Cette approche de la sécurité numérique, qui n’est pas un outil, considère que les équipements et utilisateurs ne sont pas dignes de confiance, jusqu’à prouver le contraire. Elle découle du constat que les méthodes classiques de sécurisation du système d’information (SI), telles que les pare-feux, le cloisonnement (physique ou logique) ou les VPN, annuaires de confiance, rencontrent des limites et doivent être complétés par d’autres solutions. Zero Trust est un concept, formalisé par en 2010 par John Kindervag, expert en sécurité, avec la conviction que les entreprises doivent contrôler l'intérieur et l’extérieur du périmètre du SI. Ces ressources sont rendues perméables par le cloud, la transformation numérique, l’Internet des objets (IoT), les accès mobiles et un personnel de plus en plus délocalisé. Zero Trust repose sur la mise en œuvre de plusieurs projets concernant l’infrastructure numérique, le réseau, la sécurité, les applicatifs, le cloud, et autres domaines, dans le respect des législations européennes comme le RGPD et autres règlements.

L'Institut National des Normes et de la Technologie américain (NIST), un organisme de référence des normes et standards, décline le Zero Trust via un framework qui repose sur 5 piliers: identification, protection, détection, réponse, restauration, pour relever les défis et les opportunités de sa mise en œuvre.



Quelles sont les bases du Zero Trust ?

Dans un rapport de 2022, le Club informatique des grandes entreprises françaises (Cigref) formule 5 questions pour résumer l’ensemble des éléments à vérifier avant la mise en place d’une architecture Zero Trust : qui accède à quoi, pour quoi, comment, et d’où ? :
  • Qui : utilisateurs et services (plus tard des ressources) ;
  • Quoi : applications, qu’elles soient dans le cloud ou non ;
  • Pour quoi : raison de l’accès, basée sur des règles spécifiées ;
  • Comment : réseaux d’entreprise, et de plus en plus le réseau Internet ;
  • D’où : équipement et sa localisation.
 

Comment intégrer le modèle Zero Trust à un SI ?

Il est difficile d’intégrer une démarche Zero Trust à une architecture legacy, classique, néanmoins, plusieurs pistes sont envisageables.

La gouvernance de l’identité peut être améliorée avec un accès aux ressources impliquant plusieurs facteurs tels le statut, l’heure, la géolocalisation. Les ressources peuvent être segmentées avec un filtrage par groupe métiers indépendants des adresses IP des actifs numériques, en fonction de leur rôle, de leur sensibilité et de leur exposition aux menaces. L’authentification double facteur est aussi un prérequis avec des certificats générés par une infrastructure de gestion de clés ou avec des jetons FIDO. Les journaux de sécurité doivent être configurés et centralisés dans un SIEM (Security Information and Event Management)pour la gestion des événements et des informations de sécurité. Pour cela, il faut des équipes de supervision de la sécurité (SOC) formées, expérimentées et correctement dimensionnées.

Comme pour tout projet structurant, une conduite du changement est nécessaire. Les utilisateurs sont les premiers concernés par la sécurité numérique dans leur organisation de travail. Les nouveaux modes d’accès, d’authentification ou d’alerte doivent leur être communiqués de façon claire en rappelant les précautions sur l’utilisation des moyens numériques.  

Quels sont les  nouveaux risques  induits par le Zero Trust ?

Le déploiement peut entraîner des erreurs d'installation ou de configuration, accroître la vulnérabilité des systèmes d'information et induire une fausse garantie de sécurité. Ainsi, le recours à des solutions logicielles nouvelles et nombreuses, multiplie le risque de perte de contrôle à cause d’une mauvaise installation, d’erreurs de configuration ou de la présence de vulnérabilités potentiellement exploitables.

Selon l’ANSSI, l’approche globale des fournisseurs de solutions commerciales Zero Trust, est attractive sur le papier mais ne dispense aucunement d’une réflexion autonome sur l’état de l’art de toutes les déclinaisons possibles de la démarche : chiffrement des flux, jetons d’authentification, journalisations et sensibilisation des utilisateurs. Ces solutions doivent s’accompagner d’un inventaire des ressources et du contrôle des terminaux clients utilisés.  

Les 3 meilleurs articles sur le Zero Trust

Approche Zero Trust et sécurité des endpoints : naviguer en toute connaissance des menaces internes latentes

Au moment du premier confinement en mars 2020, le nombre de télétravailleurs a explosé et a atteint les 557 millions à travers le monde (soit 18% des salariés)... (suite)

Les entreprises sont de plus en plus conscientes de l’importance du modèle Zero Trust dans leurs politiques de sécurité

L’intérêt pour le contrôle des accès zéro confiance gagne du terrain dans les entreprises. Cependant, elles doivent faire face à plusieurs défis dans l’adoption d’une infrastructure zéro confiance : les problèmes de coûts, les lacunes technologiques, l’adhésion des parties prenantes, et la sensibilisation aux solutions... (suite)

Bâtir une infrastructure réseau Zero Trust en 5 points clés

Le Zéro Trust n’est pas un concept nouveau en soi. Cependant, la pandémie et la transformation de la société vers plus de numérique a mis en lumière des problématiques jusqu’ici peu étudiées en entreprise et dans le secteur public, dont hospitalier... (suite)