Le modèle Zero Trust : guide complet

Ancien analyste chez Forrester, John Kindervag a développé le concept de sécurité Zero Trust en 2010. Il l’a définie comme un cadre qui considère que chaque connexion, appareil et utilisateur est une menace potentielle et doit être traité comme tel.

Contrairement à la plupart des autres stratégies de cybersécurité, elle élimine la confiance implicite et exige que tous les utilisateurs, qu’ils évoluent à l’intérieur ou à l’extérieur de l’organisation, soient authentifiés en permanence avant de pouvoir accéder au réseau. Plus simplement, le nom de la solution en annonce la couleur : Zero Trust est une politique de sécurité en vertu de laquelle personne – quel que soit son rôle ou sa responsabilité – n’est intrinsèquement considéré comme en sécurité.

De plus, le modèle Zero Trust rejette l’hypothèse d’une périphérie de réseau. Dans le paysage post-périmètre actuel, les réseaux s’étendent bien au-delà de leurs frontières traditionnelles et peuvent être locaux, dans le cloud ou les deux. De plus, avec l’essor de l’accès à distance, il est pratiquement impossible de savoir où se trouve une ressource.

Ainsi, l’approche Zero Trust est spécifiquement conçue pour relever les défis modernes de la sécurité des données, garantissant un accès sécurisé aux ressources critiques à tout moment et en tout lieu. D’une manière générale, un réseau Zero Trust permet d’accomplir ce qui suit :

• enregistrer et inspecter tout le trafic pour identifier les activités suspectes et les vecteurs de menace potentiels ;
• limiter et contrôler l’accès des utilisateurs, en n’autorisant les demandes qu’après confirmation de l’identité de leur identité ;
• vérifier et sécuriser les ressources de l’entreprise pour empêcher tout accès ou exposition non autorisés.

Pourquoi le modèle Zero Trust est-il si important ?

Les entreprises sont confrontées à un volume sans précédent de cybermenaces, tant internes qu’externes. Les cybercriminels ont considérablement intensifié leurs efforts, ciblant désormais sans relâche les données sensibles.

Fin 2021, on dénombrait ainsi plus de 900 attaques par organisation chaque semaine. Pire encore, les pirates ont attaqué les réseaux d’entreprise 50 % plus fréquemment en 2022 qu’ils ne l’avaient fait l’année précédente.

Les cybercriminels n’ont rien lâché, et cela n’a rien de surprenant. Selon les données de PwC, les deux tiers des cadres considèrent la cybercriminalité comme la première menace pesant sur leurs épaules dans l’immédiat. Près de la moitié (45 %) s’attendent à une poursuite de l’augmentation des attaques provenant de ransomwares à l’avenir.

Pour compliquer encore les choses, les entreprises ont rapidement adopté des politiques de travail à distance et hybride ces dernières années. Cela a conduit à une explosion de l’utilisation d’appareils personnels non gérés se connectant au réseau des entreprises, et a contribué ainsi à augmenter la surface d’attaque de ces dernières.

Sans possibilité de sécuriser ou de surveiller les données sensibles stockées et accessibles par ces terminaux, les entreprises sont plus exposées que jamais au risque de violation des données. Cela est particulièrement important compte tenu du prix exorbitant d’une mauvaise protection contre les menaces. Comme le rapporte IBM, le coût moyen d’une seule violation de données est de 4,5 millions de dollars. Cependant, les entreprises qui mettent en œuvre un modèle de sécurité Zero Trust économisent plus d’un million de dollars par incident.

Elles doivent également tenir compte des risques associés à la transformation numérique. En s’appuyant davantage sur des applications hors site basées sur le cloud, les entreprises doivent mettre en œuvre de nouvelles stratégies sophistiquées pour le contrôle d’accès et l’application des politiques de sécurité.

Comment se positionne le modèle Zero Trust par rapport à la cybersécurité traditionnelle ?

La stratégie traditionnellement adoptée consiste à « faire confiance, mais à vérifier ». En d’autres termes, elle suppose que tout ce qui se trouve derrière le pare-feu de l’entreprise est intrinsèquement sûr et sécurisé.

La sécurité Zero Trust, comme son nom l’indique, fait le contraire. Elle encadre les politiques d’accès selon le principe « ne jamais faire confiance, toujours vérifier ». Indépendamment de l’origine d’une demande ou de la ressource qu’elle vise à utiliser, les environnements Zero Trust procéderont entièrement à l’authentification, à l’autorisation et au chiffrage avant d’accorder l’accès au réseau, et jamais après.

Par conséquent, les ressources de l’entreprise sont inaccessibles par défaut. Vos employés ne peuvent les utiliser que dans les bonnes circonstances, déterminées par un certain nombre de facteurs contextuels. Ceux-ci peuvent inclure l’identité de l’utilisateur, son rôle au sein de l’entreprise, la sensibilité de la ressource demandée, l’appareil utilisé, etc.

Comme indiqué par le National Institute of Standards and Technology (NIST) dans sa Publication spéciale 800-207, l’approche Zero Trust repose sur plusieurs philosophies fondamentales. Trois principes Zero Trust font partie intégrante de cette politique de sécurité unique :

• Authentification continue : Il s’agit des moyens d’accorder un accès sécurisé en fonction de niveaux de risque acceptables. Conformément à l’approche Zero Trust, vous devez autoriser les utilisateurs en fonction de l’identité, de l’emplacement, de l’appareil, du service, de la charge de travail, de la classification des données, etc. Après cette analyse contextuelle, l’utilisateur peut être simplement autorisé ou invité à fournir des informations supplémentaires via une autre demande d’authentification, ou, si le risque est très élevé, être bloqué.
• Limiter les répercussions : Les entreprises doivent en permanence supposer une violation de données. Cela signifie qu’elles doivent continuellement segmenter le réseau à un niveau granulaire, en vérifiant le trafic de bout en bout et en maximisant la visibilité sur l’activité des utilisateurs. Cela leur permet de piloter la détection des menaces, de repérer les anomalies et de toujours améliorer leurs défenses.
• Accès nécessaire : L’accès des utilisateurs doit être limité selon des politiques de contrôle basées sur un accès nécessaire et opportun. En d’autres termes, les utilisateurs ne doivent être autorisés à utiliser que les ressources dont ils ont besoin pour effectuer leur travail et accomplir des tâches critiques.

Les 5 piliers du modèle de maturité Zero Trust

En 2021, la Cybersecurity & Infrastructure Security Agency (CISA) a créé une feuille de route pour la mise en œuvre de Zero Trust. Ce document est connu sous le nom de « modèle de maturité Zero Trust » et décrit comment les entreprises peuvent appliquer au mieux les principes Zero Trust suivant cinq piliers fondamentaux.

• Identité : Ce domaine se concentre sur la vérification et l’autorisation des utilisateurs et des appareils avant d’accorder l’accès au réseau. Cela peut inclure la mise en œuvre d’une solution de gestion des identités et des accès (IAM) ou de l’authentification multifacteur (MFA).
• Appareils : Tous les appareils IoT et autres connectés au réseau d’entreprise peuvent être exploités pour compromettre des données sensibles. Ce pilier implique la création d’un inventaire de toutes les connexions et la surveillance de leur intégrité pour une détection rapide des menaces.
• Réseaux : Un réseau Zero Trust sécurise tout le trafic, quel que soit l’emplacement ou la ressource, et se segmente lui-même pour limiter les mouvements latéraux.
• Applications et charges de travail : Ce pilier implique la protection des charges de travail sur site et basées sur le cloud via des politiques d’accès au niveau des applications et d’autres mécanismes.
• Données : Toutes les données au repos, en cours d’utilisation ou en mouvement sont cryptées, surveillées et sécurisées pour empêcher toute divulgation non autorisée.

Il est important de noter qu’il n’existe pas de solution Zero Trust unique. Plus précisément, les entreprises ont besoin d’une variété d’outils et de technologies à plusieurs couches. Lorsqu’elles sont utilisées en combinaison, ces fonctionnalités forment une architecture Zero Trust (ZTA, pour Zero Trust Architecture).

Globalement, certaines de ces technologies comprennent :

• Biométrie comportementale
• Authentification adaptative basée sur le risque
• Microsegmentation
• La connaissance du contexte
• SSO (Single Sign-On)
• Connexion sans mot de passe

Bien que le Zero Trust en soit encore à ses balbutiements, de nombreuses organisations se préparent à adopter spontanément ses principes. De fait, 36 % des RSSI déclarent avoir déjà commencé à mettre en œuvre le Zero Trust, et 25 % prévoient de le faire dans un proche avenir. De plus, Gartner prédit que d’ici 2026, au moins 10 % des grandes entreprises auront mis en place une architecture Zero Trust mature et mesurable.

Si l’on considère les avantages, on comprend clairement pourquoi. Une politique de sécurité solide fondée sur Zero Trust vous permet de :

• réduire les risques organisationnels en minimisant la confiance implicite et en allant au-delà de la sécurité réseau traditionnelle ;
• assurer la conformité en protégeant les données sensibles et en atténuant les vecteurs de menace ;
• protéger les déploiements multi-cloud et hybrides avec un contrôle d’accès au niveau de l’application ;
• remplacer ou compléter un VPN pour renforcer l’accès à distance et le cryptage ;
• intégrer rapidement les employés et faire évoluer votre entreprise en sachant que la surface d’attaque est bien défendue.

De manière générale, le processus de mise en œuvre peut être décomposé en quelques étapes de base :

1. Identifier la surface de protection : En d’autres termes, évaluez toutes les ressources critiques (y compris les terminaux, les utilisateurs, les applications, les serveurs et les centres de données) que les pirates pourraient cibler.
2. Cartographier les flux de trafic : Cela vous permet d’inspecter et de vérifier les transactions réseau pour vous assurer que seuls les bons utilisateurs et applications ont accès aux bonnes ressources.
3. Investir dans un portefeuille GIA : En matière de sécurité des données, l’identité de l’utilisateur est désormais en première ligne. Ainsi, les technologies de gestion de l’identité et de l’accès sont essentielles pour éviter que les identifiants ne tombent entre de mauvaises mains.
4. Surveiller, maintenir et améliorer : La surveillance continue de votre environnement rationalise non seulement la détection des risques, mais vous permet également de détecter de manière proactive les vulnérabilités et de les atténuer en temps réel.

Il convient de noter que les entreprises souhaitant se lancer dans une démarche Zero Trust doivent d’abord surmonter une série d’obstacles. Avec un large éventail de politiques, de procédures et de technologies requises, le processus relève souvent d’un effort pluriannuel.

De plus, les systèmes hérités posent un autre défi de taille, car de nombreux outils plus anciens ne peuvent pas fonctionner ou prendre en charge certains principes Zero Trust. Remplacer les contrôles de sécurité existants et moderniser la technologie peut être un processus coûteux, et les contraintes financières peuvent introduire des obstacles supplémentaires.

Compte tenu de ces facteurs, il est préférable d’adopter une approche progressive. L’adoption d’un cadre par étapes peut alléger le fardeau de l’introduction de nouveaux outils (ou éventuellement de la révision d’anciens systèmes). Consultez ce guide pour plus de détails sur la manière d’implémenter Zero Trust.

Chez Entrust, nous savons que Zero Trust représente l’avenir de la cybersécurité d’entreprise. C’est pourquoi nous avons développé un portefeuille de solutions IAM susceptibles de jeter les bases de votre architecture Zero Trust.

Collectivement, notre solution est conçue pour couvrir les bases et vous protéger à travers trois composants critiques :

• Identités résistantes à l’hameçonnage : Les informations d’identification volées et compromises sont deux des causes profondes les plus courantes des violations de données. Nous combinons MFA, sécurité sans mot de passe, politiques de contrôle adaptatives, biométrie et autres outils pour atténuer le risque d’attaques basées sur l’identité.
• Connexions sécurisées : Les données circulent constamment sur les réseaux publics et privés, via des terminaux non gérés et entre les mains d’utilisateurs qui peuvent ne pas être autorisés à y accéder. Nous sécurisons ces connexions avec des certificats numériques pour garantir que seules les bonnes personnes accèdent aux bonnes informations, ni plus, ni moins.
• Sécurisation des données : Notre portefeuille chiffre les données au repos, en cours d’utilisation et en mouvement tout en maintenant une infrastructure de clé décentralisée. Cela garantit la confidentialité et l’intégrité des données ainsi qu’un accès sécurisé tout en respectant des exigences de conformité strictes.

Plus qu’un simple fournisseur, nous sommes votre partenaire à chaque étape.