Sélectionner une page

Aujourd’hui, les mesures de sécurité sont dépassées dans leur réponse aux vulnérabilités depuis l'intérieur même d'un réseau de confiance. Les hackers ont des outils à leur disposition pour se faufiler à l'intérieur de ces jardins clos et compromettre le réseau.

Quelle meilleure approche existe-t-il pour sécuriser nos informations ? Un nouveau concept appelé réseau Zero Trust (confiance zéro) permet de combler cet écart. Il s’agit d’une approche ultra-sécurisée, mais encore, direz-vous ? Découvrez avec nous de quoi il s’agit exactement.

Qu'est-ce qu’un réseau Zero Trust?

Un réseau Zero Trust est un ensemble de principes directeurs qui permet de passer d’un périmètre global du réseau à une protection plus ciblée des ressources individuelles ou de petits groupes. Dans un réseau Zero Trust, il n'y a aucune confiance automatique envers un système ou un utilisateur en fonction de son emplacement physique ou dans le réseau. Le principe de base est « ne jamais faire confiance, toujours vérifier ».

Le National Institute of Standards and Technology (NIST) aux États-Unis a établi une série de normes d'architecture Zero Trust. Elles posent plusieurs principes qui aideront les entreprises et les firmes de cybersécurité à mettre en place un réseau de confiance zéro. Passons-les en revue.

Accès sécurisé hyper-convergé

L'accès sécurisé hyper-convergé (HCSA) promet d'ajouter simplicité et flexibilité à vos activités. Avec le HCSA, l'accès à votre réseau Zero Trust est géré par un seul système. Ce système unique établit cinq catégories de confiance.

réseautage zero trust - établir et maintenir multiple éléments de confiance
Réseau Zero Trust – établir et maintenir plusieurs éléments de confiance

1. Confiance dans les utilisateurs

Les modèles Zero Trust sont construits autour d'une gestion ferme des identités et des accès (IAM).

Etablir l'identité d'un utilisateur avant de le laisser accéder à votre réseau est au cœur de ce modèle de confiance. Il est donc essentiel d'utiliser des mesures telles que l'authentification multifacteurs (MFA), l'authentification unique (SSO) et d'autres éléments d’IAM pour confirmer que chaque utilisateur utilise un appareil authentifié et accède aux types de ressources appropriés pour sa fonction.

Le principe du moindre privilège (PoLP) stipule que ne doivent être attribués à un utilisateur demandant l'accès à une ressource que les droits minimaux nécessaires. Ces droits ne doivent être valables que le temps nécessaire et devenir caduques à la fin de la période déterminée. PoLP et IAM fonctionnent main dans la main pour assurer la sécurité de votre réseau.

2. Confiance dans l'appareil

Étant donné que le phénomène Bring Your Own Device (BYOD) est devenu partie intégrante des entreprises en général, une entreprise ne peut partir du principe que les appareils non gérés sont « mauvais » ou non fiables. Au contraire, elles doivent pouvoir évaluer le contexte et le comportement de l'appareil même. Cette évaluation du comportement de l'appareil d'un utilisateur à un moment donné est un élément central d’un réseau Zero Trust. Il peut s’agir de mesures de vérification de conformité comme le niveau de correctifs du système d'exploitation ou la validation que l’antivirus de l'appareil est approuvé.

réseautage zero trust - savoir quel appareils de quels utilisateurs accèdent vos applications
Réseau Zero Trust – savoir quels appareils accèdent à vos applications

3. Confiance dans les applications et les données

Les applications et les données doivent être vérifiées tout autant que les utilisateurs. Pour les applications, il est nécessaire de vérifier à la fois l'objectif et la validité dudit objectif, tandis que les données nécessitent un cryptage et une vérification de bout en bout. Le principe PoLP fonctionne aussi bien pour les utilisateurs que pour les applications et les données, en gardant l'accès des applications aux données et aux ressources au strict minimum.

4. Confiance dans l’infrastructure et réseau Zero Trust

Dans une architecture Zero Trust, les utilisateurs et le trafic de données doivent être tous considérés comme provenant d'un réseau non sécurisé. Cela signifie que tout le trafic réseau entrant ou sortant de votre réseau doit être chiffré. L'intégrité de chaque paquet de données chiffrées doit être vérifiée lorsque les données atteignent la destination prévue.

5. Confiance dans la session

Une stratégie de réseau Zero Trust solide prend en compte l’intégralité du contexte de la session pour déterminer la confiance. L'identité de l'utilisateur, l'état de son appareil, les applications qu'il utilise et la sensibilité des données auxquelles il tente d'accéder sont tous filtrés par les politiques qui déterminent quand autoriser, bloquer ou restreindre l'accès, ou quand des stratégies d'authentification supplémentaires sont nécessaires.

De cette manière, un mauvais acteur tentant d'accéder au réseau en utilisant des informations d'identification volées mais avec un appareil inconnu ou un utilisateur connu sur un appareil conforme se verra refuser l'accès aux informations qu'il n'a pas l'autorisation de consulter.

Mise en place progressive

Même si vous êtes impatient de mettre en place un modèle Zero Trust pour la sécurité de votre entreprise, il y a des choses à garder à l'esprit avant de commencer et au fur et à mesure de la mise en place. Vous devez vous assurer qu’il s’agit de la meilleure stratégie pour votre entreprise. N'oubliez pas que Zero Trust est centré sur les données. Vous devez absolument savoir où se trouvent ces données, qui doit y accéder et ce que vous pouvez utiliser pour les sécuriser.

Si vous avez pensé et configuré correctement les cinq points ci-dessus, vous aurez alors construit un fossé d'accès bien mieux sécurisé autour de vos applications et ressources clés.

Une étude menée par Forrester recommande de diviser les données en trois catégories : publiques, internes et confidentielles – chaque catégorie ayant ses exigences en matière de confiance. Commencez petit.

Cela peut vous paraître basique, mais si vous essayez de mettre en place une sécurité Zero Trust dans toute votre infrastructure, vous serez probablement submergé par l'ampleur de tous les changements, ainsi que par le travail requis. Si vous la déployez petit à petit, le processus deviendra plus facile à mesure que vous gagnerez en expérience. Mettez en place des politiques solides pour l'authentification des utilisateurs et des appareils. La base du concept Zero Trust qu’il ne faut faire confiance à aucun utilisateur ni aucun appareil. Il faut vérifier en permanence et minutieusement qu’un utilisateur ou un appareil a le droit d'accéder à une ressource.

A l’avenir

Le besoin d'un réseau Zero Trust est d’autant plus grand que la crise de la Covid-19 a bouleversé le lieu de travail. De plus en plus de personnes travaillent à domicile et les bureaux ferment. Le moment est venu de changer notre façon de penser la cybersécurité et la façon dont nous l'utilisons.

Si vous avez apprécié cet article, n’hésitez pas à consulter notre site Web pour en savoir davantage sur le principe Zero Trust.