Zero trust se développe comme un nouveau paradigme important dans le domaine de la cybersécurité. ‘Never trust, always verify’ est le principe de base. Quelles sont les points focaux et les avantages le plus importants?

Le nombre d’entreprises victimes de la cybercriminalité augmente chaque année. Les attaques par ransomware font l’actualité chaque semaine. Les failles de sécurité dans les logiciels d’entreprises telles que SolarWind et Kaseya font que les hackers trouvent constamment victimes. Les risques augmentent encore du fait de l’augmentation tout aussi forte du travail à domicile. Cela s’explique en partie par le fait que les utilisateurs et les appareils se trouvent en dehors du réseau de l’entreprise (généralement mieux sécurisé) et que la sécurité des réseaux domestiques sans fil laisse souvent à désirer.

 

Pas de clôture, mais des contrôles partout et toujours.

De plus en plus d’organisation tirent leurs conclusions et décident d’adopter une approche structurellement différente de la sécurité de leur paysage informatique. Les appareils sont connectés au réseau de l’entreprise ou via une connexion VPN. Dans ce cas, la sécurité est principalement axée sur la couche extérieure de l’infrastructure : il s’agit d’une clôture autour du réseau de l’entreprise. Cependant, en raison du grand nombre d’applications et de données dans le nuage, et du nombre croissant de dispositifs en dehors du réseau de l’entreprise, cette clôture présente de plus en plus de faiblesses et de trous.

L’approche de zero trust met fin à la méthode traditionnelle ‘une fois entré, puis libre accès’. Les utilisateurs et les dispositifs ne peuvent plus rester sans réponse une fois qu’ils sont ‘entrés’. Au contraire, à chaque nouvelle action sur le réseau, il y a un nouveau contrôle. L’accès aux applications et aux données n’est accordé aux utilisateurs qu’après qu’ils se soient identifiés et qu’ils aient démontré qu’ils disposent des droits appropriés.

 

Les principes de zero trust

L’approche de zero trust repose sur un certain nombre de piliers :

1. Vérifiez toujours l’identité des utilisateurs et des appareils
2. Le moins de droits possible pour les données, les systèmes et le trafic entre les segments de réseau
3. Son propre réseau n’est plus une “zone de confiance”.
4. Surveillance continue des appareils, des utilisateurs et des services.

Une principe très important est également la segmentation du réseau. Une architecteur de zero trust sécurise séparément les sytèmes, les application, les microservices et les autres ressources. A cette fin, l’architecture est divisée en plusieurs segments, appelés « zones de confiance implicites ».

 

Quels sont les avantages de zero trust ?

Lorsqu’elle est correctement mise en œuvre, zero trust présente un certain nombre d’avantages majeurs pour la sécurité de votre environnement informatique. Le premier avantage crucial est évident : zero trust réduit le risque de cyberattaques, en protégeant contre les menaces les plus courantes. Elle permet également de réduire l’impact d’une attaque. La combinaison de la segmentation et de l’authentification signifie qu’avec zero trust, un pirate n’ira pas très loin après avoir forcé une opportunité d’accès initiale. Alors qu’avec l’approche traditionnelle – une fois qu’il est à l’intérieur du réseau – il aurait les mains libres.

 

Les solutions de sécurité traditionnelles ne sont pas adaptées à l’accès à distance. Par exemple, il peut être difficile de mettre en œuvre un VPN pour le cloud. Zero trust facilite l’accès sécurisé à des environnements extérieurs au réseau de l’entreprise, tels que le cloud. Enfin, cette approche de la cybersécurité réduit la surface d’attaque : en segmentant les ressources, seul un nombre limité de fonctionnalités est accessible de l’extérieur.

 

Quatre défis de zero trust

Zero trust n’est pas un outil prêt à l’emploi que vous pouvez mettre en œuvre en appuyant sur un bouton. Au contraire, il s’agit d’une approche multiforme qui nécessite différentes technologies. Les défis suivants sont à relever pour une mise en œuvre réussie :

 

1.    Segmentation du réseau : le bon équilibre

Les segments de réseau ne doivent pas être trop grands, car le contrôle est alors difficile et l’efficacité diminue. Sont-ils trop petits ? Le contrôle n’est alors plus gérable, et il y a un risque que les employés ne puissent pas faire leur travail correctement parce qu’ils n’ont pas le bon accès. Il s’agit donc de trouver le bon équilibre. Comment segmenter ? Les principaux facteurs sont l’accès requis pour un utilisateur ou un appareil, par exemple, et la sensibilité des données que vos systèmes et appareils traitent.

 

2.    La mise en œuvre n’est pas un chemin pavé

Zero trust est différente pour chaque organisation. Il s’agit d’un processus continu plutôt que d’une action ponctuelle. Cela nécessite également un changement culturel. Au lieu d’un “big bang”, où la mise en œuvre se fait d’un seul coup, il est préférable de l’adopter petit à petit. Commencez par les fruits les plus faciles à cueillir. De cette façon, vous réduirez considérablement les cyberrisques en peu de temps et vous créerez un soutien pour cette approche au sein de l’organisation.

 

3.   Le danger du “petit à petit”

Le mieux est de procéder petit à petit, mais cela comporte aussi des risques. Non seulement parce qu’il y a un risque d’erreur à chaque étape, mais aussi et surtout parce que dire adieu à une solution de sécurité obsolète peut créer des failles inattendues dans votre sécurité.

 

4.    Ne sous-estimez pas l’administration

Les modèles de zero trust sont basés sur une administration extensive des droits d’accès. Votre organisation est en constante évolution : les gens changent de poste, les lieux changent. Les droits d’accès doivent donc toujours être mis à jour afin de garantir que les personnes n’ont accès qu’aux applications et aux informations dont elles ont besoin.

 

Technologies requises pour zero trust

Pour être efficace, l’approche de zero trust nécessite un certain nombre d’applications technologiques différentes. Pensez à une solution basée sur le cloud pour vérifier l’identité d’un utilisateur ou d’un système. Le cryptage des données et l’authentification multifactorielle (basée sur les risques). Et vérifier la sécurité de base des appareils.

 

La mise en œuvre d’un “next generation firewall” constitue une bonne étape. Un tel pare-feu ne se contente pas de bloquer certains ports, mais examine également le contenu du trafic réseau (“inspection approfondie des paquets”) afin de pouvoir, entre autres, identifier et inspecter les applications et les utilisateurs. Les solutions connues qui se concentrent spécifiquement sur zero trust comprennent les outils de gestion des accès Google BeyondCorp Enterprise, Azure Active Directory, Thales Safenet Trusted Access et Duo Beyond.

 

Conclusion

Aussi grand que soit le potentiel de zero trust, aucune organisation ne peut être sûre à 100 % contre les cyberrisques. Toutefois, si vous combinez une approche de zero trust correctement mise en œuvre et maintenue avec les meilleures pratiques en matière de cybersécurité, vous serez bien mieux protégé contre toutes les cybermenaces courantes.