Le modèle Zero Trust : guide complet

« La confiance zéro (Zero Trust) est un ensemble de concepts et d’idées conçus pour minimiser l’incertitude dans l’application de décisions d’accès précises, avec le moins de privilèges possible par demande, dans les systèmes et services d’information face à un réseau considéré comme compromis. »

National Institute of Standards and Technology (NIST) des États-Unis

Imaginez un monde sans cybermenaces.Sans pirates informatiques, initiés malveillants, ni fuites de données, c’est-à-dire sans aucune raison de s’inquiéter. Vous pourriez même ne pas avoir d’équipe de sécurité, pour commencer.

Mais dans la réalité actuelle, les vecteurs de menace sont nombreux, votre surface d’attaque s’étend, vos données sensibles sont visées et la prochaine violation de données est imminente.

La bonne nouvelle est que l’accès sécurisé n’est pas qu’une chimère. En mettant en œuvre les principes Zero Trust, vous pouvez protéger en toute confiance les ressources de votre entreprise et atténuer les obstacles d’un environnement commercial en mutation rapide.

Poursuivez votre lecture pour découvrir l’importance de Zero Trust, ses avantages pour la sécurité de votre entreprise et ce que vous pouvez faire pour réussir la transition vers une architecture Zero Trust.

Ancien analyste chez Forrester, John Kindervag a développé le concept de sécurité Zero Trust en 2010. Il l’a définie comme un modèle de sécurité qui considère que chaque connexion, appareil et utilisateur est une menace potentielle et doit être traité comme tel.

Contrairement à la plupart des autres stratégies de cybersécurité, elle élimine la confiance implicite et exige que tous les utilisateurs, qu’ils évoluent à l’intérieur ou à l’extérieur de l’organisation, soient authentifiés en permanence avant de pouvoir accéder au réseau. Plus simplement, le nom de la solution en annonce la couleur : Zero Trust est une politique de sécurité en vertu de laquelle personne – quel que soit son rôle ou sa responsabilité – n’est intrinsèquement considéré comme en sécurité.

De plus, le modèle Zero Trust rejette l’hypothèse d’une périphérie de réseau. Dans le paysage actuel, le périmètre traditionnel s’est transformé en une série de micro-périmètres. Les réseaux, par exemple, peuvent être locaux, dans le cloud ou une combinaison des deux. De plus, avec l’essor de l’accès à distance, il est pratiquement impossible de savoir où se trouve une ressource.

Ainsi, l’approche Zero Trust est spécifiquement conçue pour relever les défis modernes de la sécurité des données, garantissant un accès sécurisé aux ressources critiques à tout moment et en tout lieu. D’une manière générale, un réseau Zero Trust permet d’accomplir ce qui suit :

• enregistrer et inspecter tout le trafic pour identifier les activités suspectes et les vecteurs de menace potentiels ;
• limiter et contrôler l’accès des utilisateurs, en n’autorisant les demandes qu’après confirmation de l’identité de leur identité ;
• vérifier et sécuriser les ressources de l’entreprise pour empêcher tout accès ou exposition non autorisés.

Les entreprises sont confrontées à un volume sans précédent de cybermenaces, tant internes qu’externes. Les cybercriminels ont considérablement intensifié leurs efforts, ciblant désormais sans relâche les données sensibles.

Fin 2023, on dénombrait ainsi en moyenne plus de 1 000 attaques par organisation chaque semaine. En 2023, une organisation sur dix dans le monde a été touchée par des tentatives d’attaques par ransomware, soit une augmentation de 33 % par rapport à l’année précédente.

Les cybercriminels n’ont rien lâché, et cela n’a rien de surprenant. Selon les données de PwC, 43 % des dirigeants placent l’atténuation des cyber-risques au deuxième rang de leurs priorités en matière d’atténuation des risques, derrière les risques numériques et technologiques.

Pour compliquer encore les choses, les entreprises ont rapidement adopté des politiques de travail à distance et hybride ces dernières années. Cela a conduit à une explosion de l’utilisation d’appareils personnels non gérés se connectant au réseau des entreprises, et a contribué ainsi à augmenter la surface d’attaque de ces dernières.

Sans possibilité de sécuriser ou de surveiller les données sensibles stockées et accessibles par ces terminaux, les entreprises sont plus exposées que jamais au risque de violation des données. Cela est particulièrement important compte tenu du prix exorbitant d’une mauvaise protection contre les menaces. Comme le rapporte IBM, le coût moyen d’une seule violation de données est de 4,5 millions de dollars. Cependant, les entreprises qui mettent en œuvre un modèle de sécurité Zero Trust économisent plus d’un million de dollars par incident.

Elles doivent également tenir compte des risques associés à la transformation numérique. Parce qu’elles s’appuient davantage sur des applications hors site basées sur le cloud, les entreprises doivent mettre en œuvre de nouvelles stratégies sophistiquées pour le contrôle d’accès et l’application des politiques de sécurité.

La stratégie traditionnellement adoptée consiste à « faire confiance, mais à vérifier ». En d’autres termes, elle suppose que tout ce qui se trouve derrière le pare-feu de l’entreprise est intrinsèquement sûr et sécurisé.

La sécurité Zero Trust, comme son nom l’indique, fait le contraire. Elle encadre les politiques d’accès selon le principe « ne jamais faire confiance, toujours vérifier ». Indépendamment de l’origine d’une demande ou de la ressource qu’elle vise à utiliser, les environnements Zero Trust procéderont entièrement à l’authentification, à l’autorisation et au chiffrage avant d’accorder l’accès au réseau, et jamais après.

Par conséquent, les ressources de l’entreprise sont inaccessibles par défaut. Vos employés ne peuvent les utiliser que dans les bonnes circonstances, déterminées par un certain nombre de facteurs contextuels. Ceux-ci peuvent inclure l’identité de l’utilisateur, son rôle au sein de l’entreprise, la sensibilité de la ressource demandée, l’appareil utilisé, etc.

Comme indiqué par le National Institute of Standards and Technology (NIST) dans sa Publication spéciale 800-207, l’approche Zero Trust repose sur plusieurs philosophies fondamentales. Trois principes Zero Trust font partie intégrante de cette politique de sécurité unique :

• Authentification continue : Il s’agit des moyens d’accorder un accès sécurisé en fonction de niveaux de risque acceptables. Conformément à l’approche Zero Trust, vous devez autoriser les utilisateurs en fonction de l’identité, de l’emplacement, de l’appareil, du service, de la charge de travail, de la classification des données, etc. Après cette analyse contextuelle, l’utilisateur peut être simplement autorisé ou invité à fournir des informations supplémentaires via une autre demande d’authentification, ou, si le risque est très élevé, être bloqué.
• Violation présumée : les entreprises doivent en permanence supposer une violation de données. Cela signifie qu’elles doivent continuellement segmenter le réseau à un niveau granulaire pour réduire ou limiter leur surface d’attaque, vérifier le trafic de bout en bout et maximiser la visibilité sur l’activité des utilisateurs/appareils. Cela leur permet de piloter la détection des menaces, de repérer les anomalies et de toujours améliorer leurs défenses.
• Accès nécessaire : L’accès doit être limité selon des politiques de contrôle basées sur un accès nécessaire et opportun. En d’autres termes, les utilisateurs et/ou les appareils ne doivent être autorisés à utiliser que les ressources dont ils ont besoin pour effectuer leur travail et accomplir des tâches critiques.

En 2021, la Cybersecurity & Infrastructure Security Agency (CISA) a créé une feuille de route afin de donner aux agences gouvernementales des indications pour la mise en œuvre de Zero Trust. Ce document est connu sous le nom de modèle de maturité Zero Trust et peut être utilisé par les organisations comme l’un des nombreux moyens de concevoir et de mettre en œuvre leur propre pratique Zero Trust dans les domaines de risque suivants :

• Identité : Ce domaine se concentre sur la vérification et l’autorisation des utilisateurs et des appareils avant d’accorder l’accès au réseau. Cela peut inclure la mise en œuvre d’une solution de gestion des identités et des accès (IAM) ou de l’authentification multifacteur (MFA).
• Appareils : Tous les appareils, des dispositifs IoT aux appareils mobiles personnels, connectés au réseau d’entreprise peuvent être exploités pour compromettre des données sensibles. Ce pilier implique la création d’un inventaire de toutes les connexions et la surveillance de leur intégrité pour une détection rapide des menaces.
• Réseaux : Un réseau Zero Trust sécurise tout le trafic, quel que soit l’emplacement ou la ressource, et se segmente lui-même pour limiter les mouvements latéraux.
• Applications et charges de travail : Ce pilier implique la protection des charges de travail sur site et basées sur le cloud via des politiques d’accès au niveau des applications et d’autres mécanismes.
• Données : Toutes les données au repos, en cours d’utilisation ou en mouvement sont cryptées, surveillées et sécurisées pour empêcher toute divulgation non autorisée.

Il est important de noter qu’il n’existe pas de solution Zero Trust unique. Zero Trust est un changement de culture et d’état d’esprit, en plus d’une technologie. En ce qui concerne la technologie, les entreprises auront besoin d’une variété d’outils, souvent superposés pour former une architecture Zero Trust (ZTA).

Globalement, certaines de ces technologies comprennent :

• Biométrie comportementale
• Authentification adaptative basée sur le risque
• Micro-segmentation
• La connaissance du contexte
• SSO (Single Sign-On)
• Connexion sans mot de passe

Si l’expression « Zero Trust » existe depuis un certain temps, les orientations concrètes quant à sa mise en œuvre sont encore relativement récentes. Cependant, de nombreuses organisations se préparent à s’emparer frontalement de ses principes. En fait, l’étude 2024 State of Zero Trust & Encryption Study a montré que 61 % des organisations interrogées par l’Institut Ponemon ont entamé leur propre parcours Zero Trust. De plus, Gartner prédit que d’ici 2026, au moins 10 % des grandes entreprises auront mis en place une architecture Zero Trust mature et mesurable.

Si l’on considère les avantages, on comprend clairement pourquoi. Une politique de sécurité solide fondée sur Zero Trust vous permet de :

• réduire les risques organisationnels en minimisant la confiance implicite et en allant au-delà de la sécurité réseau traditionnelle ;
• assurer la conformité en protégeant les données sensibles et en atténuant les vecteurs de menace ;
• Protégez les déploiements multi-cloud et hybrides avec un contrôle d’accès au niveau de l’application.
• remplacer ou compléter un VPN pour renforcer l’accès à distance et le cryptage ;
• intégrer rapidement les employés et faire évoluer votre entreprise en sachant que la surface d’attaque est bien défendue.

De manière générale, le processus de mise en œuvre peut être décomposé en quelques étapes de base :

1. Identifier la surface de protection : En d’autres termes, évaluez toutes les ressources critiques (y compris les terminaux, les utilisateurs, les applications, les serveurs et les centres de données) que les pirates pourraient cibler.
2. Cartographiez l’emplacement de vos données et leurs flux : Cela vous permet d’inspecter et de vérifier les transactions réseau pour vous assurer que seuls les bons utilisateurs et applications ont accès aux bonnes ressources.
3. Adoptez une approche fondée sur l’identité : Sans le périmètre de sécurité traditionnel, l’identité est le nouveau périmètre et se trouve désormais au premier plan de la sécurité des données. Ainsi, les technologies de gestion de l’identité et de l’accès sont essentielles pour éviter que les actifs critiques ne tombent entre de mauvaises mains.
4. Surveiller, maintenir et améliorer : La surveillance continue de votre environnement rationalise non seulement la détection des risques, mais vous permet également de détecter de manière proactive les vulnérabilités et de les atténuer en temps réel. Pour les informations d’identification telles que les clés, les certificats et les codes secrets, la gestion du cycle de vie et l’automatisation sont une nécessité.

Il convient de noter que la mise en œuvre de la confiance Zero Trust prend du temps et ne va pas sans obstacles. Avec un large éventail de politiques, de procédures et de technologies requises, le processus relève souvent d’un effort pluriannuel.

De plus, les systèmes hérités posent un autre défi de taille, car de nombreux outils plus anciens ne peuvent pas prendre en charge certains principes Zero Trust ni fonctionner avec. Remplacer les contrôles de sécurité existants et moderniser la technologie peut être un processus coûteux, et les contraintes financières peuvent introduire des obstacles supplémentaires.

Compte tenu de ces facteurs, il est préférable d’adopter une approche progressive. En prenant votre temps et en procédant à des changements progressifs, votre posture de sécurité s’améliorera et se renforcera au fil du temps.

Consultez ce guide pour plus d'informations sur la manière d’implémenter la confiance zéro.

Chez Entrust, nous savons que Zero Trust représente une bonne pratique pour la cybersécurité d’entreprise. C’est pourquoi nous avons développé un portefeuille de solutions susceptibles d’offrir des bases solides sur lesquelles fonder votre architecture Zero Trust.

Collectivement, notre solution est conçue pour couvrir les bases et vous protéger à travers trois composants critiques :

• Identités résistantes à l’hameçonnage : Les informations d’identification volées et compromises sont deux des causes profondes les plus courantes des violations de données. Nous combinons MFA, sécurité sans mot de passe, politiques de contrôle adaptatives, biométrie et autres outils pour atténuer le risque d’attaques basées sur l’identité.
• Protégez les infrastructures essentielles : Les données circulant constamment sur les réseaux publics et privés, et un nombre croissant d’utilisateurs et de machines essayant d’y accéder, ces connexions et ces entités doivent être sécurisées. Les certificats numériques représentent un élément clé d’une pratique de sécurité mature et résiliente en fournissant une identité, un chiffrement et une signature solides tout en appliquant les contrôles d’accès.
• Sécurisation des données : Notre portefeuille chiffre les données au repos, en cours d’utilisation et en mouvement tout en maintenant une infrastructure de clé décentralisée. Cela garantit la confidentialité et l’intégrité des données ainsi qu’un accès sécurisé tout en respectant des exigences de conformité strictes.

Plus qu’un simple fournisseur, nous sommes votre partenaire à chaque étape.