Zero Trust : comment concilier expérience utilisateur et sécurité ?

Les entreprises de toutes tailles accordent une grande importance à la sécurité des données dans le contexte numérique actuel. Les entreprises font face à une augmentation du nombre de cyberattaques, de plus en plus complexes et sophistiquées, et les mesures de protection classiques ne sont tout simplement plus suffisantes.

Il existe un concept en plein essor que peu connaissent, permettant de réduire drastiquement les surfaces d'attaques : le concept du Zero Trust. Cependant, augmenter la sécurité est indispensable, mais cela ne doit pas pénaliser l'usage. Un défi auquel énormément d'entreprises sont confrontées : comment réussir à concilier cette approche de Zero Trust axée sur la sécurité, tout en préservant l'expérience utilisateur.

Les grands principes du Zero Trust

Le Zero Trust est une méthode de sécurité qui remet en cause l'idée classique que certains utilisateurs appartenant à un certain périmètre sont considérés comme fiables par défaut et que leurs exigences en matière de sécurité seront moins exigeantes que celles à l'extérieur du périmètre.

Dans de nombreuses entreprises, par exemple, les employés qui sont connectés au réseau interne de l'entreprise sont perçus comme dignes de confiance, tandis que les utilisateurs externes ne le sont pas.

En revanche, le concept de Zero Trust repose sur le fait que la menace peut provenir de l'intérieur comme de l'extérieur. Aucune entité (utilisateur, appareil, application etc..) ne doit être considérée digne de confiance. C'est la raison pour laquelle il ne faut faire confiance à personne, d'où le terme « Zero Trust ».

Pour une meilleure compréhension, voici les principes clés du Zero Trust :

1. Vérification stricte de l'identité : tous les utilisateurs et appareils doivent être authentifiés et vérifiés avant d'accéder au réseau ou aux ressources.

2. Principe du moindre privilège : les utilisateurs n'ont accès qu'aux ressources nécessaires pour effectuer leurs tâches, réduisant ainsi la surface d'attaque potentielle.

3. Surveillance continue : la surveillance en temps réel des activités sur le réseau est essentielle pour détecter les comportements suspects et répondre rapidement aux menaces potentielles.

4. Sécurisation des données : les données sont chiffrées et protégées, même lorsqu'elles sont en transit à l'intérieur ou à l'extérieur du réseau.

Imaginez votre infrastructure informatique comme un système de contrôle d'accès à un parc d'attractions. Chaque utilisateur est un éventuel visiteur, et chaque attraction représente une ressource ou une application.

Au lieu de permettre aux visiteurs de se déplacer librement dans le parc avec un billet préalablement validé à l'entrée principale, chaque attraction doit demander un billet spécifique pour y accéder. Ainsi, seules les personnes ayant le billet adéquat peuvent bénéficier de l'attraction. Cela garantit la sécurité du parc, tout en proposant une expérience sur mesure pour chaque visiteur.

Les enjeux de l'expérience utilisateur

Si l'idée du Zero Trust propose un niveau de sécurité inégalé, elle peut présenter une expérience utilisateur plus complexe. Parfois, la productivité et la convivialité peuvent être affectées par des contrôles de sécurité supplémentaires, comme l'authentification à plusieurs facteurs et les restrictions d'accès basées sur les politiques.

Par exemple, il est possible que les employés éprouvent de la frustration lorsqu'ils doivent saisir un code d'authentification à chaque fois qu'ils accèdent à une application ou à des fichiers confidentiels.

De plus, en reprenant l'exemple du parc d'attractions, il peut être très contraignant pour le visiteur de posséder un billet distinct pour chaque attraction et de présenter un nouveau billet à chaque fois. Selon une étude réalisée par Dell, Security Magazine et BitDefender affirment que jusqu'à 90% des employés ont déclaré que des mesures de sécurité trop contraignantes avaient un impact négatif sur leur productivité et leurs performances au travail.

Afin de concilier l'expérience des utilisateurs avec le Zero Trust, il est crucial que les entreprises trouvent un équilibre entre sécurité et simplicité d'utilisation. Voici quelques méthodes pour atteindre cet objectif.

Utiliser l'authentification adaptative. Plutôt que d'imposer les mêmes niveaux d'authentification à tous les utilisateurs, l'authentification adaptative examine le contexte de la connexion (comme la localisation, le type d'appareil, le comportement et les habitudes de l'utilisateur) afin de déterminer le niveau de sécurité adéquat nécessaire. Certaines technologies font même appel à l'Intelligence Artificielle pour analyser ce contexte. Chaque authentification entraîne le calcul d'un score, et si le score est inférieur à un seuil préétabli, un deuxième facteur est demandé à l'utilisateur.

Utiliser l'authentification sans mot de passe (Passwordless). Les technologies telles que la biométrie et l'authentification sans mot de passe peuvent simplifier l'authentification, tout en renforçant la sécurité.

Sensibiliser les utilisateurs. La sensibilisation des utilisateurs à la sécurité revêt une importance capitale et peut leur permettre de comprendre l'importance des mesures de sécurité supplémentaires.

Impliquer les utilisateurs dans le processus. Donner la possibilité à l'utilisateur de choisir son moyen d'authentification préféré.

Le Zero Trust est un progrès significatif dans la façon dont les entreprises gèrent la sécurité de leurs données, en accordant une importance particulière à la protection proactive et la réduction des risques. Néanmoins, pour garantir son efficacité à long terme, il est primordial de considérer l'expérience utilisateur et de trouver un juste équilibre entre la sécurité et l'expérience utilisateur.

Certains éditeurs spécialisés en IAM s'efforcent de proposer des solutions sécurisées et agréables en intégrant notamment la possibilité de configurer l'authentification adaptative. Parmi eux, on trouve Okta, PingIdentity, Microsoft, Ilex, etc.

Florian Theault, Consultant sécurité Identité Numérique - Synetis.