Le modèle de sécurité Zero Trust

La sécurité Zero Trust est un modèle éprouvé pour la mise en œuvre d’une cybersécurité solide et sélective. Elle consiste à supprimer les autorisations vulnérables, les accès inutiles et excessifs au profit d’une délégation spécifique et d’un provisioning adapté avec une granularité fine.

• L’activation de l’approche Zero Trust élimine le partage des mots de passe d’administrateur et permet une authentification individuelle et dynamique pour chaque action administrative.
• Le modèle d’accès de moindres privilèges consiste à délivrer uniquement les autorisations dont un administrateur a besoin pour faire son travail, ni plus ni moins.
• Une architecture Zero Trust efficace améliore la politique de sécurité et la conformité de l’entreprise tout en réduisant simultanément l’exposition des données et des actifs sensibles aux intrusions potentielles.

1. Toutes les sources de données et les services informatiques sont considérés comme des ressources.
2. Toutes les communications sont sécurisées, quel que soit le réseau.
3. L’accès aux ressources individuelles de l’entreprise est accordé pour le temps de la session.
4. L’accès aux ressources est déterminé par une stratégie dynamique, notamment l’état observable de l’identité du client, de l’application/du service et de l’actif demandeur, et peut inclure d’autres attributs comportementaux et environnementaux.
5. L’entreprise surveille et mesure l’intégrité et le niveau de sécurité de tous les actifs possédés et associés.
6. Toutes les authentifications et autorisations des ressources sont dynamiques et strictement appliquées avant que l’accès ne soit autorisé.
7. L’entreprise recueille autant d’informations que possible sur l’état actuel des actifs, de l’infrastructure réseau et des communications et les utilise pour améliorer sa politique de sécurité.

Le succès de l’approche Zero Trust commence par la mise en place d’un dispositif suffisamment étendu pour gérer la prolifération des identités. Il faut ainsi se concentrer non seulement sur les identités des personnes, mais aussi sur celles des machines, ainsi que sur les comptes en pleine expansion à mesure que les organisations évoluent vers un paysage informatique multigénérationnel, hybride et en périphérie. Si vous tracez un cercle trop petit, vous risquez de laisser la porte ouverte aux attaquants.

Un autre prérequis important, c’est de changer votre état d’esprit : il ne s’agit plus de suivre l’approche traditionnelle qui consiste à vouloir tout protéger, en optimisant la sécurité dans les limites d’un certain périmètre. Il s’agit désormais de se rendre à l’évidence : le compromis est inévitable, et il va falloir optimiser les investissements pour tout vérifier. En utilisant la connaissance du contexte, la surveillance des sessions et l’analyse du comportement, les organisations peuvent plus rapidement et plus efficacement anticiper, détecter et prendre des mesures correctives pour contrer les menaces émergentes auxquelles l’entreprise est confrontée.

Enfin, l’approche Zero Trust peut être difficile à mettre en œuvre dans une infrastructure déjà en place, car celle-ci doit être adaptée au réseau existant. Pour les systèmes, applications et réseaux en place, les responsables informatiques doivent déterminer comment un modèle Zero Trust pourrait être superposé à l’environnement existant.

L’un des freins principaux à la promesse du Zero Trust, c’est la nature fragmentée de l’approche adoptée par la plupart des organisations pour gérer les droits d’accès aujourd’hui. En moyenne, les grandes entreprises utilisent 25 systèmes différents pour gérer les droits d’accès (source : The 3rd Annual Global Password Security Report). Cette approche cloisonnée limite la visibilité et entraîne des lacunes, des incohérences et encore plus de risques. La complexité sous-jacente de cette approche oblige également les organisations à accorder des privilèges continus.

De nombreuses organisations tournées vers l’avenir cherchant à implémenter une approche Zero Trust regardent désormais le problème sous un autre angle. En abordant le problème de manière plus globale, et en adoptant une approche unifiée de la sécurité des identités, avec l’élimination des silos et la garantie que toutes les identités sont corrélées et visibles, les organisations peuvent ajouter, supprimer et ajuster les privilèges ponctuellement, ce qui constitue l’une des pierres angulaires du modèle Zero Trust, et ce de manière plus rapide et efficace.

Le second frein, lié au premier, est l’automatisation insuffisante des workflows intégrés entre les applications. Ce phénomène est assez courant étant donné le nombre d’organisations qui adopte une approche décousue pour mettre en place un modèle Zero Trust. Même quand les entreprises combinent des solutions de pointe pour gérer les divers composants de l’approche Zero Trust (par exemple les identités et les privilèges), des frictions apparaissent parce que les produits ne sont pas intégrés. Pour simplifier les activités et atteindre des résultats optimaux, les organisations devraient se concentrer en priorité sur une orchestration automatisée.