Des acronymes aux actions : démystifier la sécurité Zero Trust

Zero Trust : ce terme circule depuis ce qui semble maintenant une éternité. Il conserve pourtant une certaine aura mystique malgré sa longévité, comme une énigme encore complexifiée par la kyrielle d'acronymes qui gravitent autour de lui : SSE, SASE, SWG, ZTNA, CASB, RBI… La liste paraît interminable.

Happées par la tourmente, les entreprises sont prises au cœur d'un tourbillon de confusion, face à un océan de fournisseurs qui déclarent chacun à qui mieux mieux que leur produit Zero Trust constitue la solution définitive à tous leurs soucis en termes de sécurité. Toutefois, comme vous le diront tous les experts (et leur cousin), la mise en œuvre du Zero Trust implique bien plus que l'achat d'un produit en rayon. Il s'agit plutôt d'une philosophie. Hélas ! Les philosophies s'avèrent difficiles à déployer pour les entreprises et celles-ci finissent par avoir besoin d'une technologie ou d'une solution qui leur permette de concrétiser leurs attentes. Or, c'est justement à ce moment précis que la confusion s'installe le plus souvent.

Sécuriser l'utilisateur

Épluchons plus en détail le Zero Trust et passons de l'ésotérique au concret. Nous nous concentrerons sur l'aspect pour lequel le Zero Trust prend tout son sens : la protection de l'utilisateur. Les utilisateurs de réseaux disposaient historiquement d'un accès quasi-illimité aux ressources de l'entreprise, sauf lorsqu'ils étaient occasionnellement invités à saisir leur nom d'utilisateur et leur mot de passe. Or, cette situation pouvait devenir particulièrement problématique lorsque les identifiants ou l'appareil d'un utilisateur étaient compromis par un pirate informatique. L'approche idéale consistait donc à mettre en place un système permettant de protéger l'utilisateur et son appareil, sans toutefois créer de charge supplémentaire, susceptible de grever la productivité. Certains ont comparé le Zero Trust à du papier bulle invisible pour les utilisateurs. L'analogie est étrange, mais elle correspond parfaitement à l'objectif de cette approche : allier une sécurité renforcée à une expérience utilisateur fluide.

Ceci nous amène à évoquer le VPN, l'enfant chéri de la cybersécurité, et le sujet de nombreuses critiques. Par sa nature encombrante et difficilement gérable, le VPN s'apparente à un écho de l'ère de l'Internet à accès commuté – toutefois, sans les tonalités du modem. Vous démarrez votre client VPN, vous saisissez vos informations d'identification, vous patientez pendant la connexion, vous vous orientez dans le dédale de l'intranet de l'entreprise, puis vous vous déconnectez et vous retrouvez l'Internet classique. Le « tango du VPN » est une chorégraphie bien rodée.

L'avènement du télétravail a placé les VPN sous les feux de la rampe, et c'est alors que les lacunes du système ont commencé à devenir apparentes. Les applications pour entreprises traditionnelles ont été délaissées au profit d'alternatives SaaS, provoquant, parmi les fournisseurs de VPN, une course effrénée pour ne pas se laisser distancer. Quel a été le résultat ? Des goulets d'étranglement et des ralentissements des connexions, voire des pannes de connectivité. La sécurité des VPN repose fréquemment sur l'association d'un identifiant de connexion et d'un mot de passe, et la solution fournit aux utilisateurs distants un accès réseau identique à celui accordé aux utilisateurs sur site.

Le résultat est limpide. Les VPN sont excessivement vastes, perturbent l'expérience utilisateur, s'intègrent difficilement au cloud et constituent une solution peu convaincante au regard de l'évolutivité et de l'accès omniprésent. Si vous ajoutez à cela la menace d'une attaque DDoS ciblant la fragile infrastructure VPN, tous les ingrédients d'un désastre sont réunis.

Une nouvelle ère débute : l'ère du « travail hybride » (ou nomade). La croissance explosive du nombre d'applications dans le cloud, d'utilisateurs distants et d'appareils personnels nécessite une refonte totale du modèle de la sécurité réseau périmétrique. La « vieille garde », c'est-à-dire les solutions VPN basées sur des équipements, n'est tout simplement plus à la hauteur. C'est là que l'accès réseau Zero Trust (ZTNA, Zero Trust Network Access) entre en scène, côté cour.

La philosophie Zero Trust en action

La philosophie Zero Trust repose sur un principe simple : ne jamais faire confiance, toujours vérifier. Le ZTNA incarne cette philosophie. Il assure un accès direct, granulaire et contextuel aux ressources, sans accorder d'accès excessivement étendu au réseau. Il change la donne en réunissant une expérience utilisateur supérieure, une sécurité solide, de la visibilité et de l'évolutivité. C'est la solution idéale pour les collaborateurs en travail hybride de l'ère moderne.

La philosophie Zero Trust ne se limite toutefois pas à l'accès à distance. Bien sûr que non ! Les principes Zero Trust s'étendent au navigateur Internet, par l'entremise de la passerelle web sécurisée (SWG, Secure Web Gateway) et de l'isolement de navigateur à distance (RBI, Remote Browser Isolation). N'oublions pas non plus le courrier électronique, car plus de 90 % des attaques commencent par un e-mail de phishing. Je suis désormais convaincu que la philosophie « ne jamais faire confiance, toujours vérifier » devrait être étendue aux comptes de messagerie sous la forme d'une protection contre les e-mails de phishing.

La protection des utilisateurs finaux est primordiale, mais celle des données importantes des entreprises est également essentielle. En contribuant à prévenir les fuites de données, le CASB et le service DLP font également partie de l'univers Zero Trust. À l'époque de l'IA et des chatbots, cette problématique se révèle plus pertinente que jamais. Le processus de mise en place, d'application et de contrôle de politiques spécifiant de quelle manière et où les données peuvent transiter sur votre réseau constitue également une partie importante du Zero Trust. À l'heure où les entreprises réorganisent leurs réseaux autour d'architectures de sécurité définies par logiciel, la pertinence du modèle Zero Trust ne cesse de croître.

Alors, si le Zero Trust représente la panacée tant promise, pourquoi n'est-il pas adopté par tous ? Si nous devions développer une solution à partir de zéro aujourd'hui, le Zero Trust serait un choix sans équivoque. Nous choisirions une plateforme Zero Trust, connecterions notre service IDP de préférence et commencerions rapidement à provisionner le ZTNA et le reste de notre arsenal auprès de nos utilisateurs. Or, une transition ne s'effectue pas instantanément. Dans de nombreux cas, ce constat résulte du fait que les équipes chargées du réseau et de la sécurité ne sont pas synchronisées. Dans d'autres, ce sont les investissements considérables déjà réalisés sur l'infrastructure VPN actuelle qui freinent le changement. Il est même envisageable que l'entreprise manque de ressources pour mettre en œuvre le changement. Soyons clairs, toutefois : il s'agit là d'explications, pas de justifications.

Nous savons que les menaces qui pèsent sur la sécurité sont non seulement réelles, mais également qu'elles s'intensifient. L'utilisateur est exposé et travaille en permanence dans la crainte de déclencher une cyberattaque par inadvertance en cliquant malencontreusement sur un lien contenu dans un e-mail. Plutôt que d'incriminer l'utilisateur, c'est à nous, les responsables de la sécurité, qu'il devrait incomber de protéger nos utilisateurs. Avec son principe consistant à « ne jamais faire confiance, toujours vérifier », le modèle Zero Trust propose une stratégie efficace et adaptable, qui permet de combler les lacunes des VPN traditionnels et des solutions de sécurité basées sur le réseau. Le moyen le plus simple d'adopter le Zero Trust consiste d'ailleurs à le mettre en œuvre par l'intermédiaire d'une plateforme unique plutôt que d'assembler de manière hétéroclite des solutions dédiées provenant d'une multitude de fournisseurs. Si elle permet aux utilisateurs finaux et aux données de bénéficier d'une protection à plusieurs couches superposées, la mise en place du Zero Trust ne doit pas forcément se présenter comme une démarche complexe. Or, l'adoption du Zero Trust ne constitue pas seulement un choix stratégique à l'ère du télétravail, du SaaS et de l'IA : il s'agit d'une nécessité.

Les fondations de la confiance

L'adoption du modèle Zero Trust constitue un changement de paradigme crucial dans le panorama en perpétuelle évolution de la cybersécurité. En reconnaissant que les défenses périmétriques traditionnelles ne sont désormais plus suffisantes, les entreprises peuvent bénéficier de nombreux avantages, parmi lesquels une protection renforcée des données, une réduction des surfaces d'attaque et une résilience accrue contre les menaces sophistiquées. L'adoption du Zero Trust n'est pas seulement un choix technologique : c'est un impératif stratégique, qui permet aux entreprises de protéger leurs ressources vitales et de poser les fondations de la confiance au sein d'un monde par ailleurs incertain.

Cloudflare permet aux entreprises de déployer le Zero Trust grâce à une offre regroupant des fonctionnalités de sécurité et de réseau en tant que service (SASE) qui allient la sécurité, les performances et la fiabilité au sein d'une suite complète. La portée mondiale du réseau Cloudflare nous permet de vous proposer des connexions Internet rapides et fiables, quel que soit l'endroit depuis lequel vos collaborateurs travaillent. L'application de la sécurité Zero Trust à chaque requête d'accès permet d'authentifier l'ensemble de votre trafic, mais aussi de protéger vos collaborateurs et vos données contre les menaces. La plateforme Cloudflare Zero Trust vous permet d'empêcher les accès indésirables, d'atténuer l'incidence des pertes de données et de prendre le contrôle de toutes vos ressources depuis une interface unifiée. Vous êtes couverts, quel que soit l'endroit où vous vous situez dans votre parcours de transformation numérique.

Cet article fait partie de notre série consacrée aux nouvelles tendances et évolutions susceptibles d'affecter les décideurs en matière de technologies d'aujourd'hui.

Approfondir le sujet

Vous trouverez davantage d'informations sur la marche à suivre pour planifier votre migration d'un modèle de sécurité traditionnel basé sur le périmètre au Zero Trust dans notre rapport intitulé Guide de déploiement de l'architecture Zero Trust.

Auteur

John Engates
Ancien directeur technique sur site (Field CTO), Cloudflare

Points clés

Cet article vous permettra de comprendre les points suivants :

• Les exigences en matière de protection des utilisateurs et des données ont changé

• Le Zero Trust assure une protection complète

• Comment bâtir les fondations de la confiance et prendre le contrôle
  

Autres articles de la même série

• La transformation de la cybersécurité commence en conseil d'administration

• Connecter la cybersécurité à la valeur économique stratégique