exécutez dans le cloud.
Get a CNAPP Demo
Watch how Wiz connects code, cloud, and runtime into a single risk story
