Pourquoi le Zero Trust est-il indispensable à un écosystème IT sécurisé ?
Aujourd'hui plus que jamais, la numérisation occupe une place importante dans les secteurs tels que la finance, la santé, la fabrication, les transports et d'autres encore. Et l'intégration d'une technologie, aussi pertinente soit-elle pour les besoins de l'activité, fait intervenir un écosystème constitué de professionnels, systèmes et processus informatiques de qualité. Les activités étant diversifiées, les besoins en informatiques se complexifient et appellent à des technologies différentes, de l'expertise et des solutions sur mesure. L'écosystème informatique doit non seulement contribuer à la réponse à ces besoins, mais il doit également se consacrer à la tâche la plus épineuse, à savoir la sécurité.
La culture du travail en hybride étant devenue prépondérante dans toutes les entreprises de la planète, le rôle de l'informatique est plus déterminant que jamais. Dans l'environnement commercial actuel, les employés qui travaillent de manière hybride, ainsi que les collaborateurs extérieurs, ont tous besoin d'accéder à des réseaux collaboratifs et à des données partagées. En conséquence, les organisations sont plus exposées aux cyberattaques, aux vols de données, aux rançongiciels et à d'autres menaces recourant à des techniques très avancées, qui mettent en péril les systèmes numériques et les fonctionnements informatiques.
Au-delà des systèmes, ces menaces envers la sécurité concernent également les employés et leur productivité. Un système informatique vulnérable peut exposer des données sensibles concernant les employés et les équipes qui travaillent en collaboration. Ce risque altère la confiance des employés dans l'organisation et augmente les difficultés de celle-ci. Cela affecte également l'expérience utilisateur, ainsi que l'entreprise dans la mesure ou les clients et les associés retirent la confiance qu'ils avaient dans leurs partenaires et fournisseurs.
Adopter une approche Zero Trust
L'architecture réseau traditionnelle était bâtie autour du concept de réseau périmétrique, un modèle qui accorde un niveau de confiance implicite à tous les utilisateurs une fois que ces derniers se situent sur le réseau. La migration vers l'hébergement cloud, le télétravail et d'autres formes de modernisation a engendré plusieurs problématiques autour de cette idée d'architecture réseau périmétrique traditionnelle. Vous pouvez relever ces défis grâce à la mise en œuvre d'une approche Zero Trust, qui permet de s'assurer que l'ensemble du trafic entrant et sortant de votre entreprise a bien fait l'objet d'un processus de vérification et d'autorisation. Le déploiement d'une architecture Zero Trust peut s'effectuer sans perturber la productivité ni la connectivité de vos collaborateurs.
Un cadre de sécurité Zero Trust permet aux équipes IT de faire face aux menaces actuelles en englobant les aspects essentiels des opérations informatiques, comme les applications, les processus réseau, les clés d'accès reposant sur l'identité, ainsi que les appareils. Il limite l'accès aux écosystèmes IT en accordant moins de privilèges aux utilisateurs (en fonction de leurs rôles et de leurs responsabilités) et en générant des alertes automatiques dès qu'une activité inhabituelle est détectée. Ces accès rigoureusement contrôlés ne sont accordés qu'à des réseaux, des applications, des utilisateurs et des appareils vérifiés et autorisés.
Pourquoi le Zero Trust ?
La vérification de l'identité est le nouveau périmètre de sécurité et établit des contrôles reposant sur les données d'identification, le contexte et l'accès de appareil aux applications, données et infrastructure internes. Parallèlement à l'accélération de la transformation numérique et de l'adoption du cloud, les organisations évoluent également vers des environnements de travail hybrides. Ainsi, les contrôles de sécurité doivent être stricts pour garantir une défense contre le panel étendu des cyberattaques et des menaces pour la sécurité.
Le Zero Trust permet aux entreprises de conserver un fonctionnement sûr et productif, même lorsque leurs collaborateurs et leurs données sont répartis au sein de plusieurs lieux et de configurations. Il n'existe pas de méthode universelle pour l'adoption de ce cadre. Toutefois, la plupart des entreprises peuvent commencer par organiser le processus d'adoption autour de trois étapes majeures :
Prévoir : l'un des points du processus de mise en place d'un cadre Zero Trust au sein d'une entreprise consiste à disposer d'abord d'une vue d'ensemble de ses aspects et de ses interconnexions. Cette opération nécessite une analyse détaillée des risques associés aux ressources de l'entreprise, aux méthodes d'accès à ces dernières et à l'usage qui en est fait. Le service juridique peut, par exemple, avoir accès à une base de données au sein de laquelle sont stockées des données confidentielles sur les clients, mais la moindre faille au niveau de ces connexions peut engendrer des menaces considérables. Le processus d'évaluation des ressources (de même que la nécessité d'accéder à ces dernières) continuera donc inévitablement de se développer au cours de la croissance de l'entreprise. De la même manière, les répercussions et les risques liés à ces éléments évolueront. Les entreprises qui souhaitent mettre en place le cadre Zero Trust devront donc commencer par les aspects qu'elles prévoient comme les plus essentiels et les plus vulnérables lorsqu'elles progresseront dans leur parcours d'adoption.
Atténuer : la première étape permet aux entreprises d'identifier toutes les vulnérabilités potentielles, les menaces éventuelles et les voies d'attaque. Dans cette phase, il est question d'établir un ordre de priorité dans les problèmes et de les surmonter un à la fois. L'entreprise aura ensuite besoin de développer des processus et des outils qui détectent automatiquement les vulnérabilités émergentes. Qui plus est, il pourrait exister des méthodes qui empêchent automatiquement les attaques ou qui en réduisent au minimum l'incidence (dans cet exemple, il s'agit de contrôler les données qui pourraient être divulguées).
Exécuter : à ce stade, l'entreprise va enrichir ses politiques et ses normes afin de couvrir toutes les facettes de son parc IT. Il est primordial d'évaluer le cadre au fur et à mesure de son développement afin de contrôler son efficacité et son ergonomie. Les entreprises doivent privilégier l'expérience utilisateur lorsqu'elles mettent en place des cadres de sécurité comme le Zero Trust, faute de quoi la conformité et la productivité risqueraient d'en pâtir.
Le cadre Zero Trust ajoute un processus de vérification des identifiants à chaque niveau afin de mieux protéger ainsi les activités sensibles et les données personnelles. À l'heure où elles s'embarquent dans leur parcours de transformation numérique et procèdent à la migration de leurs opérations vers le cloud, les entreprises de tous les secteurs peuvent mettre en place le Zero Trust afin de proposer une infrastructure réseau robuste et sécurisée. La difficulté réside toutefois dans le fait que dans de nombreuses entreprises, les responsabilités relatives à la connectivité réseau et à la sécurité incombent à des équipes différentes. Or, ces groupes s'appuient souvent sur différents fournisseurs dans leurs domaines respectifs. La mise en place du Zero Trust ne peut se faire qu'en supprimant les cloisonnements qui séparent les équipes de sécurité et les équipes de connectivité réseau, mais aussi en choisissant les outils, les produits et les fournisseurs appropriés, capables de s'aligner sur les résultats escomptés par l'entreprise. Il est désormais plus judicieux que jamais pour les entreprises de collaborer avec l'écosystème IT afin de s'assurer que l'adoption du Zero Trust soit une réussite.
Cet article fait partie de notre série consacrée aux nouvelles tendances et évolutions susceptibles d'affecter les décideurs en matière de technologies d'aujourd'hui.
Auteur
John Engates
Ancien directeur technique sur site (Field CTO), Cloudflare
Points clés
Cet article vous permettra de comprendre les points suivants :
Comment un cadre de sécurité Zero Trust donne à l'IT davantage de moyens pour répondre aux défis imposés par les menaces d'aujourd'hui
Trois étapes pour se lancer dans le processus d'adoption du Zero Trust