Qu’est-ce qu’une stratégie de sécurité Zero Trust ?

Une stratégie de sécurité Zero Trust est un modèle de sécurité informatique basé sur le contexte et régi par un axiome : « ne faites confiance à personne ». Dans un modèle ou une architecture Zero Trust, aucun utilisateur ni aucun appareil ne doit bénéficier d’un accès par défaut au réseau, au Workspace ou autres ressources de l’entreprise, et ce même s’ils sont employés par l’entreprise. Les utilisateurs autorisés doivent passer par des protocoles de sécurité avant qu’un accès ne leur soit accordé sur la base de critères tels que l’identité, l’heure d’accès et la posture de l’appareil. Une architecture Zero Trust peut inclure un contrôle d’accès, une vérification de l’identité de l’utilisateur et des Workspaces sécurisés pour éviter les attaques de malware, les fuites de données dues à une violation du VPN et d’autres attaques visant les données sensibles.

Pourquoi une stratégie de sécurité Zero Trust est-elle importante ?

Il est important de mettre en place une stratégie de sécurité Zero Trust, car les départements IT d’aujourd’hui doivent protéger une surface d’attaque plus grande tout en offrant aux utilisateurs une expérience attrayante. Alors que les collaborateurs utilisent leurs appareils personnels pour accéder à distance aux Workspaces, aux applications cloud et aux ressources de l’entreprise, la probabilité d’une perte de données est plus grande que jamais. Plus grave encore : une fuite de données coûte en moyenne 3,92 millions de dollars, avec environ 25 575 fichiers volés. Lors des deux plus grandes fuites de données de ces 20 dernières années, plus de 3,5 milliards de personnes ont vu leurs informations subtilisées.

Une architecture Zero Trust est une démarche sérieuse pour aborder ce problème. Elle part du principe que les modèles de sécurité de l’information qui exposent certaines données sensibles risquent d’exposer l’ensemble des données sensibles. Cela revient à placer toutes ses ressources dans un seul coffre-fort à la banque : une fois que l’intrus y a accès, il peut tout emporter. Afin de parer à ce risque, un accès réseau Zero Trust renforce la sécurité d’accès pour les points de terminaison et les utilisateurs. Pour une sécurité Zero Trust plus complète, les organisations peuvent fournir à leurs collaborateurs un accès sécurisé à un Digital Workspace protégé. Elles limitent ainsi les risques en fournissant aux utilisateurs un accès sécurisé à l’ensemble des applications, outils et données dont ils ont besoin, sans exposer l’entreprise à des risques inutiles.

Quelle est la différence entre une stratégie traditionnelle de sécurité des informations et une architecture Zero Trust ?

Les approches traditionnelles de la sécurité des informations consistent à concentrer les données sensibles dans des datacenters protégés par des portails de connexion et des pare-feu. On partait du principe que toute personne à l’intérieur de l’entreprise avait été vérifiée et était digne de confiance : à partir du moment où une personne disposait d’un nom d’utilisateur et d’un mot de passe, celle-ci pouvait accéder à l’ensemble du réseau de l’entreprise, sans limite. On parle parfois d’approche « château-fort et douves » : le château-fort représente l’entreprise qui héberge les données, et les douves représentent les défenses et les moyens de dissuasion autour des données.

Néanmoins, cette approche n’est pas adaptée aux menaces de cybersécurité modernes. Maintenant que les entreprises évoluent dans le cloud, une approche centralisée consistant à faire confiance après vérification est de moins en moins raisonnable. Les utilisateurs n’accèdent plus aux données sensibles depuis un point ou un appareil unique, et ces données ne résident plus dans un seul endroit. En résumé, le château-fort est plus vulnérable, car les cyberattaques peuvent provenir de partout et à tout moment. Les douves n'offrent aucune protection si les intrus peuvent sauter en parachute depuis un avion.

Une architecture Zero Trust transforme cette approche traditionnelle de la cybersécurité en transférant la responsabilité de la protection des données de l'intérieur de l'organisation vers chaque utilisateur, appareil et application tentant d'accéder au réseau. Mise en place correctement, cette approche Zero Trust est une architecture de sécurité sensible au contexte, capable de reconnaître les schémas de comportement des utilisateurs et des appareils pour accorder ou refuser l'accès de manière adaptative en fonction de facteurs tels que l’identité, l’heure et l’emplacement.

Comment démarrer la mise en place d’une architecture Zero Trust

La stratégie de sécurité Zero Trust est une approche globale plutôt qu’une solution unique et concrète. Adopter son état d’esprit (« ne jamais faire confiance, toujours vérifier ») implique de repenser toute la façon dont une organisation héberge les données sensibles et y accède. Les organisations doivent se préparer à investir un temps considérable dans la restructuration de la sécurité réseau et du contrôle d’accès à tous les niveaux. Voici quelques étapes pour commencer à mettre en place une architecture Zero Trust dans une organisation :

  1. Auditez le réseau de l’entreprise afin d’obtenir une vision claire de l’infrastructure et des points de terminaison en place. Votre équipe IT saura ainsi sur quoi axer la stratégie de sécurité réseau. 
  2. Menez une évaluation complète des menaces et imaginez les scénarios possibles en cas de fuite de données sensibles. Posez-vous les questions suivantes : Qui est le plus susceptible d’accéder à quelles données ? Une fois que le premier niveau de sécurité a été traversé, à quel point est-il facile de traverser les suivants ? 
  3. Déterminez comment faire confiance aux utilisateurs, appareils et applications en tant qu’entités distinctes mais liées les unes aux autres. Il est important de n’accorder l’accès qu’à ce dont les utilisateurs ont vraiment besoin, au cas par cas. Une authentification multifacteur constitue un bon début, mais il peut aussi être utile d’adopter des outils de contrôle d’accès contextuel afin de désactiver l’impression, le copier-coller et la capture d’écran dans certains scénarios. Vous pouvez également faire en sorte que tous les collaborateurs accèdent à leurs applications et données depuis un Workspace sécurisé afin d’assurer une sécurité plus complète de l’entreprise.
  4. Testez votre architecture Zero Trust afin d’en vérifier les performances. Imaginez que votre équipe IT tente d’accéder à des données sensibles via un appareil perdu, un réseau Wi-Fi non sécurisé, une URL malveillante ou un malware. Cela vous permettra d’identifier les faiblesses potentielles de votre sécurité réseau afin d’adapter votre approche de la cybersécurité.

FAQ sur la sécurité Zero Trust

Une architecture Zero Trust est-elle contenue dans un seul produit ?
Une stratégie de sécurité Zero Trust ne se limite pas à un seul produit ou une seule solution. Il s’agit d’une architecture ou d’un cadre que les équipes IT peuvent utiliser pour fournir un accès sécurisé à toutes les applications, depuis tout appareil, en réévaluant sans cesse la fiabilité à chaque point de contact. Un modèle de sécurité Zero Trust peut ainsi faire appel à plusieurs produits et fournisseurs pour délivrer une stratégie de sécurité d’accès à la fois granulaire, contextuelle et continue.

Dois-je remplacer l’ensemble de mon infrastructure informatique pour la rendre Zero Trust ?
Bien que la mise en place d’une stratégie Zero Trust ne soit pas simple, elle n’implique pas nécessairement de défaire et de remplacer votre infrastructure cloud ou sur site. Le fournisseur Zero Trust adéquat travaillera avec vous à la sécurisation de votre infrastructure existante, notamment les plateformes d’identification, les SIEM/SOC et les proxys Web, ou encore les solutions SD-WAN. Par exemple, votre fournisseur Zero Trust doit être capable de s’intégrer aux répertoires d’utilisateurs Microsoft Active Directory, Microsoft Azure AD et Okta, mais aussi aux stratégies de gestion contextuelle de l’identité qui accompagnent ces plateformes.

Comment trouver la technologie ou les services adéquats pour implémenter un réseau Zero Trust ?
En raison du caractère global d’un modèle de sécurité Zero Trust, les équipes IT peuvent se retrouver coincées à ajouter un nombre infini de produits ponctuels de type VPN SSL, gestion des terminaux et authentification multifacteur pour répondre aux nouveaux scénarios de sécurité. Cela risque d’augmenter la complexité et de créer une expérience fragmentée pour les utilisateurs finaux, tout en laissant des failles dans la cybersécurité que les pirates informatiques pourront exploiter.

Ceci étant, Forrester signale qu’il est particulièrement avantageux de faire appel à un seul fournisseur pour implémenter une architecture de sécurité Zero Trust. Cela permet notamment d’éviter les lacunes créées lors de l’intégration de diverses solutions ponctuelles. Une stratégie qui a fait ses preuves consiste à protéger les utilisateurs et leurs applications au sein d’un Workspace unifié où travailler, plutôt que d’essayer d’assurer une protection fragmentaire des données et ressources sensibles, quel que soit l’endroit d’où les utilisateurs y accèdent. Cela permet également de garantir une bonne expérience utilisateur.

Zero Trust vs VPN : pourquoi les VPN ne prennent-ils pas en charge la stratégie de sécurité Zero Trust ?

La différence la plus fondamentale entre les VPN et les cadres de sécurité Zero Trust tient au fait que les VPN traditionnels font aveuglément confiance. Avec un VPN, une fois l'accès accordé, un utilisateur distant bénéficie d’un accès total au réseau. Pour résumer les principales faiblesses des VPN, les éléments suivants se démarquent :

  1. Les VPN simplifient à l’excès l’authentification. Les solutions VPN existantes ne répondent pas aux exigences des utilisateurs modernes et complexes, qui accèdent aux applications à l’aide d’un navigateur, dans le datacenter et dans le cloud ou en SaaS.
  2. Les VPN n’évoluent pas. Les VPN se contentent d’offrir un accès distant, tandis que les cadres Zero Trust sécurisent le réseau d’entreprise, que les utilisateurs se trouvent sur place ou ailleurs, et ce en temps réel. 
  3. Les VPN ne sont pas optimisés pour l’expérience collaborateur. Les VPN font passer l’ensemble du trafic (professionnel et personnel) par l’informatique de l’entreprise, ce qui soulève des inquiétudes concernant la confidentialité des données des collaborateurs. Enfin, les VPN n’offrent pas les meilleures performances, car ils ne sont pas optimisés au niveau applicatif.

En bref, les entreprises ont besoin d'une solution délivrée sur le cloud, capable de fournir un accès au niveau de la couche applicative et et ainsi de réduire la surface d'attaque de sécurité, offrant les meilleures performances sans affecter la confidentialité des données des collaborateurs.

Ressources supplémentaires

Prochaine étape