Le concept de « Zero Trust »

On ne peut jamais être sûr à 100 % de sa sécurité de l'information. Le développement de nouveaux types de protection des données fait franchir un cap aux technologies de l'information. L'authentification multifacteur, les utilisateurs à privilèges, la biométrie pour l'accès – tout cela est devenu courant. Dans un environnement d'entreprise, on fait par défaut confiance aux personnes situées à l'intérieur du réseau et on se méfie de celles qui sont à l'extérieur. Aujourd'hui, nous allons explorer le concept relativement nouveau de « Zero Trust » et son utilité pour le périmètre de l'entreprise, la sécurité du cloud et de la mobilité.

Qu'est-ce que le « Zero Trust » ?

Par défaut, tous les utilisateurs, appareils, clouds, systèmes et réseaux sont considérés comme compromis, qu'ils soient protégés ou non par un pare-feu. Le concept de zero trust implique un contrôle d'accès aux systèmes très strict, si bien que même les utilisateurs authentifiés passent par plusieurs étapes de vérification. Cette méthode permet de réduire considérablement la probabilité d'une attaque réussie contre le système.

En limitant l'accès de différents utilisateurs à des segments du réseau de l'entreprise, les pirates disposent de moins de possibilités d'accéder à des données protégées ou confidentielles. Bien entendu, la valeur clé du concept zero trust réside dans l'authentification multifacteur (un mécanisme de sécurité qui exige une méthode d'authentification supplémentaire en temps réel, reposant sur une catégorie de données indépendante de l'utilisateur).

Réseau d'entreprise classique vs « Zero Trust »

Comme nous l'avons déjà dit, la méthode dépassée de protection du périmètre d'une entreprise suppose que tout utilisateur situé à l'intérieur du réseau de l'entreprise est, par défaut, une « personne de confiance », et que tout utilisateur situé en dehors du réseau de l'entreprise est, par conséquent, « non fiable ». Ce modèle a existé et prospéré au cours des 20 dernières années pour justifier le fait que seules certaines personnes ont accès aux programmes et aux applications. Cependant, avec le temps, ce modèle de sécurité périmétrique s'est révélé de moins en moins efficace, notamment en raison du bond considérable réalisé par les technologies cloud, les technologies mobiles, les systèmes de protection des données, et la généralisation du télétravail des employés. Résultat, dans le nouvel environnement, la notion de « personne de confiance » à l'intérieur comme à l'extérieur du réseau de l'entreprise n'existe plus. Le nouveau modèle considère par défaut tous les utilisateurs comme « non fiables » et les oblige à franchir toutes les étapes d'obtention de l'accès, quels que soient leurs privilèges. La politique « Zero Trust » a été évoquée pour la première fois au milieu des années 2000, l'idée principale étant de « dépérimétriser » l'entreprise et de passer à une stratégie de protection des données de l'entreprise à tous les niveaux au moyen du chiffrement et de l'authentification multifacteur.

L'évolution du « Zero Trust »

En 2010, John Kindervag, analyste chez Forrester Research, a inventé le terme de politique « Zero Trust », dont l'idée principale était la méfiance envers tout utilisateur, à l'intérieur comme à l'extérieur de l'entreprise. L'entreprise doit vérifier toute personne qui tente de se connecter au réseau avant de lui accorder l'accès. La politique « Zero Trust » remet en question le modèle de protection reposant sur un pare-feu placé entre réseaux internes et externes. Une telle stratégie de sécurité s'effondre dès qu'un pirate compromet le système à l'intérieur du périmètre et cherche à voler des informations confidentielles. Ainsi, dans un système classique, les responsables de la sécurité de l'information doivent vérifier et protéger manuellement toutes les ressources, en accordant et en révoquant l'accès de chaque utilisateur individuellement.

Sécurité du cloud et de la mobilité dans le « Zero Trust »

Les trois grands principes du concept zero trust :

• les entreprises doivent fournir un accès sécurisé à leurs réseaux, quel que soit l'emplacement de l'entreprise ou de l'employé ;

• les organisations doivent contrôler l'accès des utilisateurs afin qu'ils ne puissent accéder qu'aux ressources dont ils ont besoin. De plus, les entreprises doivent empêcher les utilisateurs d'accéder à des informations potentiellement sensibles et définir clairement les rôles de chaque employé. Cela permet de garantir que les données privées restent au sein de l'entreprise en cas de départ ;

• les entreprises doivent inspecter et journaliser le trafic afin de s'assurer que les utilisateurs agissent en conformité avec la loi.

Avec le nombre croissant d'appareils connectés aux réseaux d'entreprise, de plus en plus d'organisations ont commencé à déployer des solutions logicielles spécialisées prenant en charge la politique « Zero Trust ». Tout le monde a probablement entendu parler des systèmes DLP – des logiciels spécialisés conçus pour empêcher les fuites d'informations confidentielles et surveiller l'activité des employés pendant la journée de travail. Voyons rapidement le fonctionnement d'un tel système, en prenant pour exemple Anexet Ultimate de Scinero Software Limited.

Exemple du système DLP Anexet Ultimate de Scinero Software Limited

Anexet Ultimate est un système DLP qui protège les entreprises contre les fuites de données causées par les employés, surveille leur activité informatique, identifie les menaces potentielles et, en cas d'incident, signale rapidement la violation au service de sécurité de l'information de l'organisation, voire empêche l'incident de se produire.

L'application Anexet Ultimate Agent est installée sur l'ordinateur : elle intercepte les messages et fichiers envoyés et reçus et surveille toutes les actions effectuées sur l'ordinateur. Toutes les informations interceptées sont envoyées à votre serveur Anexet et font l'objet d'une analyse intelligente. En cas de violation détectée, le système peut bloquer une action et avertir le service de sécurité de l'information de l'entreprise.

Le système DLP peut être utilisé dans des réseaux d'entreprise locaux, des réseaux à architecture complexe, des bureaux géographiquement répartis et des postes de travail mobiles. Cette solution logicielle fonctionne ainsi selon les principes d'une politique « Zero Trust » et contribue à réduire considérablement les risques de perte de données confidentielles appartenant à une organisation.

De plus, conformément au « Zero Trust », l'utilisation d'un VPN est obligatoire dans un environnement d'entreprise. Aujourd'hui, les entreprises disposent de leur propre VPN d'entreprise, qui fonctionne en complément d'autres méthodes technologiques de protection de l'information.

L'avenir du Zero Trust

Alors que la technologie progresse chaque jour et que les attaquants imaginent des moyens toujours plus sophistiqués d'attaquer les systèmes, la communauté informatique mondiale a déjà reconnu la pertinence absolue du concept « Zero Trust » et le déploie largement au sein des entreprises. Bien entendu, les grandes entreprises technologiques sont les premières à saisir le potentiel du « Zero Trust ». Globalement, les analystes prévoient que, d'ici 2025-2030, le modèle « Zero Trust » se sera largement répandu dans le monde entier.

Ceux pour qui la préservation des données confidentielles de l'entreprise est une priorité sont les premiers à adopter le « Zero Trust » et les systèmes DLP. L'ensemble de ces mesures agit conjointement pour garantir une sécurité maximale des données de l'entreprise.