{"id":807,"date":"2021-07-18T18:06:51","date_gmt":"2021-07-18T16:06:51","guid":{"rendered":"https:\/\/oxortis.com\/lapproche-zero-trust-qui-ou-comment-pourquoi\/"},"modified":"2021-07-19T13:28:46","modified_gmt":"2021-07-19T11:28:46","slug":"lapproche-zero-trust-qui-ou-comment-pourquoi","status":"publish","type":"post","link":"https:\/\/oxortis.com\/fr\/lapproche-zero-trust-qui-ou-comment-pourquoi\/","title":{"rendered":"L\u2019approche Zero Trust, qui, o\u00f9, comment, pourquoi"},"content":{"rendered":"<p>Par <a href=\"https:\/\/www.agaetis.fr\/author\/13\" target=\"_blank\" rel=\"noopener\">C\u00e9lyne Courmont<\/a><\/p>\n<p>Si 2020 nous a bien enseign\u00e9 une le\u00e7on c\u2019est qu\u2019il ne faut rien prendre pour acquis et plus particuli\u00e8rement dans le domaine de la cybers\u00e9curit\u00e9.<\/p>\n<p>Vikas Pandurkar, ancien de l\u2019Insead et de l\u2019\u00e9cole des Ponts et Chauss\u00e9es, a travaill\u00e9 pour des entreprises comme Tekelec, Cisco, Level3, Avni (rachet\u00e9 par Veritas), PulseSecure (rachet\u00e9 par Ivanti)\u2026<\/p>\n<p>Il a cr\u00e9\u00e9 <a href=\"https:\/\/oxortis.com\/\">Oxortis<\/a> il y a 4 ans et a principalement travaill\u00e9 avec des entreprises en B2B SaaS am\u00e9ricains bas\u00e9s sur la c\u00f4te ouest.<\/p>\n<p>Ancien membre de l\u2019\u00e9quipe de l\u2019ing\u00e9nierie de Pulse Secure (leader mondial dans les VPN\u2019s) pour concevoir, d\u00e9velopper et mettre en \u0153uvre la nouvelle plateforme bas\u00e9e sur l\u2019approche zero trust, l\u2019entreprise est d\u00e9sormais partenaire privil\u00e9gi\u00e9 de cette nouvelle plateforme.<\/p>\n<p>En quoi consiste cette approche, comment peut-elle aider les entreprises \u00e0 s\u00e9curiser leur syst\u00e8me d\u2019information ? Vikas Pandurkar nous dit tout dans cet entretien !<\/p>\n<figure class=\"image regular \"><picture><source srcset=\"https:\/\/images.storychief.com\/account_23478\/image_16eaaeb675eeaa46ee0fc58417b475fd_800.png 1x\" media=\"(max-width: 768px)\" \/><source srcset=\"https:\/\/images.storychief.com\/account_23478\/image_16eaaeb675eeaa46ee0fc58417b475fd_800.png 1x\" media=\"(min-width: 769px)\" \/><img decoding=\"async\" src=\"https:\/\/images.storychief.com\/account_23478\/image_16eaaeb675eeaa46ee0fc58417b475fd_800.png\" alt=\"Vikas Pandurkar\" \/><\/picture><figcaption>Vikas Pandurkar<\/figcaption><\/figure>\n<h2 id=\"246hp\"><strong>La cybers\u00e9curit\u00e9 dans le contexte de la Covid-19<\/strong><\/h2>\n<p>Il y a eu un avant, un pendant et s\u00fbrement un apr\u00e8s crise sanitaire. Pour le fondateur d\u2019Oxortis, avant 2020 les entreprises \u00e9taient en capacit\u00e9 de ma\u00eetriser leur infrastructure gr\u00e2ce \u00e0 leur p\u00e9rim\u00e8tre bien d\u00e9fini. Cela se traduisait par des centres de donn\u00e9es construits avec des stacks technologiques h\u00e9t\u00e9rog\u00e8nes que les entreprises avaient rachet\u00e9es et int\u00e9gr\u00e9es cela malgr\u00e9 un environnement qui devenait complexe. Ces diff\u00e9rentes \u00e9tapes avaient \u00e9t\u00e9 g\u00e9r\u00e9es \u00e0 un co\u00fbt assez \u00e9lev\u00e9, \u201cla part de mobilit\u00e9 pour laquelle les entreprises avaient taill\u00e9 leur infrastructure avoisinait 10-15%\u201d.<\/p>\n<p>Or, la suite de l\u2019histoire on la conna\u00eet : avec le confinement et une grande partie des effectifs \u00e0 domicile, les entreprises ont d\u00fb investir dans de nouveaux \u00e9quipements pour que les salari\u00e9s puissent se connecter aux centres de donn\u00e9es d\u2019entreprise et travailler.<\/p>\n<p>2020 a aussi chang\u00e9 certaines m\u00e9thodes de travail : \u201cles entreprises ont souvent des applicatifs qu\u2019ils consommaient en mode SaaS, ou h\u00e9bergeaient dans des clouds types AWS, Azure, GCP etc.\u201d<\/p>\n<p>Dans le contexte de la crise sanitaire, il \u00e9tait alors de plus en plus compliqu\u00e9 pour des DSI d\u2019\u00eatre certain qu\u2019ils soient conformes aux normes RGPD ou aux politiques qu\u2019ils avaient d\u00e9finis pour leur soci\u00e9t\u00e9. R\u00e9pondre \u00e0 \u00ab\u00a0<strong>qui<\/strong> a acc\u00e9d\u00e9 aux ressources d\u2019entreprise, <strong>quoi <\/strong>(ce qu\u2019on a vu, pris, vol\u00e9\u2026), <strong>quand<\/strong>, <strong>o\u00f9<\/strong> (cela s\u2019est produit) et <strong>comment<\/strong> (on a \u00e9t\u00e9 compromis)\u00a0\u00bb devenait \u00e9galement un d\u00e9fi.<\/p>\n<p>Les analystes Forrester, Gartner et autres ont d\u2019ailleurs constat\u00e9 qu\u2019il y a plus de donn\u00e9es sensibles \u00e0 l\u2019ext\u00e9rieur de l\u2019entreprise (et non dans leurs centres de donn\u00e9es) et il y a plus d\u2019appareils personnels qui se connectent aux ressources de l\u2019entreprise. Le t\u00e9l\u00e9travail est un facteur important de cette fragilisation, depuis le premier confinement, le nombre d\u2019appareils, serveurs, ressources \u00e0 provisionner et g\u00e9rer a augment\u00e9 exponentiellement.<\/p>\n<h2 id=\"9sk6u\">L\u2019approche Zero Trust<\/h2>\n<p>Comme nous le savons d\u00e9j\u00e0, la crise sanitaire que nous traversons a mis en lumi\u00e8re les nombreuses lacunes des syst\u00e8mes de s\u00e9curit\u00e9 traditionnels. D\u2019apr\u00e8s une \u00e9tude McAfee de 2020, il y a eu 50% de croissance en services dits cloud, 2 fois plus de trafic en cloud \u00e9manant des appareils non g\u00e9r\u00e9s par l\u2019entreprise et 630% de croissance en \u00e9v\u00e9nements d\u2019attaques dans des environnements cloud.<\/p>\n<p>Le <a href=\"https:\/\/oxortis.com\/fr\/quest-ce-quun-reseau-zero-trust-apercu-dune-architecture-zero-trust\/\">zero trust<\/a> est un service de mise en place d\u2019un socle, permettant une visibilit\u00e9 et un contr\u00f4le des 4 dimensions suivantes :<\/p>\n<ul>\n<li>des <strong>utilisateurs<\/strong>,<\/li>\n<li>de leurs <strong>appareils<\/strong> (ceux donn\u00e9s par l\u2019entreprise ainsi que les appareils personnels des collaborateurs),<\/li>\n<li><strong>de l\u2019infrastructure<\/strong> qui h\u00e9berge les ressources de l\u2019entreprise<\/li>\n<li>des <strong>applications et des donn\u00e9es<\/strong> qui se trouvent dans les diverses infrastructures qu\u2019utilise l\u2019entreprise.<\/li>\n<\/ul>\n<p>\u201cNous proposons 3 services\u00a0:<\/p>\n<ol type=\"1\">\n<li>Nous aidons les entreprises \u00e0 mettre en place une strat\u00e9gie zero trust (ind\u00e9pendant de quelconque produit). Nous avons d\u2019ailleurs une accr\u00e9ditation Forrester pour r\u00e9aliser cette mission.<\/li>\n<li>Nous proposons des services d\u2019onboarding pour la plateforme de zero trust d\u2019Ivanti (anciennement PulseSecure).<\/li>\n<li>Mais aussi des services manag\u00e9s, \u00e9galement pour la plateforme d\u2019Ivanti.<\/li>\n<\/ol>\n<p>Tous types d\u2019entreprise, ind\u00e9pendamment du secteur d\u2019activit\u00e9, doit prot\u00e9ger ses ressources.\u201d<\/p>\n<p>A ce titre, Oxortis travaille depuis presque 2 ans avec Pulse Secure sur l\u2019\u00e9laboration, le d\u00e9veloppement et la mise en march\u00e9 de cette nouvelle plateforme. Ils proposent des services manag\u00e9s, leur \u00e9quipe est bas\u00e9e en Inde dans un centre certifi\u00e9 ISO et CMMi (Capability Maturity Model Integration).<\/p>\n<h2 id=\"fprg0\"><strong>Les avantages de la m\u00e9thode Zero Trust<\/strong><\/h2>\n<p>Par rapport \u00e0 l\u2019actualit\u00e9 et au contexte de t\u00e9l\u00e9travail qui accro\u00eet les cybers risques, la m\u00e9thode Zero Trust a plusieurs avantages.<\/p>\n<p>Tout d\u2019abord c\u2019est un concept de s\u00e9curit\u00e9 qui exige que tous les utilisateurs, m\u00eame ceux \u00e0 l\u2019int\u00e9rieur du r\u00e9seau de l\u2019entreprise, soient authentifi\u00e9s et autoris\u00e9s avant d\u2019obtenir l\u2019acc\u00e8s aux applications et aux donn\u00e9es. Une fois que ceci est fait, pour conserver l\u2019acc\u00e8s obtenu, Zero Trust pr\u00e9conise la validation en permanence de la configuration et la posture de s\u00e9curit\u00e9. \u201cPour un monde de travail de plus en plus\u00a0\u00e0 distance, le zero trust est n\u00e9cessaire et urgent \u00e0 mettre en \u0153uvre\u201d.<\/p>\n<p>Pour Vikas Pandurkar \u201cZero Trust est un changement significatif par rapport \u00e0 la s\u00e9curit\u00e9 r\u00e9seau traditionnelle, il faut prouver \u00e0 chaque fois que l\u2019on a le droit d\u2019acc\u00e8s \u00e0 telle ou telle ressources.<\/p>\n<p>L\u2019approche traditionnelle faisait automatiquement confiance aux utilisateurs au point d\u2019exposer l\u2019organisation \u00e0 des risques pouvant venir d\u2019acteurs internes malveillants et permettant ainsi aux utilisateurs non autoris\u00e9s un acc\u00e8s \u00e9tendu une fois \u00e0 l\u2019int\u00e9rieur du syst\u00e8me.\u201d<\/p>\n<p>Il pr\u00e9cise n\u00e9anmoins que l\u2019approche Zero Trust n\u2019est pas un produit ou un service. \u201cC\u2019est un chemin\/framework\/paradigme d\u2019avenir qui devrait permettre aux entreprises de toutes tailles de s\u00e9curiser les 4 dimensions \u00e0 prot\u00e9ger en permanence \u2013 utilisateurs, appareils, infrastructure, applications\/donn\u00e9es\u201d.<\/p>\n<p>Pour un peu de contexte, la confiance z\u00e9ro est n\u00e9e du travail effectu\u00e9 par la Defense Information Systems Agency (DISA) et leur travail sur le concept de p\u00e9rim\u00e8tre d\u00e9fini par logiciel (SDP \u2013 Software Defined Perimeter). Puis, ce travail a \u00e9t\u00e9 officialis\u00e9 et popularis\u00e9 par la Cloud Security Alliance au cours de la derni\u00e8re d\u00e9cennie. Un SDP incarne les principes de la confiance z\u00e9ro au niveau du r\u00e9seau. Il introduit des m\u00e9canismes pour contr\u00f4ler l\u2019acc\u00e8s au niveau du r\u00e9seau \u00e0 un syst\u00e8me et pour demander l\u2019acc\u00e8s et l\u2019accorder. Un SDP est un r\u00e9seau virtuel, profond\u00e9ment segment\u00e9 et centr\u00e9 sur les terminaux, superpos\u00e9 \u00e0 tous les autres r\u00e9seaux physiques et virtuels d\u00e9j\u00e0 pr\u00e9sents.<\/p>\n<figure class=\"image regular \"><picture><source srcset=\"https:\/\/images.storychief.com\/account_23478\/image_a67e6b9cc4932bbf267a54ae512db9af_800.png 1x\" media=\"(max-width: 768px)\" \/><source srcset=\"https:\/\/images.storychief.com\/account_23478\/image_a67e6b9cc4932bbf267a54ae512db9af_800.png 1x\" media=\"(min-width: 769px)\" \/><img decoding=\"async\" src=\"https:\/\/images.storychief.com\/account_23478\/image_a67e6b9cc4932bbf267a54ae512db9af_800.png\" alt=\"SDP architecture. Source: Cloud Security Alliance\" \/><\/picture><figcaption>SDP Architecture. Source : Cloud Security alliance<\/figcaption><\/figure>\n<h2 id=\"dt6e0\"><strong>L\u2019approche Zero Trust sur le march\u00e9 fran\u00e7ais<\/strong><\/h2>\n<p>L\u2019id\u00e9e du Zero Trust est naissante en France, comme le montre la r\u00e9cente \u00e9tude d\u2019Opinionway commissionn\u00e9 par le CESIN, seulement 6% des 228 entreprises interrog\u00e9es sont tr\u00e8s engag\u00e9es dans l\u2019approche et 23% sont en train d\u2019en mettre en place les premi\u00e8res briques.<\/p>\n<p>Comme tout nouveau concept, il est donc normal d\u2019avoir \u00e0 r\u00e9aliser une phase d\u2019\u00e9vang\u00e9lisation avant que les DSI s\u2019approprient l\u2019id\u00e9e et l\u2019adoptent.<\/p>\n<p>\u201cOn peut se demander : y a-t-il une alternative valable \u00e0 Zero Trust\u00a0? D\u2019autres approches existent certainement, mais elles n\u2019apportent pas les r\u00e9sultats escompt\u00e9s.\u201d<\/p>\n<p>Vous l\u2019avez peut-\u00eatre lu, le gouvernement am\u00e9ricain a d\u00e9cid\u00e9 de mettre en place une s\u00e9curisation des ressources consistant aux utilisateurs, leurs appareils, les applications et des donn\u00e9es qu\u2019ils consomment et sur tout infrastructures. Cela est bien \u00e9videmment bas\u00e9 sur les principes de Zero Trust.<\/p>\n<h2 id=\"cbagb\">Quels sont les constats et les impacts de la crise sanitaire sur votre syst\u00e8me d\u2019informations ?<\/h2>\n<p>Suite \u00e0 la crise sanitaire et aux changements que celle-ci a entra\u00een\u00e9s dans le monde du travail, plusieurs risques sont \u00e0 essayer d\u2019anticiper pour les entreprises :<\/p>\n<ul>\n<li>Beaucoup d\u2019entreprises \u00e9trang\u00e8res ont franchi le pas et ont annonc\u00e9 que les effectifs ne seraient pas oblig\u00e9s de revenir au bureau. \u00ab\u00a0Anywhere workplace\u00a0\u00bb veut dire que les DSI seront oblig\u00e9s de mieux s\u00e9curiser, veiller et contr\u00f4ler en permanence, et donc d\u2019\u00eatre plus r\u00e9actif pour limiter les incidents, qui ne cesseront d\u2019augmenter.<\/li>\n<li>La r\u00e9cente \u00e9tude d\u2019AMRAE montre que l\u2019indemnisation a tripl\u00e9 entre 2019 et 2020 et avoisine 217 millions d\u2019euros. 87% des grandes soci\u00e9t\u00e9s sont couvertes et seulement 8% d\u2019ETI d\u2019apr\u00e8s cette \u00e9tude. \u201cIl est fort probable que les assureurs demandent des primes contre des attaques cybers plus importantes \u00e0 d\u00e9faut de faire valider l\u2019environnement s\u00e9curis\u00e9 (par des experts) de l\u2019entreprise et leur capacit\u00e9 \u00e0 contrer des attaques.\u201d On voit d\u00e9j\u00e0 la naissance de soci\u00e9t\u00e9s comme Cyberacuview, qui est un consortium de 7 assureurs, pour mieux organiser et structurer leur offre de cyber s\u00e9curit\u00e9.<\/li>\n<li>Aussi, les segments et les sous-segments du march\u00e9 de s\u00e9curit\u00e9 sont en constante \u00e9volution. Les experts sont peu nombreux sur ce dernier et ils s\u2019arrachent \u00e0 prix d\u2019or et ne peuvent pas tout g\u00e9rer. \u201cOn va devoir se reposer sur l\u2019automatisation pour un certain nombre de choses, et on le constate d\u00e9j\u00e0 dans les nouvelles plateformes\/ produits de s\u00e9curit\u00e9\u201d.<\/li>\n<li>Aussi, en cas de non-paiement de ran\u00e7on, les personnes malveillantes peuvent menacer de divulguer des donn\u00e9es sensibles (comme par exemple en Finlande avec l\u2019entreprise Vastaamo) et le faire payer.<\/li>\n<\/ul>\n<h2 id=\"73ilv\"><strong>\u201cIl vaut mieux se pr\u00e9parer en amont\u201d<\/strong><\/h2>\n<p>Pour Vikas Pandurkar il est urgent de faire quelque chose d\u00e8s maintenant pour pr\u00e9venir un maximum ces risques.<\/p>\n<p>Selon l\u2019\u00e9tude de Veracode titr\u00e9 \u00ab\u00a0state of application security, 2020\u00a0\u00bb, 83% des 85000 applications test\u00e9es avaient au moins une faille de s\u00e9curit\u00e9. La plupart en avaient beaucoup plus. L\u2019\u00e9tude d\u00e9montre un ensemble de 10 millions de failles, et 20% de toutes les applications ont r\u00e9v\u00e9l\u00e9 au moins une faille de s\u00e9v\u00e9rit\u00e9 \u00e9lev\u00e9e. Un certain nombre de ces vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 publi\u00e9es par la communaut\u00e9 OWASP (Open Web Application Security Project) d\u00e8s 2017.<\/p>\n<p>Selon des experts, des technologies permettent de faire un scan de tout internet (toutes les adresses IP4 public, +4 Milliards d\u2019adresses IP) en moins d\u2019une heure. Il suffit aux acteurs malveillants de trouver une vuln\u00e9rabilit\u00e9 (CVE) qu\u2019ils peuvent exploiter avant qu\u2019une entreprise d\u00e9couvre qu\u2019il y en a une chez eux.<\/p>\n<p>\u201cDes entreprises qui revoient leurs processus de s\u00e9curit\u00e9 mensuellement, qui font des tests de p\u00e9n\u00e9tration tous les trimestres auront du mal \u00e0 r\u00e9sister \u00e0 un attaquant beaucoup plus r\u00e9actif. Si les douze derniers mois nous ont prouv\u00e9 quelque chose c\u2019est bien cela. Si l\u2019on creuse, les soci\u00e9t\u00e9s qui ont subi ces attaques se sont tr\u00e8s probablement fi\u00e9 \u00e0 leurs investissements en VPN\u2019s, Firewall et d\u2019autres produits adapt\u00e9s pour un p\u00e9rim\u00e8tre qui n\u2019existe plus. Contre des intrusions pr\u00e9m\u00e9dit\u00e9es et qui n\u2019\u00e9pargnent ni des soci\u00e9t\u00e9s priv\u00e9es, ni des institutions publiques, il vaut mieux se pr\u00e9parer \u2013 d\u00e8s hier.\u201d<\/p>\n<h2 id=\"aa9u1\"><strong>Comment le z\u00e9ro trust s\u2019inscrit dans les prestations en cybers\u00e9curit\u00e9 d\u2019AGAETIS et NOVENCIA ?<\/strong><\/h2>\n<p>En tant que cabinet de conseil nous sommes toujours en veille d\u2019approches compl\u00e9mentaires \u00e0 nos savoir-faire et nous cherchons en permanence des m\u00e9thodes et solutions pour augmenter le niveau de maturit\u00e9 aux risques cyber de nos clients.<\/p>\n<p>Nos consultants interviennent en amont sur des phases d\u2019audit\/conseil pour \u00e9valuer la pertinence et le plan de charge \u00e0 \u00e9tablir pour \u00eatre en capacit\u00e9 de d\u00e9ployer une approche Zero Trust \u00e0 grande \u00e9chelle.<\/p>\n<p>En septembre nous organisons chez <a href=\"https:\/\/www.novencia.com\/\" target=\"_blank\" rel=\"noopener\">Novencia<\/a> un \u00e9v\u00e9nement autour de la cyber s\u00e9curit\u00e9 o\u00f9 l\u2019approche Zero trust sera d\u00e9taill\u00e9e et nous pr\u00e9senterons des cas d\u2019usages.<\/p>\n<p>\u2192<a href=\"https:\/\/www.agaetis.fr\/landingpages\/cybersecurite\" target=\"_blank\" rel=\"noopener\"> Plus d\u2019informations sur notre offre en cybers\u00e9curit\u00e9<\/a>.<\/p>\n<p><small>Source : <a href=\"https:\/\/www.agaetis.fr\/lapproche-zero-trust-qui-ou-comment-pourquoi\" target=\"_blank\" rel=\"noopener\">agaetis.fr<\/a><\/small><\/p>\n<p><!-- strchf script --><script>if(window.strchfSettings === undefined) window.strchfSettings = {};window.strchfSettings.stats = {url: \"https:\/\/oxortis.storychief.io\/fr\/l-approche-zero-trust-qui-ou-comment-pourquoi?id=775533286&type=2\",title: \"L\u2019approche Zero Trust, qui, o\u00f9, comment, pourquoi\",id: \"a7237fc8-dcfb-4178-9bd0-807a12a1c38c\"};(function(d, s, id) {var js, sjs = d.getElementsByTagName(s)[0];if (d.getElementById(id)) {window.strchf.update(); return;}js = d.createElement(s); js.id = id;js.src = \"https:\/\/d37oebn0w9ir6a.cloudfront.net\/scripts\/v0\/strchf.js\";js.async = true;sjs.parentNode.insertBefore(js, sjs);}(document, 'script', 'storychief-jssdk'))<\/script><!-- End strchf script --><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Si 2020 nous a bien enseign\u00e9 une le\u00e7on c\u2019est qu\u2019il ne faut rien prendre pour acquis et plus particuli\u00e8rement dans le domaine de la cybers\u00e9curit\u00e9&#8230;<\/p>\n","protected":false},"author":2,"featured_media":809,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_et_pb_use_builder":"off","_et_pb_old_content":"<p>Par <a   href=\"https:\/\/www.agaetis.fr\/author\/13\">C\u00e9lyne Courmont<\/a><\/p><p>Si 2020 nous a bien enseign\u00e9 une le\u00e7on c\u2019est qu\u2019il ne faut rien prendre pour acquis et plus particuli\u00e8rement dans le domaine de la cybers\u00e9curit\u00e9.<\/p><p>Vikas Pandurkar, ancien de l\u2019Insead et de l\u2019\u00e9cole des Ponts et Chauss\u00e9es, a travaill\u00e9 pour des entreprises comme Tekelec, Cisco, Level3, Avni (rachet\u00e9 par Veritas), PulseSecure (rachet\u00e9 par Ivanti)\u2026<\/p><p>Il a cr\u00e9\u00e9 <a   href=\"https:\/\/oxortis.com\/\">Oxortis<\/a> il y a 4 ans et a principalement travaill\u00e9 avec des entreprises en B2B SaaS am\u00e9ricains bas\u00e9s sur la c\u00f4te ouest.<\/p><p>Ancien membre de l\u2019\u00e9quipe de l\u2019ing\u00e9nierie de Pulse Secure (leader mondial dans les VPN\u2019s) pour concevoir, d\u00e9velopper et mettre en \u0153uvre la nouvelle plateforme bas\u00e9e sur l\u2019approche zero trust, l\u2019entreprise est d\u00e9sormais partenaire privil\u00e9gi\u00e9 de cette nouvelle plateforme.<\/p><p>En quoi consiste cette approche, comment peut-elle aider les entreprises \u00e0 s\u00e9curiser leur syst\u00e8me d\u2019information ? Vikas Pandurkar nous dit tout dans cet entretien !<\/p><figure class=\"image regular \"><picture style=\"\"><source srcset=\"https:\/\/images.storychief.com\/account_23478\/image_16eaaeb675eeaa46ee0fc58417b475fd_800.png 1x\" media=\"(max-width: 768px)\" \/><source srcset=\"https:\/\/images.storychief.com\/account_23478\/image_16eaaeb675eeaa46ee0fc58417b475fd_800.png 1x\" media=\"(min-width: 769px)\" \/><img style=\"\" alt=\"Vikas Pandurkar\" src=\"https:\/\/images.storychief.com\/account_23478\/image_16eaaeb675eeaa46ee0fc58417b475fd_800.png\" \/><\/picture><figcaption>Vikas Pandurkar<\/figcaption><\/figure><h2 id=\"246hp\"><strong>La cybers\u00e9curit\u00e9 dans le contexte de la Covid-19<\/strong><\/h2><p>Il y a eu un avant, un pendant et s\u00fbrement un apr\u00e8s crise sanitaire. Pour le fondateur d\u2019Oxortis, avant 2020 les entreprises \u00e9taient en capacit\u00e9 de ma\u00eetriser leur infrastructure gr\u00e2ce \u00e0 leur p\u00e9rim\u00e8tre bien d\u00e9fini. Cela se traduisait par des centres de donn\u00e9es construits avec des stacks technologiques h\u00e9t\u00e9rog\u00e8nes que les entreprises avaient rachet\u00e9es et int\u00e9gr\u00e9es cela malgr\u00e9 un environnement qui devenait complexe. Ces diff\u00e9rentes \u00e9tapes avaient \u00e9t\u00e9 g\u00e9r\u00e9es \u00e0 un co\u00fbt assez \u00e9lev\u00e9, \u201cla part de mobilit\u00e9 pour laquelle les entreprises avaient taill\u00e9 leur infrastructure avoisinait 10-15%\u201d.<\/p><p>Or, la suite de l\u2019histoire on la conna\u00eet : avec le confinement et une grande partie des effectifs \u00e0 domicile, les entreprises ont d\u00fb investir dans de nouveaux \u00e9quipements pour que les salari\u00e9s puissent se connecter aux centres de donn\u00e9es d\u2019entreprise et travailler.<\/p><p>2020 a aussi chang\u00e9 certaines m\u00e9thodes de travail : \u201cles entreprises ont souvent des applicatifs qu\u2019ils consommaient en mode SaaS, ou h\u00e9bergeaient dans des clouds types AWS, Azure, GCP etc.\u201d<\/p><p>Dans le contexte de la crise sanitaire, il \u00e9tait alors de plus en plus compliqu\u00e9 pour des DSI d\u2019\u00eatre certain qu\u2019ils soient conformes aux normes RGPD ou aux politiques qu\u2019ils avaient d\u00e9finis pour leur soci\u00e9t\u00e9. R\u00e9pondre \u00e0 \u00ab\u00a0<strong>qui<\/strong> a acc\u00e9d\u00e9 aux ressources d\u2019entreprise, <strong>quoi <\/strong>(ce qu\u2019on a vu, pris, vol\u00e9\u2026), <strong>quand<\/strong>, <strong>o\u00f9<\/strong> (cela s\u2019est produit) et <strong>comment<\/strong> (on a \u00e9t\u00e9 compromis)\u00a0\u00bb devenait \u00e9galement un d\u00e9fi.<\/p><p>Les analystes Forrester, Gartner et autres ont d\u2019ailleurs constat\u00e9 qu\u2019il y a plus de donn\u00e9es sensibles \u00e0 l\u2019ext\u00e9rieur de l\u2019entreprise (et non dans leurs centres de donn\u00e9es) et il y a plus d\u2019appareils personnels qui se connectent aux ressources de l\u2019entreprise. Le t\u00e9l\u00e9travail est un facteur important de cette fragilisation, depuis le premier confinement, le nombre d\u2019appareils, serveurs, ressources \u00e0 provisionner et g\u00e9rer a augment\u00e9 exponentiellement.<\/p><h2 id=\"9sk6u\">L\u2019approche Zero Trust<\/h2><p>Comme nous le savons d\u00e9j\u00e0, la crise sanitaire que nous traversons a mis en lumi\u00e8re les nombreuses lacunes des syst\u00e8mes de s\u00e9curit\u00e9 traditionnels. D\u2019apr\u00e8s une \u00e9tude McAfee de 2020, il y a eu 50% de croissance en services dits cloud, 2 fois plus de trafic en cloud \u00e9manant des appareils non g\u00e9r\u00e9s par l\u2019entreprise et 630% de croissance en \u00e9v\u00e9nements d\u2019attaques dans des environnements cloud.<\/p><p>Le <a   href=\"https:\/\/oxortis.com\/fr\/quest-ce-quun-reseau-zero-trust-apercu-dune-architecture-zero-trust\/\">zero trust<\/a> est un service de mise en place d\u2019un socle, permettant une visibilit\u00e9 et un contr\u00f4le des 4 dimensions suivantes :<\/p><ul><li>des <strong>utilisateurs<\/strong>,<\/li><li>de leurs <strong>appareils<\/strong> (ceux donn\u00e9s par l\u2019entreprise ainsi que les appareils personnels des collaborateurs),<\/li><li><strong>de l\u2019infrastructure<\/strong> qui h\u00e9berge les ressources de l\u2019entreprise<\/li><li>des <strong>applications et des donn\u00e9es<\/strong> qui se trouvent dans les diverses infrastructures qu\u2019utilise l\u2019entreprise.<\/li><\/ul><p>\u201cNous proposons 3 services\u00a0:<\/p><ol type=\"1\"><li>Nous aidons les entreprises \u00e0 mettre en place une strat\u00e9gie zero trust (ind\u00e9pendant de quelconque produit). Nous avons d\u2019ailleurs une accr\u00e9ditation Forrester pour r\u00e9aliser cette mission.<\/li><li>Nous proposons des services d\u2019onboarding pour la plateforme de zero trust d\u2019Ivanti (anciennement PulseSecure).<\/li><li>Mais aussi des services manag\u00e9s, \u00e9galement pour la plateforme d\u2019Ivanti.<\/li><\/ol><p>Tous types d\u2019entreprise, ind\u00e9pendamment du secteur d\u2019activit\u00e9, doit prot\u00e9ger ses ressources.\u201d<\/p><p>A ce titre, Oxortis travaille depuis presque 2 ans avec Pulse Secure sur l\u2019\u00e9laboration, le d\u00e9veloppement et la mise en march\u00e9 de cette nouvelle plateforme. Ils proposent des services manag\u00e9s, leur \u00e9quipe est bas\u00e9e en Inde dans un centre certifi\u00e9 ISO et CMMi (Capability Maturity Model Integration).<\/p><h2 id=\"fprg0\"><strong>Les avantages de la m\u00e9thode Zero Trust<\/strong><\/h2><p>Par rapport \u00e0 l\u2019actualit\u00e9 et au contexte de t\u00e9l\u00e9travail qui accro\u00eet les cybers risques, la m\u00e9thode Zero Trust a plusieurs avantages.<\/p><p>Tout d\u2019abord c\u2019est<strong> <\/strong>un concept de s\u00e9curit\u00e9 qui exige que tous les utilisateurs, m\u00eame ceux \u00e0 l\u2019int\u00e9rieur du r\u00e9seau de l\u2019entreprise, soient authentifi\u00e9s et autoris\u00e9s avant d\u2019obtenir l\u2019acc\u00e8s aux applications et aux donn\u00e9es. Une fois que ceci est fait, pour conserver l\u2019acc\u00e8s obtenu, Zero Trust pr\u00e9conise la validation en permanence de la configuration et la posture de s\u00e9curit\u00e9. \u201cPour un monde de travail de plus en plus\u00a0\u00e0 distance, le zero trust est n\u00e9cessaire et urgent \u00e0 mettre en \u0153uvre\u201d.<\/p><p>Pour Vikas Pandurkar \u201cZero Trust est un changement significatif par rapport \u00e0 la s\u00e9curit\u00e9 r\u00e9seau traditionnelle, il faut prouver \u00e0 chaque fois que l\u2019on a le droit d\u2019acc\u00e8s \u00e0 telle ou telle ressources.<\/p><p>L\u2019approche traditionnelle faisait automatiquement confiance aux utilisateurs au point d\u2019exposer l\u2019organisation \u00e0 des risques pouvant venir d\u2019acteurs internes malveillants et permettant ainsi aux utilisateurs non autoris\u00e9s un acc\u00e8s \u00e9tendu une fois \u00e0 l\u2019int\u00e9rieur du syst\u00e8me.\u201d<\/p><p>Il pr\u00e9cise n\u00e9anmoins que l\u2019approche Zero Trust n\u2019est pas un produit ou un service. \u201cC\u2019est un chemin\/framework\/paradigme d\u2019avenir qui devrait permettre aux entreprises de toutes tailles de s\u00e9curiser les 4 dimensions \u00e0 prot\u00e9ger en permanence \u2013 utilisateurs, appareils, infrastructure, applications\/donn\u00e9es\u201d.<\/p><p>Pour un peu de contexte, la confiance z\u00e9ro est n\u00e9e du travail effectu\u00e9 par la Defense Information Systems Agency (DISA) et leur travail sur le concept de p\u00e9rim\u00e8tre d\u00e9fini par logiciel (SDP \u2013 Software Defined Perimeter). Puis, ce travail a \u00e9t\u00e9 officialis\u00e9 et popularis\u00e9 par la Cloud Security Alliance au cours de la derni\u00e8re d\u00e9cennie. Un SDP incarne les principes de la confiance z\u00e9ro au niveau du r\u00e9seau. Il introduit des m\u00e9canismes pour contr\u00f4ler l\u2019acc\u00e8s au niveau du r\u00e9seau \u00e0 un syst\u00e8me et pour demander l\u2019acc\u00e8s et l\u2019accorder. Un SDP est un r\u00e9seau virtuel, profond\u00e9ment segment\u00e9 et centr\u00e9 sur les terminaux, superpos\u00e9 \u00e0 tous les autres r\u00e9seaux physiques et virtuels d\u00e9j\u00e0 pr\u00e9sents.<\/p><figure class=\"image regular \"><picture style=\"\"><source srcset=\"https:\/\/images.storychief.com\/account_23478\/image_a67e6b9cc4932bbf267a54ae512db9af_800.png 1x\" media=\"(max-width: 768px)\" \/><source srcset=\"https:\/\/images.storychief.com\/account_23478\/image_a67e6b9cc4932bbf267a54ae512db9af_800.png 1x\" media=\"(min-width: 769px)\" \/><img style=\"\" alt=\"SDP architecture. Source: Cloud Security Alliance\" src=\"https:\/\/images.storychief.com\/account_23478\/image_a67e6b9cc4932bbf267a54ae512db9af_800.png\" \/><\/picture><figcaption>SDP Architecture. Source : Cloud Security alliance<\/figcaption><\/figure><h2 id=\"dt6e0\"><strong>L\u2019approche Zero Trust sur le march\u00e9 fran\u00e7ais<\/strong><\/h2><p>L\u2019id\u00e9e du Zero Trust est naissante en France, comme le montre la r\u00e9cente \u00e9tude d\u2019Opinionway commissionn\u00e9 par le CESIN, seulement 6% des 228 entreprises interrog\u00e9es sont tr\u00e8s engag\u00e9es dans l\u2019approche et 23% sont en train d\u2019en mettre en place les premi\u00e8res briques.<\/p><p>Comme tout nouveau concept, il est donc normal d\u2019avoir \u00e0 r\u00e9aliser une phase d\u2019\u00e9vang\u00e9lisation avant que les DSI s\u2019approprient l\u2019id\u00e9e et l\u2019adoptent.<\/p><p>\u201cOn peut se demander : y a-t-il une alternative valable \u00e0 Zero Trust\u00a0? D\u2019autres approches existent certainement, mais elles n\u2019apportent pas les r\u00e9sultats escompt\u00e9s.\u201d<\/p><p>Vous l\u2019avez peut-\u00eatre lu, le gouvernement am\u00e9ricain a d\u00e9cid\u00e9 de mettre en place une s\u00e9curisation des ressources consistant aux utilisateurs, leurs appareils, les applications et des donn\u00e9es qu\u2019ils consomment et sur tout infrastructures. Cela est bien \u00e9videmment bas\u00e9 sur les principes de Zero Trust.<\/p><h2 id=\"cbagb\">Quels sont les constats et les impacts de la crise sanitaire sur votre syst\u00e8me d\u2019informations ?<\/h2><p>Suite \u00e0 la crise sanitaire et aux changements que celle-ci a entra\u00een\u00e9s dans le monde du travail, plusieurs risques sont \u00e0 essayer d\u2019anticiper pour les entreprises :<\/p><ul><li>Beaucoup d\u2019entreprises \u00e9trang\u00e8res ont franchi le pas et ont annonc\u00e9 que les effectifs ne seraient pas oblig\u00e9s de revenir au bureau. \u00ab\u00a0Anywhere workplace\u00a0\u00bb veut dire que les DSI seront oblig\u00e9s de mieux s\u00e9curiser, veiller et contr\u00f4ler en permanence, et donc d\u2019\u00eatre plus r\u00e9actif pour limiter les incidents, qui ne cesseront d\u2019augmenter.<\/li><li>La r\u00e9cente \u00e9tude d\u2019AMRAE montre que l\u2019indemnisation a tripl\u00e9 entre 2019 et 2020 et avoisine 217 millions d\u2019euros. 87% des grandes soci\u00e9t\u00e9s sont couvertes et seulement 8% d\u2019ETI d\u2019apr\u00e8s cette \u00e9tude. \u201cIl est fort probable que les assureurs demandent des primes contre des attaques cybers plus importantes \u00e0 d\u00e9faut de faire valider l\u2019environnement s\u00e9curis\u00e9 (par des experts) de l\u2019entreprise et leur capacit\u00e9 \u00e0 contrer des attaques.\u201d On voit d\u00e9j\u00e0 la naissance de soci\u00e9t\u00e9s comme Cyberacuview, qui est un consortium de 7 assureurs, pour mieux organiser et structurer leur offre de cyber s\u00e9curit\u00e9.<\/li><li>Aussi, les segments et les sous-segments du march\u00e9 de s\u00e9curit\u00e9 sont en constante \u00e9volution. Les experts sont peu nombreux sur ce dernier et ils s\u2019arrachent \u00e0 prix d\u2019or et ne peuvent pas tout g\u00e9rer. \u201cOn va devoir se reposer sur l\u2019automatisation pour un certain nombre de choses, et on le constate d\u00e9j\u00e0 dans les nouvelles plateformes\/ produits de s\u00e9curit\u00e9\u201d.<\/li><li>Aussi, en cas de non-paiement de ran\u00e7on, les personnes malveillantes peuvent menacer de divulguer des donn\u00e9es sensibles (comme par exemple en Finlande avec l\u2019entreprise Vastaamo) et le faire payer.<\/li><\/ul><h2 id=\"73ilv\"><strong>\u201cIl vaut mieux se pr\u00e9parer en amont\u201d<\/strong><\/h2><p>Pour Vikas Pandurkar il est urgent de faire quelque chose d\u00e8s maintenant pour pr\u00e9venir un maximum ces risques.<\/p><p>Selon l\u2019\u00e9tude de Veracode titr\u00e9 \u00ab\u00a0state of application security, 2020\u00a0\u00bb, 83% des 85000 applications test\u00e9es avaient au moins une faille de s\u00e9curit\u00e9. La plupart en avaient beaucoup plus. L\u2019\u00e9tude d\u00e9montre un ensemble de 10 millions de failles, et 20% de toutes les applications ont r\u00e9v\u00e9l\u00e9 au moins une faille de s\u00e9v\u00e9rit\u00e9 \u00e9lev\u00e9e. Un certain nombre de ces vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 publi\u00e9es par la communaut\u00e9 OWASP (Open Web Application Security Project) d\u00e8s 2017.<\/p><p>Selon des experts, des technologies permettent de faire un scan de tout internet (toutes les adresses IP4 public, +4 Milliards d\u2019adresses IP) en moins d\u2019une heure. Il suffit aux acteurs malveillants de trouver une vuln\u00e9rabilit\u00e9 (CVE) qu\u2019ils peuvent exploiter avant qu\u2019une entreprise d\u00e9couvre qu\u2019il y en a une chez eux.<\/p><p>\u201cDes entreprises qui revoient leurs processus de s\u00e9curit\u00e9 mensuellement, qui font des tests de p\u00e9n\u00e9tration tous les trimestres auront du mal \u00e0 r\u00e9sister \u00e0 un attaquant beaucoup plus r\u00e9actif. Si les douze derniers mois nous ont prouv\u00e9 quelque chose c\u2019est bien cela. Si l\u2019on creuse, les soci\u00e9t\u00e9s qui ont subi ces attaques se sont tr\u00e8s probablement fi\u00e9 \u00e0 leurs investissements en VPN\u2019s, Firewall et d\u2019autres produits adapt\u00e9s pour un p\u00e9rim\u00e8tre qui n\u2019existe plus. Contre des intrusions pr\u00e9m\u00e9dit\u00e9es et qui n\u2019\u00e9pargnent ni des soci\u00e9t\u00e9s priv\u00e9es, ni des institutions publiques, il vaut mieux se pr\u00e9parer \u2013 d\u00e8s hier.\u201d<\/p><h2 id=\"aa9u1\"><strong>Comment le z\u00e9ro trust s\u2019inscrit dans les prestations en cybers\u00e9curit\u00e9 d\u2019AGAETIS et NOVENCIA ?<\/strong><\/h2><p>En tant que cabinet de conseil nous sommes toujours en veille d\u2019approches compl\u00e9mentaires \u00e0 nos savoir-faire et nous cherchons en permanence des m\u00e9thodes et solutions pour augmenter le niveau de maturit\u00e9 aux risques cyber de nos clients.<\/p><p>Nos consultants interviennent en amont sur des phases d\u2019audit\/conseil pour \u00e9valuer la pertinence et le plan de charge \u00e0 \u00e9tablir pour \u00eatre en capacit\u00e9 de d\u00e9ployer une approche Zero Trust \u00e0 grande \u00e9chelle.<\/p><p>En septembre nous organisons chez <a   href=\"https:\/\/www.novencia.com\/\">Novencia<\/a> un \u00e9v\u00e9nement autour de la cyber s\u00e9curit\u00e9 o\u00f9 l\u2019approche Zero trust sera d\u00e9taill\u00e9e et nous pr\u00e9senterons des cas d\u2019usages.<\/p><p>\u2192<a   href=\"https:\/\/www.agaetis.fr\/landingpages\/cybersecurite\"> Plus d\u2019informations sur notre offre en cybers\u00e9curit\u00e9<\/a>.<\/p><p><small>Source : <a target=\"_blank\"  href=\"https:\/\/www.agaetis.fr\/lapproche-zero-trust-qui-ou-comment-pourquoi\">agaetis.fr<\/a><\/small><\/p><!-- strchf script --><script>if(window.strchfSettings === undefined) window.strchfSettings = {};window.strchfSettings.stats = {url: \"https:\/\/oxortis.storychief.io\/fr\/l-approche-zero-trust-qui-ou-comment-pourquoi?id=775533286&type=2\",title: \"L\u2019approche Zero Trust, qui, o\u00f9, comment, pourquoi\",id: \"a7237fc8-dcfb-4178-9bd0-807a12a1c38c\"};(function(d, s, id) {var js, sjs = d.getElementsByTagName(s)[0];if (d.getElementById(id)) {window.strchf.update(); return;}js = d.createElement(s); js.id = id;js.src = \"https:\/\/d37oebn0w9ir6a.cloudfront.net\/scripts\/v0\/strchf.js\";js.async = true;sjs.parentNode.insertBefore(js, sjs);}(document, 'script', 'storychief-jssdk'))<\/script><!-- End strchf script -->","_et_gb_content_width":""},"categories":[32,37,24],"tags":[31,34,36,29],"_links":{"self":[{"href":"https:\/\/oxortis.com\/fr\/wp-json\/wp\/v2\/posts\/807"}],"collection":[{"href":"https:\/\/oxortis.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/oxortis.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/oxortis.com\/fr\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/oxortis.com\/fr\/wp-json\/wp\/v2\/comments?post=807"}],"version-history":[{"count":9,"href":"https:\/\/oxortis.com\/fr\/wp-json\/wp\/v2\/posts\/807\/revisions"}],"predecessor-version":[{"id":818,"href":"https:\/\/oxortis.com\/fr\/wp-json\/wp\/v2\/posts\/807\/revisions\/818"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/oxortis.com\/fr\/wp-json\/wp\/v2\/media\/809"}],"wp:attachment":[{"href":"https:\/\/oxortis.com\/fr\/wp-json\/wp\/v2\/media?parent=807"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/oxortis.com\/fr\/wp-json\/wp\/v2\/categories?post=807"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/oxortis.com\/fr\/wp-json\/wp\/v2\/tags?post=807"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}