Ce que les DSI doivent savoir sur le modèle Zero Trust

De nombreux DSI pensent à tort qu'ils peuvent conserver leur infrastructure de sécurité informatique existante et y introduire une protection Zero Trust. Or, il est essentiel de moderniser son approche pour exploiter tout le potentiel du modèle Zero Trust.

Les DSI doivent apprendre à s'en remettre à cette approche stratégique de la sécurité et, à terme, dire adieu une fois pour toutes au matériel de sécurité traditionnel.

La première chose qu'un DSI doit comprendre au sujet du modèle Zero Trust, c'est qu'il ne s'agit pas d'un produit, mais d'une approche stratégique de la sécurité.

C'est en 2010 que Forrester a proposé pour la première fois le concept de Zero Trust en matière de sécurité informatique. Depuis, l'idée initiale a été développée par d'autres acteurs ; Google a étoffé le concept dans sa stratégie « Beyond Corp » de 2014, et des améliorations ont été apportées par Gartner et le National Institute of Standards and Technology (NIST) à partir de 2017.

C'est le NIST qui a inventé l'acronyme ZTA (Zero Trust Architecture), et l'agence américaine a publié des documents d'orientation qui décrivent en détail cette approche novatrice, fondamentalement différente de la protection périmétrique traditionnelle.

Un indispensable changement de mentalité

Dans la configuration de sécurité traditionnelle, basée sur le datacenter, les appliances matérielles étaient empilées dans des racks. Chaque nouveau besoin en matière de sécurité se traduisait par une nouvelle appliance de sécurité, et les entreprises finissaient par s'empêtrer dans un réseau complexe de pare-feu, de passerelles VPN, d'équilibreurs de charge et de protection contre le déni de service. Au fil des ajouts de composants, l'infrastructure devenait de plus en plus difficile à gérer.

Lorsque les datacenters ont migré dans le Cloud, ces concepts ont souvent été transférés dans le monde virtuel et mis en oeuvre dans toutes les zones du Cloud ou avec des partenaires multicloud. Cette approche n'a pas seulement augmenté la complexité et fait grimper en flèche le nombre d'instances de sécurité ; elle a également accru le risque lié à la surface d'attaque de l'organisation, car un grand nombre de ces composants étaient visibles en ligne et donc vulnérables aux attaques.

Le modèle Zero Trust, de son côté, réduit la complexité et « dissimule » les systèmes pour réduire le risque d'attaque.

Du fait de l'évolution vers le Cloud et les modèles de travail hybride, les données et les applications ne sont plus uniquement hébergées dans des datacenters, et les employés ne sont plus cantonnés aux réseaux de l'entreprise : ils doivent pouvoir accéder à leur travail partout où ils se trouvent.

Par conséquent, le Zero Trust ne commence pas par la connexion des utilisateurs au réseau traditionnel de l'entreprise. Son objectif est plutôt de fournir une connexion sécurisée et performante aux applications dont l'employé a besoin, sans que l'utilisateur soit nécessairement présent sur le réseau, et que l'application soit hébergée dans un datacenter ou dans un environnement multicloud.

De nos jours, il est facile pour les DSI de se poser en facilitateurs de la transition vers le Cloud, car les environnements multicloud font désormais partie du quotidien. Mais le retard à rattraper est considérable en ce qui concerne la transformation de la sécurité qui va de pair avec l'évolution de notre façon d'accéder aux applications et de structurer nos lieux de travail, et cela exige de repenser fondamentalement la sécurité.

Il convient alors de considérer les points ci-dessous et de réfléchir à ce que le modèle Zero Trust pourrait apporter à toute entreprise :

Simplifier ou moderniser ?

Tout comme le passage des moteurs thermiques à la mobilité électrique, l'adoption d'une approche entièrement fondée sur le Zero Trust exige un changement fondamental de mode de pensée.

Délaisser progressivement l'infrastructure de sécurité centrée sur le réseau, dont la mise en place a pris de nombreuses années, demande beaucoup de courage. Il n'est donc pas surprenant que de nombreux DSI tentent d'abord de mettre à niveau leur infrastructure existante pour répondre à l'évolution des besoins.

Mais essayer de combiner le modèle Zero Trust avec le matériel de sécurité traditionnel ne fait que déplacer les problèmes sans jamais vraiment les résoudre, tout comme lorsqu'on déplace les faiblesses existantes vers le Cloud au lieu de s'attaquer à leur cause profonde.

Les performances et l'expérience utilisateur fournies par les VPN traditionnels et l'architecture réseau en étoile ne peuvent égaler les niveaux de sécurité et de performance atteints par l'accès Zero Trust aux applications. Le Zero Trust rend les VPN, souvent associés à des performances médiocres et à des risques de sécurité accrus, complètement obsolètes.

Le matériel de sécurité traditionnel progressivement éliminé peut être remplacé par un modèle simplifié offrant des services de sécurité et une plate-forme de gestion centralisée. Les salles surchargées d'appliances - et toute la complexité administrative qu'elles entraînent - sont reléguées au passé grâce à une approche Security Service Edge (SSE) basée sur le Cloud et fondée sur les principes du Zero Trust.

Les logiciels légers sur le client, et adjacents au serveur dans le datacenter ou dans le Cloud, remplacent les anciens empilements d'appliances et garantissent l'intermédiation de tous les flux de données, droits d'accès et politiques sur une seule plate-forme de sécurité.

Autrement dit, le Zero Trust réduit le besoin de maintenance et, par conséquent, les dépenses opérationnelles. Le résultat ? Le Zero Trust remplace la complexité d'hier par une nouvelle approche de la sécurité facile à gérer qui se concentre sur l'administration des règles d'accès aux applications, la surveillance des flux de données et la prévention des accès non désirés aux données ou leur divulgation non autorisée.

Protection des investissements ou transformation à valeur ajoutée ?

Ce changement radical peut, dans un premier temps, être difficile à accepter pour les équipes en charge des réseaux et de la sécurité, et ce jusqu'au niveau du DSI, car la protection des investissements est toujours une priorité. Les entreprises veulent voir leurs investissements dans le matériel de sécurité et la formation du personnel informatique porter leurs fruits. Souvent, les durées d'amortissement doivent être arrivées à leur terme et les analyses de rentabilité menées à bien avant que de nouvelles approches ne soient évaluées.

Le DSI doit également comprendre la transformation du modèle commercial qui doit inévitablement s'opérer lorsque l'infrastructure est externalisée. Les administrateurs informatiques vont devoir acquérir de nouvelles compétences, et le mode de fonctionnement centralisé autour d'une plate-forme consolidera sensiblement le modèle commercial.

L'approche ZTA donne aux équipes de sécurité une visibilité sur tous les flux de données dans une console de gestion unique. Cela ouvre la voie à une transformation digitale sécurisée, car même les environnements OT ou IIoT traditionnels peuvent être sécurisés par le modèle Zero Trust.

Cette approche globale offre non seulement aux utilisateurs un accès à distance aux applications, mais elle fournit également une interface pour connecter des technologies ou des parties externes et permet à ces dernières d'accéder aux environnements de production pour effectuer la maintenance.

Infrastructure exposée en ligne ou vulnérabilité moindre aux attaques ?

Le résultat le plus important que l'on puisse tirer de la mise en oeuvre du Zero Trust (outre un accès performant et sécurisé aux applications) est l'élimination efficace de la surface d'attaque externe. Une infrastructure traditionnelle composée de pare-feu, de proxies et de passerelles VPN doit être exposée en ligne pour pouvoir fonctionner ; or, ce mode de fonctionnement la rend également vulnérable aux attaques.

Au cours des deux dernières années, nous avons tous été témoins de la vulnérabilité des infrastructures et des services Web lorsque des cybercriminels diffusent des malwares pour exploiter les maillons faibles exposés sur Internet. Mais les attaquants ne peuvent exploiter ce qu'ils ne voient pas. La vulnérabilité Log4J n'est qu'un exemple de problème de sécurité qui a provoqué une panique générale au sein des équipes informatiques du monde entier, qui se sont empressées de corriger les

systèmes concernés. Les organisations déployant le modèle Zero Trust, quant à elles, ont pu se permettre d'adopter une approche plus décontractée, en prenant le temps de décider de la réponse à donner. Bien entendu, la vulnérabilité les a également touchées, mais comme leurs systèmes n'étaient pas exposés en ligne, elles ont pu mettre à jour les serveurs concernés à leur rythme, sans se soucier de trouver le maillon faible avant les hackers.

Une architecture Zero Trust offre une protection efficace contre les attaques de ransomware car elle remédie également à d'autres vulnérabilités susceptibles d'être exploitées par les pirates. En particulier, elle empêche efficacement les attaquants de se déplacer latéralement entre les systèmes, passant du système infecté à la cible suivante.

Cette approche a un effet similaire à celui de la micro- ou de la nano-segmentation, qui relie directement l'utilisateur à son application pour éviter que d'autres systèmes ne soient infectés et, par extension, empêcher les cybercriminels de provoquer des pannes système à grande échelle.

Le Zero Trust : d'une responsabilité opérationnelle à un rôle moteur

Par rapport à l'ère pré-transformation digitale et pré-cloudification de l'informatique, les DSI d'aujourd'hui jouent un rôle totalement différent dans leurs entreprises. Leur travail ne consiste plus seulement à préserver le bon fonctionnement de l'infrastructure informatique. Il s'agit d'atteindre les objectifs de l'entreprise, l'informatique étant alors souvent perçue comme un élément facilitateur. L'importance du nouveau rôle de l'informatique s'est révélée à nous tous au début de la pandémie.

Les équipes informatiques ont dû assumer la double tâche de maintenir les opérations à flot tout en optimisant les processus métier à l'heure où les employés quittaient en masse le bureau pour travailler à domicile suite aux différentes phases de confinement. En constatant qu'au-delà du fait de fournir un accès à distance sécurisé et performant à tous les systèmes, l'informatique contribuait également à la transformation du coeur de métier de l'entreprise, les dirigeants ont naturellement commencé à prendre conscience de son intérêt vital.

Le domaine des fusions et acquisitions met lui aussi en évidence les raisons pour lesquelles l'informatique - et le modèle Zero Trust - font une telle différence pour les entreprises. Lorsqu'une entreprise en acquiert une autre, le retour sur investissement est un paramètre essentiel de la création de valeur. Pour que cela fonctionne, deux structures informatiques totalement distinctes doivent fusionner pour permettre une communication bilatérale sécurisée, et ce, de manière aussi rapide et sûre que possible. Une plate-forme d'échange Zero Trust peut fournir un accès sécurisé aux applications dédiées d'un autre réseau dès le premier jour.

Par exemple, le progiciel de gestion SAP ou Oracle ou le progiciel RH peuvent être mis à disposition en premier ; un groupe d'employés peut bénéficier d'un accès sécurisé, basé sur des règles, au système dont il a besoin en utilisant la technologie Zero Trust, sans qu'il soit nécessaire de relier des réseaux ou des domaines AD. Plus tard, le jour J, une fois le contrat entre les deux entreprises finalisé, l'informatique pourra facilement élargir l'accès aux applications. Les employés peuvent travailler en toute sécurité via la plate-forme d'échange Zero Trust, sans qu'aucune des parties ne soit directement connectée au réseau de l'autre entreprise.

Le transfert des applications vers le Cloud et le modèle SaaS font désormais partie du quotidien, mais la transformation de la sécurité reste à la traîne. Opter pour un modèle Zero Trust basé sur une plate-forme est un moyen de protéger intégralement tous les actifs numériques d'une entreprise et de permettre une transformation sécurisée des processus métier. Toute plate-forme Zero Trust moderne, en mode Cloud, est continuellement améliorée, ce qui garantit de pouvoir effectuer rapidement toute adaptation nécessaire et de fournir une solution durable et à long terme, pour ainsi offrir une multitude d'avantages à ses utilisateurs.

Christoph Heidler, - Zscaler.