Qu'est-ce que le Zero Trust ?

Le zero trust est un modèle de sécurité basé sur le principe selon lequel aucun utilisateur ou appareil ne doit être considéré comme digne de confiance par défaut. Au lieu de supposer que tout ce qui se trouve à l’intérieur du réseau est sûr, le zero trust exige une vérification continue et explicite de tous les utilisateurs et appareils, quel que soit leur emplacement. Plutôt que de se concentrer sur l’endroit d’où une personne se connecte, le zero trust s’intéresse à son identité et à la question de savoir si elle doit avoir accès ou non. L’accès aux systèmes et aux données est strictement contrôlé, accordé seulement aux personnes qui en ont besoin et uniquement pendant la durée nécessaire.

Les principes fondamentaux du zero trust

Le zero trust repose sur trois principes fondamentaux :

Présumer la violation On part du principe que tout utilisateur de votre réseau (humain ou machine) peut être compromis à tout moment.
Effectuer une vérification explicite. Tous les utilisateurs et toutes les machines doivent prouver leur identité avant d’accéder au réseau de votre entreprise, y compris à l’ensemble des systèmes, applications et données.
Garantir l'accès selon le principe de moindre privilège. Une fois connectés au réseau, les utilisateurs doivent disposer du niveau d’accès minimum nécessaire à l’exécution de leurs tâches, et rien de plus.

Comment fonctionne le zero trust

Le zero trust part du principe que chaque connexion, chaque utilisateur et chaque appareil peut constituer une menace potentielle. Par conséquent, l’accès doit être vérifié en permanence à chaque étape. Voici comment cela fonctionne :

1. Aucune confiance implicite, nulle part

Dans un environnement zero-trust, aucun utilisateur ni appareil n’est considéré comme digne de confiance par défaut, qu’il se trouve à l’intérieur ou à l’extérieur du réseau de l’entreprise. Chaque demande d’accès est traitée comme si elle provenait d’un réseau ouvert et indigne de confiance. Cela signifie que l’authentification et l’autorisation sont appliquées avant et pendant l’accès à toute ressource.

2. Vérification continue

Une fois qu’un utilisateur est authentifié, cela ne signifie pas qu’il dispose d’un accès absolu. Le zero trust repose sur une vérification continue, ce qui signifie que les utilisateurs doivent prouver à plusieurs reprises leur identité et la posture de sécurité de leur appareil lorsqu’ils naviguent dans le système. Cela se fait souvent par le biais des éléments suivants :

l’authentification multifacteur (MFA) ;
le contrôle de l’état des appareils ;
l’accès contextuel (par exemple, emplacement, heure de la journée, rôle).

3. Principe du moindre privilège

Les utilisateurs et les applications se voient accorder le niveau d’accès minimum nécessaire à l’exécution de leurs tâches. Cette méthode, connue sous le nom de principe du moindre privilège, réduit la surface d’attaque et limite les dommages en cas de compromission. Le contrôle d’accès basé sur les rôles (RBAC) et les politiques basées sur les attributs appliquent ces règles de manière dynamique.

4. Microsegmentation

Plutôt que d’avoir un réseau plat et ouvert, le zero trust segmente le réseau en zones plus petites, chacune avec ses propres contrôles d’accès. Ce processus, connu sous le nom de microsegmentation, garantit que même si un segment est compromis, le cybercriminel ne peut pas se déplacer latéralement vers d’autres segments.

5. Visibilité et analyse

Le zero trust s’appuie également sur une surveillance et une journalisation complètes. Chaque demande d’accès et chaque action sont enregistrées et analysées afin de détecter les anomalies, de déceler les menaces et de garantir la conformité.

Avantages du zero trust

Le zero trust offre de nombreux avantages, c’est pourquoi il tend à s’imposer comme le modèle de sécurité de référence pour les entreprises modernes.

Une meilleure visibilité pour les équipes informatiques et de sécurité : Le zero trust offre aux administrateurs une visibilité complète sur les utilisateurs, les systèmes et les appareils dans l’ensemble de l’environnement de données. Ainsi, ils peuvent voir qui se connecte au réseau, d’où et à quoi ils accèdent.
Accès sécurisé et flexible pour les utilisateurs : Le zero trust permet aux personnes, aux applications et aux services de communiquer en toute sécurité, même sur des réseaux différents, ce qui donne aux utilisateurs plus de liberté et de flexibilité. Ils peuvent se connecter en toute sécurité depuis leur domicile ou d'autres lieux éloignés, même s'ils utilisent leurs propres appareils.
Une protection renforcée contre les attaques : Le zero trust réduit le risque de violation des données en exigeant une authentification et une vérification continues des appareils. Le RBAC et la gestion des accès privilégiés (PAM) minimisent le risque d’escalade des privilèges en cas de violation.
Conformité simplifiée et moins de problèmes d'audit : Le zero trust soutient la conformité réglementaire en appliquant des contrôles d’accès stricts et en segmentant les données sensibles. Le RBAC et la segmentation/microsegmentation du réseau soutiennent les initiatives de conformité et permettent de réduire le nombre de constatations lors des audits.

Mise en place d'un modèle zero trust

L’un des principaux défis liés à la mise en œuvre d’une stratégie de sécurité zero-trust réside dans l’absence de normes universelles. De nombreuses entreprises se tournent vers le processus en sept étapes défini dans la publication spéciale 800-207 du NIST :

1. Identification des utilisateurs

Cela englobe à la fois les utilisateurs humains et les identités non humaines, telles que les comptes de service. Le NIST note que les utilisateurs privilégiés, notamment les administrateurs et les développeurs informatiques, doivent faire l’objet d’une attention particulière, car ils peuvent avoir un accès non restreint aux ressources numériques. Dans un cadre zero-trust, même les comptes privilégiés doivent être soumis au principe du moindre privilège, et l’activité du compte doit être surveillée et enregistrée.

2. Identifier et gérer tous les actifs connectés au réseau

L’identification et la gestion de tous les actifs qui se connectent au réseau de l’entreprise sont la clé d’un déploiement réussi du modèle zero-trust. Cela comprend :

Les ordinateurs portables, appareils mobiles, dispositifs IoT et autres composants matériels.
Les artefacts numériques, tels que les applications et les certificats numériques.
Les appareils qui n’appartiennent pas à l’entreprise, mais qui peuvent se connecter à son infrastructure de réseau ou accéder à ses ressources.

Le NIST admet qu'il n'est pas toujours possible de dresser un inventaire complet des actifs. Les entreprises doivent donc également s'assurer qu'elles peuvent « identifier, classer et évaluer rapidement les actifs nouvellement découverts qui se trouvent sur l'infrastructure appartenant à l'entreprise ».

Outre le catalogage des actifs, cette étape comprend la gestion et la surveillance de la configuration, car la capacité d'observer l'état actuel d'un actif fait partie du processus d'authentification zero trust.

3. Identification des processus clés, évaluation de leurs risques et identification des « candidats » au zero trust

Identifiez, classez et évaluez les risques des processus d'entreprise et des flux de données de votre entreprise, y compris leur importance par rapport à la mission de votre entreprise. Cela permettra de déterminer quels processus sont de bons candidats initiaux pour un déploiement de zero trust. Le NIST recommande de commencer par les processus qui dépendent de ressources basées sur le cloud et/ou qui sont utilisés par des collaborateurs à distance, car ce sont ceux qui génèrent les améliorations de sécurité les plus immédiates.

4. Élaboration de politiques zero trust pour les « candidats »

Il s'agit de la suite de l'étape 3. Après avoir identifié un actif ou un flux de travail à migrer vers le zero trust, identifiez toutes les ressources en amont et en aval que l'actif ou le flux de travail utilise ou affecte. Cela permet de préciser les « candidats » initiaux à la migration vers le zero trust et de s'assurer que le moindre privilège et les autres politiques qui leur sont appliquées assurent une sécurité maximale sans entraver le flux de travail.

5. Identification et sélection des outils/solutions

Il existe de nombreuses solutions compatibles avec le modèle zero-trust sur le marché, mais toutes ne sont pas adaptées à votre environnement de données et à vos besoins. Le NIST recommande de prendre en compte les éléments suivants lors du choix d’outils zero-trust :

La solution nécessite-t-elle l'installation de composants sur le poste client ? Cela pourrait limiter les processus métier.
La solution fonctionne-t-elle dans les cas où les ressources de processus métier se trouvent sur place ? Certaines solutions partent du principe que les ressources demandées se trouvent dans le cloud (trafic nord-sud) et non dans le périmètre de l'entreprise (trafic est-ouest). Cela pose un problème dans les environnements de clouds hybrides, où les anciennes applications métier qui exécutent des fonctions critiques peuvent être exécutées en local parce qu'il n'est pas possible de les migrer vers le cloud.
La solution permet-elle d'enregistrer les interactions à des fins d'analyse ? Les décisions d'accès zero trust dépendent fortement de la collecte et de l'utilisation des données relatives au flux des processus.
La solution offre-t-elle une prise en charge étendue de différentes applications, services et protocoles ? Certaines solutions peuvent prendre en charge un large éventail de protocoles (SSH, web, etc.) et de transports (IPv4 et IPv6), mais d’autres peuvent fonctionner seulement avec le web ou l’e-mail.
La solution nécessite-t-elle de modifier les flux de travail existants ? Certaines solutions peuvent nécessiter des étapes supplémentaires pour exécuter un flux de travail donné, ce qui pourrait obliger l'entreprise à apporter des modifications au flux de travail.

6. Début du déploiement initial et de la surveillance

Le NIST recommande aux entreprises de réfléchir à la mise en œuvre initiale du modèle zero trust en « mode surveillance » afin que les équipes informatiques et de sécurité puissent s'assurer que les politiques et les processus sont efficaces et réalisables. De plus, une fois que l'activité de base des utilisateurs et du réseau est établie, les équipes de sécurité seront mieux à même d'identifier les comportements anormaux par la suite.

7. Développement de votre architecture zero trust

Après le déploiement initial du zero trust, il est temps de migrer le prochain ensemble de candidats. Cette étape est continue : chaque fois que des changements surviennent dans l’environnement de données ou les flux de travail de l’entreprise, l’architecture zero-trust doit être réévaluée et ajustée en conséquence.