Les professionnels de la sécurité sont aux prises avec l’évolution des technologies et des cybermenaces omniprésentes. Il faut ajouter à cela, les nouveaux modes de travail et la nécessité de réduire les frictions afin que les employés bénéficient d’un accès productif aux données, aux systèmes et aux applications. Le modèle Zero Trust conduit le changement en fournissant un cadre dans lequel l’activité est évaluée et autorisée pour atténuer les risques et offrir une bonne expérience aux utilisateurs. Mais les leaders de du Zero Trust doivent reconnaître que les structures organisationnelles actuelles ou classiques peuvent faire obstacle à cette transformation essentielle. Seule une coordination interfonctionnelle peut permettre la réussite d’une initiative Zero Trust.
La confiance doit passer du réseau à l’identité
La confiance reposait autrefois sur le réseau. La simple présence sur le réseau suffisait à obtenir la confiance requise pour accéder potentiellement à toutes les applications et données (et les consulter) ainsi qu’aux hôtes sur lesquels elles résidaient. Aujourd’hui, les employés sont plus souvent sur Internet que sur le réseau de l’entreprise et ils accèdent aux applications et aux données de partout. Les données d’entreprise sont de plus en plus distribuées et résident en dehors du périmètre de réseau traditionnel, par exemple dans des applications SaaS telles que Microsoft 365, Salesforce ou Workday.
Le modèle Zero Trust implique qu’aucun utilisateur ni aucune application ne fasse l’objet d’une confiance implicite. Partant du principe que tout est hostile, il n’établit la confiance que sur la base de l’identité de l’utilisateur et du contexte, la politique servant de garde-fou à chaque étape du processus. Cette approche va au-delà de la technologie. Dépassant les outils, il s’agit d’un changement d’architecture et de philosophie.
Fondamentalement, le modèle Zero Trust élimine ou réduit la confiance dans les réseaux. L’accès devient la maxime de la sécurité. Après tout, le télétravail a étendu les limites de l’entreprise, tandis que la 5G pourrait entraîner la disparition pure et simple des câbles et des réseaux dans le futur.
Il n’y a pas de propriétaire naturel unique dans le modèle Zero Trust
Lorsqu’on examine les rôles et responsabilités actuels au sein d’une organisation, un problème ressort néanmoins dans la gestion de la sécurité des accès. Il n’existe pas de propriétaire naturel unique du Zero Trust et les différents responsables fonctionnels qui en sont partie prenante n’ont pas, individuellement, les moyens d’offrir un accès Zero Trust. Le modèle Zero Trust est une approche globale de la sécurité dans la mesure où il s’assure du bon niveau de confiance d’un utilisateur, du chemin qu’il emprunte pour accéder à quelque chose, de l’endpoint à partir duquel il y accède et de l’environnement dans lequel il se rend.
Examinons les facteurs inhérents au modèle Zero Trust et la façon dont ils s’appliquent aux organisations. Le premier point à souligner est que, ironiquement, le modèle Zero Trust repose avant tout sur la confiance, mais une confiance qui peut être mise à l’épreuve pour fournir un niveau de validation beaucoup plus élevé que ce qui était possible auparavant. Dans un modèle Zero Trust, toute activité doit réussir un test de confiance à chaque étape du processus :
L’identité – Pour établir la confiance dans la personne ou l’application/le processus de l’autre côté de la connexion. Certaines responsabilités en matière d’identité relèvent des RH, mais cela tend à être une fonction informatique.
Le chemin d’accès – L’identité de confiance doit être utilisée et mise en œuvre car il n’y a plus de confiance inhérente dans les adresses IP routées. Cet aspect relève des réseaux.
Le terminal – Il s’agit d’une fonction de sécurité. L’accès à Internet réduisant la confiance dans le périmètre, cette dernière doit plutôt résider dans le terminal. La confiance dans les terminaux est néanmoins continuellement réévaluée, une approche rendue possible par la rapidité du développement des contrôles des terminaux. Par exemple, un terminal intelligent qui se connecte à une ressource depuis Londres, puis depuis New York quelques instants plus tard n’est pas digne de confiance. Cet aspect relèvera toujours de l’informatique pour les utilisateurs finaux ou d’une équipe similaire de l’organisation.
Le Cloud – Les environnements Cloud réduisent la confiance implicite à l’égard de l’emplacement des serveurs. Au contraire, la confiance dans l’environnement et la gestion des hôtes doit être évaluée en permanence et il est impératif de faire respecter les principes de confiance dans les charges de travail à distance. C’est le domaine réservé de la gestion informatique, de la gestion des serveurs et de l’exploitation des centres de données.
La charge de travail – La protection des charges de travail élimine la confiance dans le réseau local et les communications interprocessus. Un paquet entrant local à un appareil ne peut être jugé fiable du simple fait qu’il est local. La logique et les contrôles sont appliqués pour évaluer la confiance. La propriété de cette fonction revient généralement aux opérations applicatives ou aux propriétaires de services.
Le modèle Zero Trust exige une coordination entre les fonctions
Les responsables fonctionnels doivent opérer des changements afin de mettre en œuvre le modèle Zero Trust et ils n’ont pas individuellement la responsabilité de l’ensemble des outils, ce qui signifie que le changement, s’il se produit, peut être lent et difficile.
Au fil du temps, le Zero Trust peut transformer les rôles et les responsabilités au sein des organisations pour mieux refléter l’impact qu’il exerce sur toutes les fonctions. Les entreprises sont moins organisées autour de l’infrastructure et davantage autour des règles, car les règles Zero Trust couvrent de multiples fonctions.
Pour l’instant, en dépit d’une refonte fondamentale de leur structure organisationnelle, les entreprises qui mettent en place des initiatives Zero Trust doivent reconnaître que leur mise en œuvre ne se fera pas en une fois. Cela nécessitera une coopération et une coordination entre les services d’identité, les réseaux, la sécurité des endpoints, les applications et la gestion informatique. La gestion stratégique de même que la gestion du programme joueront alors un rôle essentiel dans la réussite du modèle Zero Trust.
Par Marc Lueck, RSSI EMEA chez Zscaler
