Le Zero Trust est souvent perçu comme un énième terme à la mode, voire une expression fourre-tout pour évoquer la sécurité en ligne. Or le concept va bien au-delà de ça : il s’agit d’une véritable approche, capable d’apporter des avantages commerciaux concrets aux entreprises. Nathan Howe, Vice-président, Technologie émergente et 5G chez Zscaler, nous livre son analyse.
Nathan Howe, Vice-président, Technologie émergente et 5G chez Zscaler
Pour découvrir le large éventail d’avantages que peut offrir le Zero Trust, il est d’abord utile de comprendre son fonctionnement et de voir en quoi il diffère des architectures de sécurité traditionnelles. Ce qui, bien sûr, nécessite également une bonne compréhension des architectures traditionnelles.
Voici une comparaison qui s’appuie sur une expérience personnelle :
En 2018, je suis allé voir les Golden State Warriors jouer dans l’un des plus vieux stades des États-Unis, l’Oracle Arena. J’ai réussi à obtenir de très bonnes places, 10 à 15 rangs seulement derrière la bordure du terrain. Réalisant qu’il y avait peu ou pas de sécurité, je me suis dirigé vers le bord du terrain pour m’asseoir sur un siège vide pour regarder le match. J’y suis resté pendant une trentaine de minutes jusqu’à ce que je doive céder le siège à son vrai propriétaire revenu s’asseoir. En clair, il n’y avait rien entre moi et les meilleures places, pas même une équipe de sécurité.
A lire aussi : [Chronique] Faire confiance à l’ère du « zero trust » ou comment associer deux paradoxes
C’est une réelle interprétation d’une architecture de sécurité traditionnelle. Une fois que quelqu’un se trouve dans le périmètre du réseau, peu de choses l’empêchent de se déplacer dans tout l’écosystème. Cela pose un vrai problème aux entreprises. Si elles continuent à ajouter des points de connectivité à plusieurs endroits, le risque d’exploitation du réseau augmente, et les menaces, une fois qu’elles ont franchi le périmètre, peuvent se déplacer à leur guise.
Le concept de Zero Trust est l’antithèse directe d’une architecture traditionnelle basée sur le périmètre. En d’autres termes, il ne permet pas d’accéder à un écosystème entier de ressources en une seule fois. Au lieu de cela, il établit des contrôles solides basés sur la politique et le contexte de l’entreprise afin de n’accorder que le niveau d’accès nécessaire à l’employé pour accomplir sa tâche. Pour reprendre mon analogie de tout à l’heure, le Zero Trust permet à un utilisateur d’accéder à son siège réservé, et pas à un autre.
Examinons cela plus en détail en décomposant le Zero Trust en trois piliers d’action fondamentaux :
1. Vérifier : Qui est en train de se connecter ?
Toute personne, tout appareil ou toute charge de travail qui initie une connexion via une architecture Zero Trust doit passer par un processus de vérification spécifique. Tout d’abord, le réseau doit connaître l’identité de l’utilisateur et savoir depuis quel appareil il se connecte. Un employé peut par exemple essayer d’accéder au réseau via son ordinateur professionnel, son PC personnel ou son téléphone.
A partir de là, le contexte du dispositif déclencheur doit être compris dans les moindres détails : non seulement la nature du dispositif (PC, téléphone, etc.), mais également l’identité de l’utilisateur, son rôle et ses responsabilités. Ce type de contexte permet aux équipes Infrastructure et Sécurité d’établir des politiques et des contrôles plus efficaces. Ainsi par exemple, si un utilisateur travaille à domicile sur son appareil, ses autorisations peuvent être différentes de celles qu’il aurait obtenues s’il était au bureau ou sur un réseau Wi-Fi public.
2. Contrôler : Évaluation continue des risques
Une fois l’utilisateur et l’appareil identifiés, le Zero Trust cherche alors à comprendre où un utilisateur veut aller et contrôle son accès à la destination. Cela requiert une visibilité totale de la connexion elle-même.
Avec une visibilité totale sur la connectivité, une architecture Zero Trust peut effectuer une évaluation dynamique des risques pour chaque utilisateur et chaque appareil, plutôt qu’une évaluation statique ponctuelle des risques, comme c’est le cas avec la connectivité réseau traditionnelle. Par exemple, si un utilisateur se connecte à un site web malveillant, cette connexion peut être autorisée dans un premier temps mais, s’il venait ensuite à cliquer sur un lien contenant une charge utile infectée, la prochaine action qu’il entreprend sera reconsidérée en fonction d’un risque plus élevé. Avec le Zero Trust, ce type d’évaluation dynamique est effectué après chaque action d’un utilisateur.
Comprendre les activités passées, présentes et futures d’un utilisateur permet de créer un profil de risque auquel le réseau peut attribuer un score. Cela sert à déterminer le niveau d’accès autorisé pour chaque utilisateur. Si le score de risque d’un utilisateur dépasse un certain seuil, son accès direct au site lui sera interdit et il pourra recevoir un avertissement ou voir son accès isolé.
Au-delà du risque pour l’utilisateur, les équipes informatiques et sécurité doivent également s’assurer de protéger leurs entreprises en isolant et analysant tout contenu malveillant auquel un utilisateur peut être exposé. Enfin, les entreprises doivent réfléchir à la manière d’empêcher la perte des actifs et des données essentiels. Or la grande question à laquelle la plupart des entreprises n’ont pas de réponse immédiate est la suivante : « Que protégez-vous ? ». Une fois qu’elles le savent, elles peuvent alors créer des contrôles pour se protéger.
3. Exécuter : Déterminer une politique d’accès
Le dernier élément d’une approche de sécurité Zero Trust est l’application et le respect des politiques. La politique ne se limite pas à autoriser ou non l’accès. Cette approche est trop binaire dans le monde du travail flexible et agile d’aujourd’hui. Ce dont vous avez besoin, c’est de politiques qui sont appliquées et peuvent être modifiées en fonction du niveau de risque de l’initiateur.
Sur la base des informations recueillies au cours des étapes de vérification et de contrôle, la politique peut ensuite être appliquée de manière granulaire et conditionnelle à chaque demande d’accès. Cela signifie qu’un utilisateur peut accéder à Internet mais, s’il est exposé à une activité potentiellement malveillante, l’accès aux sites sensibles sera soumis à une politique conditionnelle, comme l’isolement, la quarantaine, etc.
Au départ, le principe de Zero Trust consiste donc à vérifier et à contextualiser les demandes de connexion et à contrôler l’accès en utilisant le principe du moindre privilège. Selon ce principe, l’accès n’est autorisé que s’il est nécessaire pour le rôle approprié, protégeant ainsi les actifs les plus importants. Dans un environnement de travail hybride, il existe un réel besoin d’une architecture qui soit dynamique et fluide et qui facilite la capacité des collaborateurs à travailler de l’endroit où ils le souhaitent et comme ils le souhaitent. Le Zero Trust constitue alors LA solution.