Quel est le concept de sécurité Zero Trust?

Zero trust est une approche de cybersécurité qui repose sur le concept de toujours vérifier et de ne jamais faire confiance à un utilisateur, un appareil, une application ou des communications de contenu. Dans cette approche, une validation est nécessaire avant d’accorder l’accès au réseau aux appareils, applications et utilisateurs, et avant d’envoyer, de partager, de recevoir ou de stocker des documents. Zero trust constitue un composant essentiel de la stratégie de gestion des risques de sécurité de toute organisation aujourd’hui.

Les actifs d’entreprise couverts par une approche architecturale de zero trust comprennent :

• Utilisateurs
• Réseaux
• Applications
• Appareils
• Infrastructures
• Données

Zero trust a remplacé l’ancienne approche de sécurité périmétrique, qui présentait des défis importants, notamment en étant sans défense face aux menaces provenant d’acteurs internes. Les lacunes des modèles de sécurité hérités ont permis aux acteurs malveillants de pénétrer le périmètre du réseau et d’accéder aux applications ou au contenu sensible. Les approches de sécurité héritées sont également sans défense face aux menaces provenant d’acteurs internes.

En réponse à ces défis, John Kindervag, qui travaillait à l’époque chez Forrester Research, a développé le modèle de sécurité Zero Trust. Très vite, il a été adopté dans tous les secteurs industriels et pour tous les aspects de la gestion des risques de cybersécurité. Cet impact s’étendait à des éléments tels que la gestion des risques liés aux tiers.

Ce qui suit fournit une vue d’ensemble de zero trust aux organisations, comprenant les principes de base, les avantages et comment vous pouvez mettre en œuvre zero trust dans votre organisation.

Qu’est-ce que le modèle de sécurité Zero Trust ?

Comme son nom l’indique, la sécurité Zero Trust est basée sur l’idée que les organisations ne devraient faire confiance à personne ni à rien, que ce soit à l’extérieur ou à l’intérieur de leurs systèmes/réseaux.

La posture de sécurité par défaut consiste à refuser l’accès au réseau et à tous les actifs. Tout le monde et tout ce qui tente d’accéder doivent être authentifiés, autorisés et vérifiés en continu.

Ce concept suppose une vigilance maximale et éternelle et nécessite une identification et une vérification rigoureuses, sans exception. Le modèle de sécurité réseau hérité faisait confiance aux personnes et aux appareils une fois à l’intérieur du réseau. Il en allait de même pour les applications et les communications de contenu sensible.

La transformation numérique, la prolifération des réseaux hybrides, le travail à distance et l’adoption de solutions cloud, combinés aux risques en constante évolution liés aux États-nations malveillants et aux acteurs de menaces malveillantes, sont quelques-unes des principales raisons pour lesquelles la sécurité Zero Trust est une stratégie de cybersécurité nécessaire.

Principes de base de la sécurité Zero Trust

Pour déployer adéquatement une architecture de sécurité Zero Trust, il faut d’abord comprendre les principes sous-jacents à la posture de sécurité et s’assurer qu’ils sont intégrés dans votre stratégie de gestion des risques de sécurité.

Surveillance et validation continues

La surveillance et la validation continues des utilisateurs, des appareils, des applications et des communications de contenu sensible sont l’un des principes les plus solides de la sécurité zero trust. Les délais de connexion et la vérification de l’identité de l’utilisateur sont au cœur de toute politique de zero trust. Cela implique également une gouvernance de la confidentialité et de la conformité entrante et sortante des communications de contenu sensible.

Accès le moins privilégié

Cela signifie simplement que les utilisateurs ont accès uniquement à ce dont ils ont besoin pour accomplir leurs tâches. Tous les utilisateurs, appareils et applications sont par défaut considérés comme non fiables et l’accès le moins privilégié est imposé. Par exemple, un utilisateur qui n’a pas besoin d’un compte administrateur pour effectuer son travail ne devrait jamais y avoir accès. Les privilèges d’accès des utilisateurs doivent être clairement définis et appliqués, ce qui inclut des politiques de contenu définies de la part des administrateurs de contenu jusqu’aux personnes pouvant simplement le visualiser.

De plus, la confiance zéro suppose qu’une violation est inévitable ou s’est déjà produite. Le principe de contrôle le moins privilégié garantit que les comptes compromis ne peuvent pas accéder à des cibles de grande valeur, que ce soit le réseau, les appareils, les applications ou le contenu.

Contrôle d’accès aux appareils

Il s’agit là d’un principe important qui aide à détecter et à prévenir les attaques. Cela nécessite une surveillance continue des appareils tentant d’accéder au réseau et de ceux déjà présents sur le réseau. Avec la confiance zéro, tout appareil constitue une menace et doit donc être autorisé, vérifié et révérifié en cas de trafic suspect.

Micro-segmentation

Il s’agit là d’un des changements importants qu’une politique de confiance zéro introduit dans une infrastructure informatique existante. La sécurité héritée se compose, dans la plupart des cas, de nombreux éléments qui ne sont pas intégrés pour la plupart et qui nécessitent des ressources et du temps considérables pour leur gestion.

La confiance zéro encourage la micro-segmentation d’un vaste réseau en réseaux plus petits fonctionnant indépendamment les uns des autres. Cela signifie que si une zone réseau est compromise, la menace est limitée à ce réseau. La plupart des plus grandes attaques de sécurité ont utilisé un mouvement de circulation latérale, où les cybercriminels gagnent accès et progressent de plus en plus profondément dans un réseau, une application ou un référentiel de stockage, à la recherche de données sensibles et de haute valeur. La micro-segmentation vise à limiter l’ampleur de telles attaques.

Authentification multifactorielle (MFA)

Ce principe fondamental doit toujours être respecté dans une approche de sécurité de confiance zéro. L’authentification multifactorielle nécessite qu’un utilisateur fournisse plus d’une référence pour accéder aux ressources du réseau, aux applications ainsi qu’au contenu.

Les méthodes MFA populaires incluent l’utilisation d’un mot de passe et d’un code envoyé sur un téléphone portable. Cela garantit que si un mot de passe est compromis, l’accès ne sera pas possible sans le code envoyé sur un téléphone portable. Une infrastructure de sécurité de confiance zéro solide intègre ces principes fondamentaux de gestion des risques intégrée dans sa conception.

Confiance zéro basée sur le contenu

Il en va de même pour les applications et le contenu sensible envoyé, partagé, reçu et stocké. Un modèle de communication de contenu sensible de confiance zéro surveille et contrôle en permanence qui accède au contenu, qui peut l’envoyer et le partager, et à qui le contenu est envoyé et partagé. L’accès le moins privilégié est imposé – administrateurs, propriétaires, gestionnaires, collaborateurs, visualiseurs, téléchargeurs, etc. Cela est particulièrement important pour la gestion des risques liés aux tiers (TPRM). De plus, une gouvernance de sécurité est appliquée tant pour les communications entrantes que sortantes, avec une surveillance de sécurité globale intégrée et intégrée utilisant des outils anti-malware, antivirus, anti-spam, de protection avancée contre les menaces, de protection contre la perte de données et de gestion des informations et événements de sécurité (SIEM).

Comment mettre en œuvre la stratégie Zero Trust

Contrairement à de nombreuses autres stratégies de gestion des risques de sécurité, le “Zero Trust” n’est pas une seule action que vous devez entreprendre. En réalité, il s’agit d’une démarche ou d’une mentalité qui doit exister au sein de votre organisation. De plus, la mise en œuvre est un processus, ce n’est pas quelque chose que votre organisation peut déployer du jour au lendemain.

L’avantage est que la mise en œuvre du “Zero Trust” ne nécessite pas une refonte complète de votre architecture de cybersécurité actuelle. De nombreuses organisations utilisent déjà un ou deux des principes fondamentaux mentionnés ci-dessus, même si elles n’ont pas de stratégie de sécurité “Zero Trust” en place. Une fois qu’une organisation a mis en place une stratégie de sécurité “Zero Trust”, il est essentiel de trouver, d’évaluer et de mettre en œuvre les bonnes technologies de soutien utilisées pour la gouvernance, la sécurité et la conformité.

Conception d’un environnement Zero Trust

Pour les organisations qui cherchent à mettre en œuvre une approche “Zero Trust”, les domaines suivants au sein du réseau et de l’infrastructure doivent être pris en compte.

Sécurité de l’identité

Cela implique un système où chaque utilisateur accédant au réseau est identifié par un ensemble d’attributs uniques. Pour renforcer encore la sécurité de l’identité, l’accès aux ressources de grande valeur doit comporter une couche supplémentaire de fonctionnalités biométriques propres à chaque utilisateur.

Sécurité de l’appareil

Tout comme tous les utilisateurs sont identifiés, authentifiés et vérifiés, il en va de même pour tous les appareils connectés au réseau. Les appareils connectés constituent l’une des voies les plus courantes par lesquelles les cybercriminels accèdent à un réseau. Ils exploitent souvent la faiblesse de la sécurité périphérique pour s’introduire et commencer à se frayer un chemin à travers le réseau. Cependant, dans un environnement “Zero Trust”, tous les appareils et utilisateurs sont enregistrés et surveillés. Un enregistrement de tous les points de terminaison, de toutes les activités et de l’état de santé est conservé.

La sécurité des appareils doit également s’étendre aux appareils de l’Internet des objets (IdO).

Les fonctionnalités antivirus et antispam doivent être intégrées aux communications de contenu sensible, en vérifiant que le contenu entrant, qu’il soit envoyé ou partagé, ne contient aucun code malveillant ni aucune demande. Ainsi, dans le cas d’une approche de réseau privé avec “Zero Trust”, la sécurité de l’appareil doit être intégrée aux outils de communication utilisés. Cet aspect de la stratégie “Zero Trust” doit faire partie de l’approche de gestion des risques liés aux tiers de toute organisation.

Sécurité des applications

Dans une infrastructure “Zero Trust”, les applications doivent être surveillées en continu pour détecter toute application non autorisée ou toute activité suspecte au sein du réseau. Même dans un environnement “Zero Trust”, les applications doivent être continuellement vérifiées afin de détecter d’éventuelles violations de sécurité.

Sécurité des données

Les données confidentielles sont au cœur de toutes les stratégies de cybersécurité. Ce sont des actifs de grande valeur que les acteurs malveillants cherchent toujours à obtenir une fois qu’ils ont pénétré dans votre réseau. Les violations de données entraînant la perte de données confidentielles ont augmenté de 33% en 2021, avec un coût moyen de 424 millions de dollars. Les États-nations et les cybercriminels cherchent à s’emparer de ces données lorsqu’elles sont en mouvement ou au repos, à l’intérieur et à l’extérieur du réseau.

Outre les menaces cybernétiques, les organisations doivent se conformer aux lois applicables en matière de protection des données et de conformité réglementaire dans les juridictions où elles opèrent. Plus précisément, les lois sur la protection des données telles que le Federal Information Security Management Act (FISMA), la Health Insurance Portability and Accountability Act (HIPAA), le Règlement général sur la protection des données (RGPD), le California Consumer Privacy Act (CCPA) et le Data Protection Act (DPA) 2018 précisent la manière dont les données confidentielles doivent être traitées.

Ordre Exécutif 14028 et “Zero Trust”

Le gouvernement fédéral des États-Unis reconnaît l’importance du “Zero Trust”. L’Ordre exécutif 14028 sert de moteur à l’adoption de cette approche, créant une obligation pour les agences fédérales et leurs sous-traitants de passer des approches de sécurité périmétrique héritées à un modèle de “Zero Trust”. Chaque utilisateur, chaque application et chaque appareil doivent être vérifiés pour se conformer aux principes du “Zero Trust”. L’ordre exécutif exige également la protection des données sensibles par le biais du chiffrement, de la catégorisation et de la séparation des données, ainsi que de la capacité à détecter et à bloquer automatiquement les accès non autorisés.

Les agences fédérales sont tenues de fixer des objectifs de sécurité de confiance zéro d’ici la fin de l’exercice fiscal 2024. Il existe cinq piliers:

1. Élaborer une stratégie de sécurité des données
2. Automatiser les réponses de sécurité
3. Auditer l’accès aux données sensibles
4. Gouverner l’accès aux journaux et à la sécurité des informations
5. Sécurité des données.

Confiance zéro et communication de contenu sensible

Historiquement, beaucoup plus d’attention a été accordée à l’accès au réseau et à la charge de travail qu’au contenu. Lorsque le contenu sort du réseau et des applications, les risques de confidentialité et de conformité augmentent considérablement. Ne pas utiliser de modèle de confiance zéro défini par le contenu peut exposer une organisation au non-respect de la réglementation, au vol de propriété intellectuelle et aux dommages à l’image de marque. Comme de nombreuses organisations ne disposent pas d’une approche de confiance zéro complète pour l’ensemble de leurs canaux de communication de contenu, elles encourent de graves risques. Le rapport 2022 sur la confidentialité et la conformité de la communication de contenu sensible de Kiteworks a révélé que moins de la moitié des organisations appliquent des principes de confiance zéro sur l’ensemble de leurs canaux de communication de contenu – e-mails, partage de fichiers, transfert de fichiers, transfert sécurisé de fichiers, formulaires web et interfaces de programmation d’applications (API).

Kiteworks permet aux organisations de déployer des réseaux de contenu privés qui unifient, suivent, contrôlent et sécurisent la communication de contenu sensible. En exploitant la plate-forme Kiteworks, les organisations peuvent définir, appliquer et gérer des politiques de sécurité à confiance zéro cohérentes pour chaque canal de communication. Les métadonnées centralisées permettent également aux organisations de réagir aux menaces en matière de confidentialité et de conformité en temps réel virtuel.

 

Contenu connexe :
Qu’est-ce que la gestion des risques de sécurité ?
Options de partage de fichiers les plus sécurisées pour les entreprises et la conformité
Guide de la gouvernance de la sécurité de l’information
L’importance de la gestion des risques en matière de cybersécurité
Qu’est-ce que le chiffrement des e-mails ?

Retour au Glossaire des Risques et de la Conformité