{ Tribune Expert } - L'essentiel sur la stratégie Zéro Privilège Permanent

La stratégie du Zéro privilège permanent repose sur un objectif clair : qu'aucun utilisateur ne dispose d'aucune autorisation tant que celle-ci n'a pas été demandée et validée. Afin de mieux comprendre les enjeux et les modalités pour le déploiement de cette approche dans la stratégie de sécurité en entreprise, les dirigeants et les décisionnaires doivent se poser les bonnes questions.

Zéro privilège permanent : définition et réflexion

Il s'agit d'un principe de sécurité qui préconise la suppression intégrale des privilèges persistants des utilisateurs au sein d'une entreprise. En d'autres termes, tout accès demandé est fourni selon un mécanisme « just in time ». Ainsi, toute identité non utilisée n'a pas de droits jusqu'à ce qu'elle soit activée par un utilisateur et autorisée du fait d'une politique ou d'un système automatisé puis ces droits sont automatiquement révoqués.

Le déploiement de l'approche Zéro privilège permanent vient s'ajouter aux solutions de gestion des accès à privilèges (PAM) en proposant une couche supplémentaire de réduction des risques. Contrairement aux méthodes conventionnelles, cette approche s'applique indépendamment des comptes gérés par une plateforme PAM, contrôlant l'accès par le biais d'autorisations et de droits plutôt que selon une logique d'appartenance des comptes.

Les systèmes de contrôle « just in time » insuffisants ?

Ces systèmes constituent un élément précieux de toute stratégie de sécurité lorsqu'ils répondent efficacement aux attentes. Toutefois, les solutions « just in time » peuvent être très variables les unes des autres, chacune nécessitant des niveaux d'efforts très disparates pour être mises en oeuvre, avec des résultats inégaux dans la réduction des risques. C'est tout l'intérêt de l'approche Zéro privilège permanent dont la logique de gestion est plus fine, ce qui change radicalement l'appréhension de la nature dynamique des exigences actuelles en matière de sécurité.

Cette approche présente effectivement quelques points communs avec les contrôles « just in time » dont le concept consistant à n'accorder l'accès qu'en cas de besoin. Toutefois, l'approche Zéro privilège permanent affine ce principe en intégrant des contrôles basés sur le temps, les droits et les autorisations (TEA) qui permettent une gestion plus précise des sessions d'utilisateurs. Cette approche simplifie l'analyse comparative en présence de droits permanents.

Mythes et réalités sur le Zéro privilège permanent

Dans un marché très concurrentiel, il existe des mythes tenaces sur cette stratégie, et des réalités à prendre en compte lors de l'élaboration d'un programme de sécurité des identités optimal. Il est essentiel de faire la part entre ces mythes et ces réalités pour prendre des décisions en connaissance de cause et déployer des mesures de sécurité efficaces.

Le Zéro privilège permanent ne nécessite pas de sécuriser le stockage des identifiants et de gérer leur rotation régulière. En réalité, l'adoption de cette approche réduit les risques, mais les comptes à privilèges et les identifiants seront toujours nécessaires et devront toujours être sécurisés.

Par exemple, une panne majeure survenue cet été a provoqué de lourdes pertes, lorsqu'une mise à jour logicielle défectueuse a mis des millions d'appareils Windows dans le monde entier hors de service. De nombreuses entreprises ont alors dû se tourner vers des comptes de dernier ressort possédant un accès à privilège permanent pour redémarrer leurs systèmes et relancer leurs opérations informatiques. Ces comptes et identifiants à privilèges, dont beaucoup sont gérés de manière sécurisée par des solutions PAM, étaient essentiels pour assurer le rétablissement des fonctionnalités internes et des services B2C. Sans ces comptes d'urgence, les pannes provoquées par CrowdStrike et les coûts associés auraient pu être encore plus importants. La gestion sécurisée des identifiants sera donc toujours nécessaire.

Dans les environnements cloud, certains comptes et identifiants à privilèges ne pourront jamais être remplacés. Il incombe donc aux entreprises de les protéger avec des politiques de mots de passe complexes, la mise en place d'une authentification multifacteurs (MFA) ainsi que des processus de contrôle à double validation.

Toutes les entreprises doivent adopter de bonnes pratiques en matière de sécurité des identités afin d'utiliser moins de comptes et d'identifiants partagés ayant un niveau d'accès à privilèges élevés. L'adoption d'une approche Zéro privilège permanent est une mesure efficace pour réduire les risques, mais il ne sera jamais possible de se passer entièrement de ces identités, indispensables pour configurer les environnements de développement cloud et logiciels, ainsi qu'en cas de scénarios d'urgence.

Le Zéro privilège permanent : la fin de l'isolation des sessions et des contrôles de gestion des accès à privilèges post-authentification.

Même sans privilèges permanents, les entreprises doivent disposer d'une défense en profondeur afin de réduire le risque de menaces internes et de mouvements latéraux.

L'adoption des approches « just in time » et Zéro privilège permanent ainsi que l'authentification sans mot de passe peuvent contribuer à minimiser le risque de vol de mots de passe et autres identifiants. Cependant, les programmes de sécurisation des identités doivent prévoir des mesures supplémentaires de type PAM pour se protéger contre les menaces internes et la propagation de malwares et de rançongiciels.

C'est pourquoi il est essentiel non seulement de valider les tentatives d'accès à privilèges avec des systèmes de MFA adaptative, mais aussi de mettre en oeuvre des contrôles de défense en profondeur après la connexion (comme l'isolation des sessions) qui empêche la propagation des logiciels malveillants ou le filtrage des commandes dans les sessions à privilèges pour réduire les risques internes.

L'élimination des privilèges permanents s'annonce comme une stratégie essentielle pour renforcer la sécurité des identités et réduire la surface d'attaque des entreprises. En adoptant une approche de privilèges "just in time" et en intégrant des mécanismes de contrôle rigoureux, les organisations peuvent minimiser les risques liés aux accès excessifs tout en garantissant la fluidité des opérations. Dans un écosystème numérique en perpétuelle évolution, il est crucial de disposer de solutions flexibles et évolutives, capables de s'adapter aux infrastructures hybrides et aux nouvelles menaces émergentes. L'avenir de la cybersécurité reposera sur une orchestration intelligente des accès, combinant automatisation, intelligence artificielle et Zero Trust, afin d'assurer une protection continue sans compromettre la productivité des utilisateurs.

* Jean-Christophe Vitu est VP Solutions Engineer chez CyberArk