Qu'est-ce que la sécurité zéro confiance et pourquoi en ai-je besoin ?

Les environnements technologiques modernes sont devenus de plus en plus complexes. Comme vous pouvez l’imaginer, cela a eu un impact considérable sur nos organisations, nos équipes informatiques et nos priorités, en particulier en matière de sécurité.

La prolifération des services cloud, des appareils de l’Internet des objets (IoT) et le passage au travail mobile et à distance ont éliminé le périmètre de sécurité traditionnel de l’entreprise. Par conséquent, les organisations ne peuvent plus s’appuyer sur le modèle “château et château fort” comme base d’une stratégie de sécurité efficace. Ce modèle repose sur l’idée que le réseau d’une organisation dispose d’un périmètre de sécurité clairement identifié pour établir une limite de confiance. Par défaut, les utilisateurs et les appareils situés à l’intérieur du périmètre de confiance étaient implicitement approuvés et autorisés à accéder à toutes les ressources de l’organisation, tandis que tout ce qui se trouvait à l’extérieur était considéré comme indigne de confiance et nécessitait une authentification pour y accéder.

La confiance zéro est une stratégie de sécurité destinée à surmonter les défis posés par l’environnement technologique moderne. Le concept principal de la confiance zéro est que les utilisateurs et les appareils ne doivent pas faire l’objet d’une confiance implicite, même s’ils sont connectés à un réseau interne privé contrôlé par l’organisation. Au lieu de cela, l’accès est basé sur le principe “ne jamais faire confiance, toujours vérifier“, où l’identité et les permissions sont continuellement revérifiées. La confiance zéro n’a pas besoin d’être tout ou rien, les organisations peuvent la déployer par étapes et phases pour répondre aux cas d’utilisation et aux objectifs individuels.

“La confiance zéro part du principe que les menaces peuvent se cacher n’importe où (même au sein de votre organisation). Par conséquent, chaque utilisateur, appareil et flux réseau est considéré comme potentiellement compromis et doit être vérifié et contrôlé avant d’en autoriser l’accès.”

– Justin Giardina, directeur de la technologie, 11:11 Systems

Le terme “Zero Trust” a été introduit en 2010 par John Kindervag, analyste chez Forrester, dans le livre blanc “No More Chewy Centers : The Zero Trust Model Of Information Security”. Pour permettre aux entreprises d’adopter plus facilement une architecture de confiance zéro, le National Institute of Standards and Technology (NIST) a publié en 2020 la Special Publication (SP) 800-207, qui fournit des orientations supplémentaires concernant les concepts de confiance zéro, les cas d’utilisation, les composants logiques et les modèles de déploiement.

Fondamentalement, la confiance zéro repose sur trois principes essentiels :

  • Supposer une violation – Les organisations devraient supposer qu’il y a une présence malveillante dans leur environnement à tout moment et mettre en œuvre des contrôles de sécurité pour en minimiser l’impact. Cela signifie que tous les accès doivent être effectués de manière sécurisée et utiliser le chiffrement de bout en bout, que la segmentation doit être utilisée pour minimiser l’accès et que toutes les activités doivent être enregistrées.
  • Privilège minimal – Les utilisateurs et les dispositifs vérifiés doivent bénéficier des autorisations minimales nécessaires à l’accomplissement de leur fonction pendant la durée la plus courte possible.
  • Vérification explicite – Authentifier et autoriser sur la base de tous les points de données disponibles, y compris l’identité de l’utilisateur ou de l’appareil, la santé de l’appareil, la sensibilité des données, la localisation et les anomalies.

Dans le SP 800-207, le NIST a défini sept principes fondamentaux pour aider les organisations à appliquer concrètement une architecture de confiance zéro :

  • Toutes les sources de données et tous les services informatiques sont considérés comme des ressources.
  • Toutes les communications sont sécurisées, quel que soit l’emplacement du réseau.
  • L’accès aux ressources individuelles de l’entreprise est accordé par session.
  • L’accès aux ressources est déterminé par une politique dynamique – comprenant l’état observable de l’identité du client, de l’application/du service et du bien demandeur – et peut inclure d’autres attributs comportementaux et environnementaux.
  • L’entreprise surveille et mesure l’intégrité et la sécurité de tous les biens qu’elle possède et de ceux qui lui sont associés.
  • L’authentification et l’autorisation de toutes les ressources sont dynamiques et strictement appliquées avant que l’accès ne soit autorisé.
  • L’entreprise recueille autant d’informations que possible sur l’état actuel des actifs, de l’infrastructure du réseau et des communications, et les utilise pour améliorer son dispositif de sécurité.

Les organisations sont aujourd’hui confrontées à un grand nombre de risques, qu’il s’agisse d’initiés involontaires ou malveillants, de gangs de ransomware et de cybercriminels motivés, ou d’États-nations. D’après notre expérience, les organisations peuvent atténuer ces risques en adoptant et en mettant en œuvre une architecture de confiance zéro.  Dans un récent billet de blog de 11:11 Systems, Justin Giardina, directeur de la technologie, a déclaré : “La confiance zéro part du principe que les menaces peuvent se cacher n’importe où (même au sein de votre propre organisation). Par conséquent, chaque utilisateur, appareil et flux réseau est considéré comme potentiellement compromis et doit être vérifié et contrôlé avant d’en autoriser l’accès.”  Bien que cela puisse sembler extrême dans le climat actuel de cyber-risque, ce n’est pas le cas.

Par exemple, en ne donnant aux utilisateurs et aux appareils que les autorisations minimales nécessaires à l’exécution de leurs tâches, votre organisation peut réduire considérablement sa surface d’attaque. En segmentant les réseaux internes et en limitant l’accès aux actifs, il est plus difficile pour les acteurs malveillants de se déplacer latéralement à travers les ressources de l’organisation. La surveillance continue offre une visibilité accrue sur l’ensemble du trafic et de l’activité, améliorant ainsi la capacité d’une organisation à détecter et à répondre plus rapidement aux activités anormales et malveillantes.

L’adoption d’une architecture de confiance zéro présente d’autres avantages : réduction de la portée et de l’impact potentiels d’une attaque réussie et soutien des initiatives de sécurité et de protection de la vie privée ainsi que de la conformité. Il est important de se rappeler que la confiance zéro est un parcours. Commencez par répondre à un cas d’utilisation identifié et développez à partir de là.

Pour plus d’informations sur la confiance zéro et sur la manière dont les systèmes 11:11 peuvent vous aider, consultez ces ressources supplémentaires :

Join the companies doing great things with 11:11 Systems

Dr. Martens
Benchmade
Lush
TreeTop
City of Bend