Un spécialiste conformité cloud veille à ce que l'utilisation des services cloud par une organisation soit alignée sur les lois, les réglementations, les engagements contractuels et les référentiels de contrôle qui lui sont applicables. Là où les rôles d'ingénierie construisent et exploitent les défenses cloud, le spécialiste conformité s'intéresse à la question de savoir si ces défenses satisfont un ensemble défini d'obligations et si cette satisfaction peut être démontrée aux auditeurs, aux clients et aux régulateurs. Le rôle traduit des exigences abstraites, comme celles que l'on trouve dans SOC 2, ISO 27001, PCI DSS, HIPAA, FedRAMP ou le RGPD, en attentes concrètes sur la manière dont les comptes, les services et les données cloud sont configurés et gouvernés.
Le travail quotidien s'articule autour de la mise en correspondance des exigences avec les contrôles, puis de la confirmation que ces contrôles fonctionnent comme prévu. Un spécialiste maintient la correspondance entre les référentiels externes et l'ensemble des contrôles internes de l'organisation, collecte et examine des preuves telles que des exports de configuration et des journaux d'accès, et suit les écarts jusqu'à leur remédiation avec les équipes qui en sont responsables. Une grande partie du rôle consiste à préparer et à accompagner les audits et les revues de sécurité clients, à rédiger des politiques et des standards, et à évaluer la posture de conformité des fournisseurs cloud et des services tiers. De plus en plus, le travail s'appuie sur la conformité as code et la surveillance continue, de sorte que l'état des contrôles est mesuré au regard de la configuration cloud en temps réel plutôt que reconstitué manuellement au moment de l'audit.
Le rôle exige une solide compréhension de la structure des grandes plateformes cloud, notamment la gestion des identités et des accès, la journalisation, le chiffrement et les frontières réseau, associée à une maîtrise des référentiels pertinents et à la capacité de lire une réglementation et de raisonner sur ce qu'elle exige en pratique. De solides compétences en rédaction, en organisation et en relation avec les parties prenantes comptent beaucoup, car un spécialiste passe un temps considérable à expliquer les exigences aux ingénieurs et à expliquer la réalité technique aux auditeurs et aux dirigeants. Le souci du détail et l'aisance face à l'ambiguïté sont tous deux importants, car les exigences sont souvent rédigées pour une époque antérieure de systèmes sur site et doivent être interprétées de façon pertinente pour le cloud.
On accède couramment à ce rôle depuis des parcours en gouvernance, risques et conformité, depuis l'audit ou le conseil, ou depuis un poste technique en cloud ou en sécurité où l'on a développé un intérêt pour l'aspect réglementaire. Des certifications comme CISA, CCSK, les certifications propres aux fournisseurs cloud et des certifications de sécurité plus générales sont des signaux fréquents, même si le jugement démontré et un historique d'audits réussis pèsent davantage avec le temps. L'évolution tend à mener vers la direction d'un programme d'audit, la spécialisation dans un régime exigeant tel que FedRAMP, ou l'accès à des fonctions plus larges de management des risques et de direction de la gouvernance de sécurité.
Le spécialiste travaille aux côtés des autres métiers de la sécurité cloud sans les dupliquer. Les ingénieurs sécurité cloud et les ingénieurs DevSecOps construisent et automatisent les contrôles sur lesquels le spécialiste s'appuie comme preuves, les analystes sécurité cloud surveillent l'environnement pour détecter les événements que les référentiels de conformité imposent aux organisations de détecter et de traiter, et les architectes sécurité cloud conçoivent les structures au sein desquelles une exploitation conforme devient réalisable. Le spécialiste conformité relie ces efforts aux obligations externes qui les justifient, et sert ainsi de passerelle entre l'organisation technique et les auditeurs, régulateurs et clients qui ont besoin d'assurance.