Les quatre mythes du Zero Trust

Le modèle de sécurité « Zero Trust » repose sur le principe « ne jamais faire confiance, toujours vérifier ».

Il s’agit d’une stratégie de sécurité dynamique visant à renforcer la cyber-résilience, qui part du principe que les menaces peuvent exister aussi bien à l’extérieur qu’à l’intérieur du réseau, éliminant ainsi l’approche traditionnelle basée sur la confiance qui se concentre uniquement sur les menaces externes.

Le modèle est né parce que le modèle de confiance permet aux charges de travail malveillantes, qui contournent inévitablement le pare-feu, de se déplacer librement au sein du réseau et d’accéder aux données de grande valeur d’une organisation.

Cette prise de conscience a conduit au développement d’un modèle qui élimine le concept de « confiance » dans les systèmes numériques, les organisations se rendant vulnérables aux violations de données, aux menaces internes et à une visibilité et un contrôle limités.

Depuis plus de dix ans, le Zero Trust est un sujet de discussion majeur dans le domaine de la sécurité de l’information. Aujourd’hui, la situation est plutôt positive, car les organisations de tous les secteurs d’activité ont adopté le modèle de confiance zéro.

Une étude de Forrester a révélé que 72 % des décideurs en matière de sécurité dans les grandes entreprises envisagent de lancer une initiative de confiance zéro ou l’ont déjà fait. Toutefois, un certain nombre de facteurs et d’idées fausses ralentissent cette évolution.

Mythe 1 : le Zero Trust rend un système « fiable »

Dans le contexte de la confiance zéro, il ne s’agit pas de rendre les systèmes fiables, mais d’éliminer le concept de « confiance » de tous les systèmes informatiques.

Toutes les interfaces doivent avoir la même confiance : zéro ! Cela signifie que l’équipe accorde à chaque utilisateur, interface réseau et appareil le même niveau de confiance par défaut : zéro.

La confiance concerne exclusivement les individus et non les environnements numériques. Les informations d’identification sont susceptibles d’être compromises, les réseaux sont susceptibles d’être piratés et des personnes internes malveillantes occupent souvent des postes de confiance.

Lorsqu’un acteur externe malveillant accède au réseau interne, il devient automatiquement un « initié de confiance ». Cela lui permet d’exploiter le modèle de confiance à des fins malveillantes.
Par conséquent, il est impossible de s’assurer que la source du trafic réseau est réellement « digne de confiance » : une identité revendiquée n’est qu’une revendication, et non la vérification d’une personne.

Dans les cas des violations de données Snowden et Manning, il s’agissait d’utilisateurs « de confiance » qui utilisaient des appareils « de confiance ». Ils disposaient des niveaux de correctifs corrects et des correctifs mis à jour sur leurs appareils.

Le réseau qu’ils ont compromis disposait de systèmes d’identité robustes et d’une authentification multifactorielle forte. Mais personne n’a vérifié les paquets après l’authentification. Ils ont exploité le « modèle de confiance » des réseaux gouvernementaux sur lesquels ils avaient des références.

Mythe 2 : le Zero Trust est une question d’identité

De nombreuses personnes commettent l’erreur de penser qu’une fois l’identité en place, elles ont achevé leur parcours de confiance zéro, mais ce n’est pas le cas. L’identité est consommée dans le cadre de la confiance zéro par le biais d’une politique, mais il y aura toujours un moyen de contourner l’identité.

La confiance zéro reconnaît que le périmètre de sécurité traditionnel est devenu obsolète, mais considérer l’identité comme le nouveau périmètre est problématique. Bien qu’il soit nécessaire de valider les attributs d’identité du paquet, nous ne pouvons pas utiliser ce seul point de données pour déterminer l’accès à une ressource. Un contrôle d’accès adéquat requiert des critères multiples.

Les organisations ont plutôt besoin d’une approche holistique qui incorpore des données contextuelles, telles que l’heure de la journée, le type d’appareil, les contrôles de posture et les évaluations des risques.

Dans un contexte de confiance zéro, les cinq questions suivantes doivent être posées : Qui doit avoir accès à quelle ressource ? Quand cet accès doit-il être autorisé ? Où se trouve la ressource (la surface de protection) ? Pourquoi avons-nous mis en place cette politique (balises, étiquettes, classification des données ou autres métadonnées utiles) ? et enfin, comment examinons-nous le paquet pour décider si nous l’autorisons à accéder à la ressource ? C’est ce qu’on appelle la méthode Kipling.

Le contexte ne doit pas être ignoré lorsqu’une organisation discute du contrôle d’accès. L’identité doit être prise en compte, puis des marqueurs contextuels avancés doivent être ajoutés pour garantir un accès sécurisé.

Mythe 3 : Il existe des produits de Zero Trust

La confiance zéro n’est pas un produit, c’est une stratégie, qui offre une grande flexibilité car elle se concentre sur ce que l’organisation essaie de protéger, plutôt que sur la technologie.

Il est important de noter que dans le cadre du Zero Trust, la stratégie et les tactiques sont découplées de par leur conception, car la stratégie ne change pas, mais les technologies s’améliorent de plus en plus au fil du temps.

Cela signifie que les équipes de sécurité peuvent utiliser de nombreux outils pour mettre en œuvre des infrastructures de sécurité de confiance zéro. Cela signifie également que cette dernière ne nécessite pas une refonte complète des systèmes de sécurité existants.

Au contraire, la technologie actuelle peut être utilisée pour soutenir le réflexe de la confiance zéro, en ajoutant de nouveaux outils si nécessaire.

Mythe 4 : le Zero Trust est trop difficile

Si elle est bien appliquée, la confiance zéro réduit en fait la complexité de la cybersécurité. En effet, cette approche est triple : incrémentale (une surface de protection à la fois), itérative (une surface de protection à la fois) et non perturbatrice (une seule surface de protection est le plus grand système qui peut être contesté à un moment donné).

Les organisations devraient s’efforcer d’acquérir une certaine maturité en se concentrant sur leurs surfaces de protection les plus sensibles, au lieu d’essayer de tout faire en même temps, faute de quoi elles ne feront jamais de progrès significatifs.

Gérer le Zero Trust

La confiance zéro est une stratégie préconisée par les gouvernements et les régulateurs comme étant la seule véritable solution pour atténuer l’impact des cyberattaques sophistiquées. Elle rend très difficile la compromission d’un système et vise à détruire le mythe répandu dans le secteur de la sécurité selon lequel les équipes de cybersécurité doivent empêcher toutes les intrusions, une mission qui est tout simplement irréalisable.

Le Zero Trust n’empêche pas les intrusions, mais les violations de données, que des réglementations telles que le RGPD  définissent comme la suppression non autorisée de données sensibles du réseau. C’est indéniablement la meilleure stratégie de sécurité pour les environnements modernes qui sont devenus de plus en plus complexes, distribués et sans périmètre.

Il est essentiel de démystifier les mythes sur la confiance zéro pour aider les organisations à les comprendre et à y remédier, afin d’aider les équipes à améliorer leur posture de sécurité et à mettre en œuvre le Zero Trust de manière plus efficace.

John Kindervag - Fondateur de Zero-Trust, Evangéliste en chef - Illumio.