Le modèle dit « sans confiance » est mûr pour les défis de cybersécurité modernes
Qu’est-ce que la sécurité dite « zero trust », et pourquoi y passer ? Des analystes expliquent son importance dans le cadre des systèmes d’information modernes, et comment commencer à l’évaluer et à la mettre en œuvre.
L’environnement informatique actuel exige une approche moderne de la sécurité qui dépasse des limites des pare-feu. La sécurité « sans confiance », ou « zero trust » en anglais, un concept introduit pour la première fois en 2010, est mise en avant pour relever ce défi. Mais encore faut-il bien prendre la mesure de ce dont il s’agit – et ne s’agit pas – afin de pouvoir en faire le meilleur usage possible dans son entreprise.
Le modèle sans confiance part de l’hypothèse que tous les appareils et les utilisateurs, même ceux qui se trouvent dans le périmètre du système d’information, sont déjà compromis. Autant tordre immédiatement le cou à l’idée fausse, mais répandue : le zero trust, ce n’est pas une technologie, c’est un modèle technique qui met à profit des capacités comme l’authentification à facteurs multiples (MFA), la gestion des identités, des accès et des droits (IAM), la microsegmentation, et le périmètre à définition logicielle.
Pour résumer : « dans un environnement sans confiance, l’infrastructure permet, à un niveau très granulaire, aux conversations d’avoir lieu si elles sont censées avoir lieu, et bloquer tout le reste », explique John Burke, DSI et analyste principal chez Nemertes Research. Ainsi, « si A veut parler à B, il existe une base de données de confiance très granulaire qui dit que A peut parler à B en utilisant le HTTPS et que tout le reste échouera ».
« Dans un environnement sans confiance, l’infrastructure permet, à un niveau très granulaire, aux conversations d’avoir lieu si elles sont censées avoir lieu, et bloquer tout le reste. »
John BurkeDSI et analyste, Nemertes Research
Les avantages d’un modèle de sécurité sans confiance
Le pare-feu et l’approche traditionnelle de la sécurité basée sur le périmètre n’offrent pas une protection suffisamment robuste contre les attaques actuelles jouant sur le détournement d’identités. Face à cela, les réseaux sans confiance renforcent la protection des données de l’entreprise et la capacité à effectuer des audits de conformité, et ils réduisent les risques de brèche et les délais de leur découverte, tout en améliorant la visibilité sur le trafic réseau et le contrôle dans les environnements cloud.
Les entreprises dispersent leurs données dans de multiples applications, lieux et services en mode cloud. Face à la multiplication des canaux par lesquels les assaillants peuvent accéder aux données, le pare-feu traditionnel peut vite perdre de sa pertinence.
En outre, pour John Burke, l’approche sans confiance répond au besoin de rapidité dans le centre de calcul moderne, car elle ne nécessite pas tous les tests de maintenance et de régression qui sont effectués dans un environnement protégé par pare-feu. Qui plus est, le modèle sans confiance offre une alternative intéressante aux environnements de pare-feu de plus en plus complexes. Un complexe dont la maintenance est source d’erreurs.
Ne faire confiance à personne
Pour John Burke, la sécurité sans confiance est comparable aux efforts visant à combattre la propagation de la Covid-19 : tous les individus devraient être considérés comme des sources potentielles de transmission, quelle que soit leur apparence. « Ce n’est pas parce qu’une personne ne présente pas de symptômes qu’elle n’est pas porteuse du virus. Il se peut qu’il continue à le propager ou qu’elle soit symptomatique le lendemain ». Et pour lui, il en va de même pour la sécurité des réseaux : « ce n’est pas parce que j’ai admis un individu sur le réseau qu’il ne peut pas devenir une source de rançongiciel le lendemain ».
Pour Chase Cunningham, vice-président de Forrester et analyste principal, le concept du « sans confiance » peut être appréhendé comme suit : « ne pas accorder à des choses dans son infrastructure une confiance au-delà de ce qu’elle devrait être ». Et cela n’est pas là sans rappeler le concept de moindre privilège : « vos employés sont un vecteur possible de compromission ; il faut donc les traiter comme les éléments de l’infrastructure ».
Mettre en œuvre la sécurité sans confiance
L’adoption d’un modèle de sécurité sans confiance n’est pas un processus qui se fait du jour au lendemain. « Les jeunes entreprises dotées d’architectures avancées et de peu de systèmes patrimoniaux ont un avantage, car elles utilisent déjà les nouvelles technologies et sont au fait de celles-ci », estime Pete Lindstrom, vice-président de la recherche en sécurité au sein du programme IT Executive d’IDC.
L’infrastructure patrimoniale constitue un obstacle pour les entreprises cherchant à passer à une approche sans confiance. Communément, la stratégie consiste à lancer une révision massive de l’infrastructure de sécurité, et ce n’est pas forcément une bonne idée. « Les entreprises font souvent l’erreur d’essayer de viser trop large », estime Chase Cunningham. « Elles devraient se concentrer sur des choses granulaires qu’elles peuvent réaliser une à la fois, comme l’activation de l’authentification à facteurs multiples, le contrôle des accès à distance et la désactivation des partages de fichiers ».
Les fournisseurs du domaine
La sécurité sans confiance étant un mot à la mode, il convient de se méfier lors de l’évaluation de fournisseurs potentiels, car beaucoup aiment présenter leurs produits comme des produits zero trust alors qu’ils ne le sont pas vraiment.
« Règle n° 1 : les entreprises doivent s’assurer que le fournisseur applique l’approche sans confiance [à son propre SI] afin d’acheter quelque chose à quelqu’un qui comprend ce que cela implique », conseille ainsi Chase Cunningham.
En outre, de nouvelles capacités émergent de l’approche sans confiance, telles que la prévention des pertes de données (DLP), l’analyse du comportement des utilisateurs (UEBA), les passerelles d’accès cloud sécurisé (CASB) et les passerelles de sécurité. Et cela parce que « tout cela vient au moins compléter le zero trust » estime Pete Lindstrom.
« La sécurité sans confiance est un voyage, pas une destination. »
Pete LindstromVP recherche en sécurité, programme IT Executive d'IDC.
La sécurité sans confiance est prête maintenant
Avec la pandémie de Covid-19 qui inaugure une culture du travail à domicile pour une durée indéterminée, l’approche zero trust dispose de l’occasion idéale pour s’imposer comme pratique de sécurité standard. Avec une bonne compréhension et une bonne approche des options commerciales, les entreprises peuvent mettre à jour leur infrastructure, afin d’y inclure cette protection plus complète, même si elles ne commencent que de manière très granulaire. Car comme le souligne Pete Lindstrom, « la sécurité sans confiance est un voyage, pas une destination ».
Pour approfondir sur Gestion de la sécurité (SIEM, SOAR, SOC)
