Protégez votre entreprise avec la sécurité zero trust

Le nouveau cadre de sécurité zero trust

Dans la plupart des entreprises, la sécurité est depuis toujours assurée par un modèle de type « château entouré de douves ». Par défaut, les utilisateurs et les appareils situés à l'intérieur du périmètre du réseau sont considérés fiables, contrairement à ceux situés à l'extérieur. Ce modèle était cohérent lorsque la plupart ou la totalité des équipements et des employés se trouvaient sur site, ce qui garantissait un périmètre réseau clairement défini.

Au cours des dix dernières années, l'informatique en cloud et la mobilité ont modifié de façon radicale les environnements de données des entreprises, en ébranlant le « château » et en brouillant le périmètre du réseau. Le coup de grâce du modèle « château entouré de douves » a été asséné par la pandémie de COVID-19, qui a contraint les entreprises à faire évoluer rapidement leurs capacités de réseau et de sécurité pour s'adapter à la généralisation du télétravail.

Le « périmètre du réseau » n'est plus seulement flou, il n'existe plus. Le château est en ruines, les douves se sont taries et les entreprises ont commencé à évoluer vers un accès réseau moderne de type zero-trust.

Comprendre le zero-trust

Le cadre de sécurité zero trust s'articule autour de trois principes fondamentaux : présumer la violation, effectuer une vérification explicite et garantir l'accès selon le principe de moindre privilège.

Au lieu d'accorder une confiance implicite à tous les utilisateurs et appareils au sein du périmètre du réseau, le zero-trust ne fait confiance personne. Le principe du zero-trust est que tous les utilisateurs et appareils peuvent potentiellement être compromis, et que toute personne ou machine doit être vérifiée avant de pouvoir accéder au réseau. Une fois connectés au réseau, les utilisateurs doivent disposer de l'accès au réseau minimal dont ils ont besoin pour effectuer leur travail, et pas plus.

Lorsqu'il est déployé correctement, le modèle zero trust donne aux administrateurs informatiques une visibilité totale sur l'ensemble des utilisateurs, des systèmes et des appareils, contribuant ainsi à garantir la conformité avec les obligations liées à leur secteur d'activité ou à la réglementation, et aide à prévenir les cyberattaques causées par la compromission des identifiants des utilisateurs.

Pourquoi les VPN et le zero trust ne font pas bon ménage ?

Face à la pandémie de COVID-19, les entreprises ont été contraintes d'adapter rapidement leurs capacités en matière de réseau et de sécurité afin de gérer des effectifs distants importants. Ce changement étant survenu soudainement et sans prévenir, de nombreuses entreprises ont simplement déployé davantage de solutions déjà en place. Souvent, cela impliquait l'utilisation de VPN pour sécuriser les connexions à distance.

Lorsque l'accès à distance était limité à des cas d'utilisation bien précis, les VPN fonctionnaient plutôt bien, mais quand les entreprises ont tenté de les adapter aux besoins de l'ensemble de leur personnel, ils ont rapidement montré leurs faiblesses.

Les VPN ne sont pas du tout évolutifs. Ils sont aussi coûteux, et souffrent des problèmes de lenteur, de fiabilité et de disponibilité, tout en nécessitant beaucoup d'administration et en étant extrêmement complexes à prendre en main pour les utilisateurs finaux. Le pire, c'est que la plupart d'entre eux ne prennent pas en charge l'accès au réseau en mode zero trust.

Mise en place d'un modèle zero trust

Il n'existe pas de normes universelles de mise en œuvre d'un modèle zero trust. Savoir par où commencer peut donc s'avérer difficile. Toutefois, les meilleures pratiques suivantes sont universelles et vous aideront à définir le parcours de zero trust de votre entreprise.

• Un engagement à long terme en faveur du zero trust - La technologie, les flux de travail et les environnements à risque évoluent constamment et deviennent de plus en plus complexes. Il en va de même pour l'architecture zero trust.
• Vérifiez que vous avez le soutien de la direction - Tous les niveaux de la direction doivent soutenir la mise en œuvre de la politique de zero trust et s'y engager fermement. Une étude de l'ARC a révélé que les entreprises qui ont réussi à mettre en œuvre le principe de zero trust ont déclaré avoir reçu le soutien de leur direction, alors que les entreprises qui n'ont pas eu ce soutien ont eu du mal à le faire.
• Commencez doucement - Commencez le déploiement zero trust en migrant d'abord les ressources professionnelles à faible risque, puis passez aux ressources plus critiques lorsque votre équipe aura acquis plus d'expérience dans le processus.
• Concentrez-vous d'abord sur l'IAM - L'ARC a constaté que la gestion des identités et des accès (IAM) était le composant zero trust le plus fréquemment mis en œuvre par les entreprises qui ont connu un grand succès, 86 % d'entre elles ayant appliqué des stratégies zero trust à leurs processus et contrôles IAM.