Tout ce qu’il faut savoir sur le Zero Trust

« Ne jamais faire confiance ; toujours vérifier. » Voici la philosophie au cœur du modèle Zero Trust, qui marque une rupture par rapport au modèle précédent : « Faire confiance, mais vérifier. » À l’heure où les cybercriminels emploient des méthodes de plus en plus sophistiquées, les entreprises changent de référentiel de sécurité et s’éloignent du modèle centré sur le réseau pour adopter une approche qui donne la priorité aux identités. Le Zero Trust part du principe que chaque tentative d’accès aux ressources numériques de l’entreprise provient d’un cybercriminel, jusqu’à preuve du contraire.

Mais en quoi le Zero Trust consiste-t-il précisément ? Ce guide complet vous propose une réponse détaillée et développe les principes qui régissent son architecture. Nous commencerons par définir le Zero Trust et par expliquer son importance dans les projets modernes de transformation numérique. Nous aborderons ensuite son histoire en présentant les grands cadres et les principales normes à son origine. Nous explorerons également quelques cas d’utilisation, sa mise en œuvre, ses avantages, ainsi que les bonnes pratiques associées. Nous répondrons enfin aux questions récurrentes au sujet du Zero Trust.

Présentation du Zero Trust

Le modèle Zero Trust part du principe que toutes les tentatives d’accès aux ressources informatiques de l’entreprise sont malveillantes jusqu’à preuve du contraire, ce qui marque une différence fondamentale par rapport aux écoles de pensée précédentes.

Définition du Zero Trust

Fondé par des analystes de sécurité de Forrester, le Zero Trust est un modèle de sécurité qui vise à protéger les données, les services, les applications et les autres ressources informatiques d’une entreprise. Ce référentiel de sécurité de bout en bout impose l’authentification, l’autorisation et la validation continue à chaque étape du processus qui permet aux utilisateurs d’accéder aux données, aux applications ou aux services de façon temporaire ou plus durable. Autre caractéristique du Zero Trust : le cadre de sécurité est purement établi au niveau des identités, sans tenir compte d’une quelconque périphérie réseau.

Importance du Zero Trust dans les projets modernes de transformation numérique

Le Zero Trust joue aujourd’hui un rôle critique dans l’avancement des projets de transformation numérique des entreprises. À l’heure de la migration vers le cloud et du télétravail, accéder au réseau est devenu un jeu d’enfant pour les cybercriminels, qui disposent d’un foisonnement de données une fois les défenses pénétrées. Le Zero Trust se départit des modèles de sécurité du réseau basés sur les accès pour s’orienter vers un modèle basé sur les identités, en mettant l’accent sur la validation constante des utilisateurs, même lorsqu’ils se trouvent déjà sur le réseau.

Autre avantage du modèle de sécurité Zero Trust : son exceptionnelle granularité. Les exigences de validation continue permettent de mettre en place une microsegmentation plus fine sur chaque couche de vos processus métiers. Cette segmentation détaillée aide les équipes de sécurité à atténuer les dégâts subis en cas de violation en limitant les capacités de déplacement latéral des cybercriminels. Résultat : la surface d’attaque de l’entreprise reste minime, ce qui contient les dégâts potentiels en cas d’attaque d’envergure par ransomware, par exemple.

Normes et référentiels Zero Trust

L’architecture réseau Zero Trust (ZTNA) s’appuie sur des référentiels, des politiques, des contrôles et des normes de sécurité propres à chaque pays. Les politiques et protocoles spécifiques déployés varient selon l’entreprise. Toutefois, la plupart d’entre eux sont guidés par des initiatives publiques, dont celles créées par le National Institute of Standards and Technology (NIST) aux États-Unis et le décret présidentiel Zero Trust signé par Joe Biden.

NIST 800-207 : le mètre étalon du Zero Trust

La principale norme du Zero Trust est le document NIST 800-207. On la considère comme le référentiel Zero Trust le plus complet et le plus agnostique du secteur. Elle a été conçue pour aider les entreprises de toutes tailles à mettre en œuvre les solutions Zero Trust dans leur contexte propre. Elle inclut des éléments issus du cadre Zero Trust eXtended (ZTX) de Forrester et du cadre Continuous Adaptive Risk and Trust Assessment (CARTA) de Gartner, qui complètent la définition et les principes du Zero Trust de NIST. Le NIST 800-207 décrit les tactiques et stratégies requises pour établir votre réseau Zero Trust : n’hésitez pas à vous y référer régulièrement et au plus tôt dans votre projet d’implémentation.

Décret présidentiel imposant l’adoption du Zero Trust au sein des agences fédérales des États-Unis

En 2021, le président Biden a signé un décret présidentiel imposant le respect de la norme NIST 800-207 à toutes les agences fédérales pour leur propre implémentation Zero Trust. L’objectif : accroître la collaboration entre clients commerciaux, fournisseurs et agences gouvernementales. L’harmonisation des pratiques de chacun permet en effet une intégration plus fluide et une meilleure conformité.

En 2022, l’administration Biden est allée encore plus loin en proposant sa propre stratégie d’architecture Zero Trust. Les organisations qui collaborent avec les agences gouvernementales doivent se reporter à la fois au décret présidentiel et à la proposition d’architecture Zero Trust pour s’assurer qu’elles répondent à toutes les exigences qui y sont décrites.

Fondamentaux du Zero Trust selon les directives NIST

Le NIST 800-207 fournit un référentiel exhaustif pour l’implémentation d’un réseau Zero Trust, mais les grands principes sous-jacents sont relativement simples :

• Vérification continue : Le Zero Trust impose que les accès soient vérifiés pour tous les utilisateurs, toutes les ressources et toutes les tentatives d’accès au réseau.
• Atténuation de la portée d’éventuelles attaques : Le Zero Trust cherche à atténuer les dégâts découlant d’une éventuelle violation, qu’elle soit le fruit d’un acteur interne ou externe.
• Automatisation de la contextualisation et de la réponse : Dans l’optique d’assurer la réponse la mieux adaptée en cas de tentative d’accès, le Zero Trust incorpore au stack IT des données comportementales concernant toutes les autres ressources. Ainsi, l’accès peut être accordé en bénéficiant d’un contexte le plus précis possible.

Pour composer leur propre politique Zero Trust, il est conseillé aux entreprises de s’appuyer sur ce socle théorique et de consulter le NIST 800-207, la stratégie d’architecture Zero Trust de l’administration Biden, ainsi que les différentes normes sectorielles applicables.

Implémentation du Zero Trust

Si les principes qui sous-tendent le Zero Trust sont relativement simples, la mise en œuvre d’une architecture Zero Trust peut s’avérer bien plus complexe. Les entreprises doivent faire appel à un ensemble de technologies de pointe conçues pour surveiller et valider en continu les accès, mais sans compromettre l’expérience utilisateur. Elles pourront alors s’éloigner des processus traditionnels de sécurité réseau pour adopter une approche plus moderne.

Technologies à exploiter

La création d’une infrastructure Zero Trust passe par l’exploitation de multiples technologies. Par exemple :

• L’authentification multifacteur (MFA) basée sur le risque, qui valide l’identité des utilisateurs en utilisant plusieurs critères (biométrie, code temporaire, CAPTCHA, etc.).
• La protection des identités, qui emploie la gestion des identités et des accès (IAM) et le principe de moindre privilège pour protéger les identités des utilisateurs et réduire le risque d’accès non autorisé.
• Les solutions de sécurité des terminaux de nouvelle génération, qui assurent la sécurité des appareils physiques (ordinateurs portables, tablettes ou dispositifs IoT, par exemple).
• Les technologies de protection des workloads cloud, qui sécurisent les ressources hébergées dans le cloud.

En plus de ces technologies, le Zero Trust utilise également le chiffrement des données, la surveillance de la messagerie, ainsi qu’une multitude d’outils conçus pour assurer la bonne hygiène des ressources et des terminaux.

Rupture avec la sécurité traditionnelle des réseaux

Une stratégie de sécurité Zero Trust complète doit regarder plus loin que le simple horizon technologique. Elle doit faire progresser les processus de sécurité de toute l’entreprise, tant au niveau des personnels que des politiques. Il convient ainsi de se départir de la devise « faire confiance, mais vérifier », qui accorde une certaine validité aux demandes émanant d’utilisateurs déjà présents dans le périmètre du réseau, pour embrasser le concept « Ne jamais faire confiance ; toujours vérifier ». Dans le sillage de cette évolution, les systèmes comme les utilisateurs doivent considérer et traiter n’importe quelle tentative d’accès comme une violation potentielle jusqu’à preuve du contraire.

La sensibilisation est essentielle à la réussite du projet, car il faut apprendre aux utilisateurs à inspecter les ressources entrantes telles que les e-mails ou les messages afin d’y détecter les signes d’une tentative de cyberattaque (par phishing, par exemple). Les entreprises doivent mettre en place un ensemble clair de politiques et de procédures, d’une part pour aider les collaborateurs à signaler une menace potentielle, mais aussi pour proposer des directives leur permettant de protéger leurs identifiants – en imposant une action disciplinaire aux contrevenants, le cas échéant.

Surveillance et validation continues

La surveillance continue est un incontournable des architectures Zero Trust, car le référentiel tout entier dicte que les utilisateurs doivent valider leur admissibilité à accéder aux ressources numériques sur chaque couche de l’infrastructure. Ainsi, les équipes doivent mettre en place des outils d’analyse qui surveillent les attributs des utilisateurs et des dispositifs, comme les données comportementales, afin de s’assurer que chaque demande est légitime, et déployer la cyberveille, ou threat intelligence, la plus récente pour répondre de manière adéquate à chaque menace.

Cas d’utilisation du Zero Trust

Le Zero Trust offre des bénéfices indéniables, mais les équipes doivent tenir compte de certains aspects décisifs avant de se lancer dans l’aventure. Voici quelques exemples d’implications d’un passage au Zero Trust.

Avantages pour les entreprises

Le Zero Trust offre certains avantages spécifiques :

• Meilleure protection des ressources informatiques stockées dans des environnements multicloud ou hybrides.
• Atténuation des dégâts lorsqu’une violation se produit, par exemple en cas d’infection par ransomware ou d’attaque sur la supply chain.
• Accélération de la détection des menaces internes.

Le Zero Trust offre un double avantage aux entreprises : il les protège des menaces internes tout en leur conférant une granularité et une visibilité inégalées sur leurs processus numériques. Il surveille et valide l’accès des utilisateurs à tous les échelons. Il est ainsi possible de savoir quelles sont les ressources les plus sollicitées et quels employés en ont le plus souvent besoin. L’entreprise dispose alors de renseignements précieux sur d’autres parties des opérations, et le gain de sécurité s’accompagne d’un gain de productivité.

Enjeux liés à l’adoption

Malgré les avantages du Zero Trust, n’oubliez pas les aspects suivants avant de lancer votre projet d’implémentation :

• Expertise requise : Le Zero Trust requiert une surveillance continue. Ainsi, vous devrez peut-être détacher un groupe d’analystes dédié à ce processus, ou faire appel à un SOC pour les tâches de supervision, et la prise en main de l’ensemble peut s’avérer difficile.
• Expérience utilisateur : Pour certains utilisateurs, devoir s’authentifier régulièrement pour prouver son identité peut devenir fastidieux, et l’expérience utilisateur s’en ressent.
• Obligations de conformité aux normes sectorielles ou nationales : Certaines entreprises devront peut-être répondre à des exigences de conformité spécifiques. Les agences fédérales américaines doivent impérativement se conformer aux stratégies énoncées dans la publication NIST 800-207 pour maintenir cette conformité.

Si ces problématiques peuvent sembler intimidantes dans un premier temps, vous pouvez faire appel à un expert du Zero Trust pour les surmonter. Au moment de rédiger votre politique Zero Trust, consultez un partenaire en cybersécurité qui maîtrise les principes de celui-ci.

Principes fondamentaux du modèle Zero Trust

Le modèle d’accès Zero Trust part du principe que toute tentative d’accès provient potentiellement d’une menace. Ce principe est vital dans le référentiel Zero Trust, et il se départit des anciennes approches de cybersécurité, qui reposaient sur l’idée qu’il était acceptable de faire confiance aux individus et aux demandes de service provenant de l’intérieur du périmètre réseau.

Partant de cette nouvelle philosophie, le modèle Zero Trust s’appuie sur plusieurs autres principes fondamentaux, chacun visant à prévenir les accès non autorisés ou à atténuer les dégâts d’une éventuelle violation.

Vérification continue

Comme tous les utilisateurs et toutes les machines sont considérés comme potentiellement malveillants, le Zero Trust impose de vérifier leur identité à chaque demande de service, même lorsqu’ils ont déjà accès au réseau.

Pour atteindre cet objectif, le Zero Trust intègre la technologie de MFA afin d’établir avec certitude l’identité de l’utilisateur et la propriété de la machine. Il met également en œuvre le principe de moindre privilège en vue d’accorder à chaque utilisateur le niveau d’accès le moins élevé possible pour faire son travail, évitant ainsi tout accès inutile à des ressources sensibles. Et même face à des restrictions aussi importantes, toutes les parties doivent néanmoins démontrer leur légitimité à chaque tentative d’accès.

Limiter la portée d’éventuelles attaques

L’un des avantages stratégiques du modèle Zero Trust réside dans la visibilité granulaire qu’il offre sur votre architecture. Puisque les modèles antérieurs partaient du principe qu’un utilisateur était fiable dès lors qu’il était connecté au réseau, les cybercriminels pouvaient se déplacer latéralement très rapidement après avoir pénétré le système. Par ailleurs, nombreuses sont les entreprises dont les ressources IT sont disséminées dans toute l’infrastructure, et les cybercriminels pouvaient causer des dégâts considérables une fois les défenses initiales contournées.

En complément du principe de moindre privilège, le Zero Trust utilise la microsegmentation pour réduire au minimum les déplacements latéraux et empêcher les intrus d’accéder à d’autres composants du système. Il divise le réseau entier en plus petits réseaux et exige une autorisation à chaque étape ; ainsi, il limite la portée des éventuelles attaques lorsqu’une violation de données se produit et facilite la détection des intrusions.

Automatisation de la contextualisation et de la réponse

Le Zero Trust est une démarche proactive, pas réactive. Au lieu de réagir à une violation une fois qu’elle s’est produite, il surveille le comportement des utilisateurs pour identifier les indicateurs d’une activité suspecte. Cette approche nécessite de grands volumes de données comportementales ainsi que la surveillance continue de nombreux paramètres :

• Trafic réseau
• Type de périphérique
• Emplacement
• Identité de l’utilisateur
• Contenu consulté
• Heure de la demande

La surveillance continue de ces paramètres, entre autres, contextualise chaque demande de service. Les équipes peuvent alors repérer plus précisément les comportements suspects et répondre aux incidents plus efficacement.

Étapes d’implémentation du Zero Trust

Si vous prenez vous-même en charge l’implémentation de votre architecture de sécurité Zero Trust, vous vous faciliterez la tâche en la décomposant en petites parties. Vous pouvez envisager les étapes intermédiaires suivantes :

1. Visualisation. Première étape de votre implémentation Zero Trust : rassembler les informations nécessaires sur vos ressources et processus actuels. Menez une évaluation du risque afin d’identifier les vecteurs d’attaque potentiels et leur criticité, et réalisez un inventaire de vos ressources IT actuelles.
2. Neutralisation. Une fois les menaces les plus pressantes identifiées et catégorisées, commencez à définir les protocoles et les politiques de contrôle qui permettront de réduire au minimum l’impact d’une éventuelle cyberattaque, voire de la stopper avant qu’elle ne se produise.
3. Optimisation. Une fois les fondations posées, développez votre référentiel Zero Trust en l’appliquant à chaque couche de vos opérations pour maximiser votre contrôle des accès.

À mesure que vous progressez dans votre implémentation du Zero Trust, n’oubliez pas de prêter attention à l’expérience utilisateur. Faites le nécessaire pour simplifier l’UX de sorte à maintenir la satisfaction des utilisateurs sans compromettre la sécurité.

Avantages et ROI du Zero Trust

Correctement implémenté, le Zero Trust procure de nombreux bénéfices pour vos opérations, tout en offrant un ROI conséquent :

• Réduction de la surface d’attaque et de l’impact des violations
• Réduction des coûts et de la complexité
• Amélioration de la posture de sécurité et de la conformité

Moins susceptibles de subir des violations, dotées d’un cadre de cybersécurité homogène et d’une conformité renforcée, les entreprises qui ont fait le choix du Zero Trust observent souvent une meilleure protection contre les cyberattaques et une plus grande efficacité opérationnelle.

Historique et évolution du Zero Trust

Il n’y a pas si longtemps, les entreprises estimaient que leur premier besoin en matière de sécurité consistait à se protéger des menaces externes, mais cette approche s’est vite montrée insuffisante. Le système de cybersécurité se concentrait sur le déploiement de la sécurité au niveau du réseau, et les mécanismes de défense étaient vulnérables une fois qu’un acteur malveillant parvenait à établir un accès initial. Ces menaces pouvaient provenir d’identifiants compromis, obtenus par exemple par phishing (source de plus de 90 % des cyberattaques entre mai 2022 et mai 2023) ou de collaborateurs mécontents.

Développé par John Kindervag de Forrester avec la participation d’une équipe de Microsoft, le Zero Trust permettait de détecter les vulnérabilités que le modèle « faire confiance, mais vérifier » laissait passer entre les mailles du filet. Le Zero Trust vise à établir la sécurité à chaque niveau de l’infrastructure plutôt que de suivre le modèle type « œuf de Pâques » précédent, à savoir une coque réseau renforcée entourant un cœur n’offrant aucune résistance. Ce n’est qu’à partir de 2020 que le modèle a commencé à être adopté à grande échelle. Mais à l’heure où les cyberattaques s’invitent dans le quotidien des entreprises, bon nombre d’entre elles ont fait le choix du Zero Trust ces dernières années.

Zero Trust Network Access (ZTNA)

Le modèle Zero Trust fait l’objet d’une surveillance bien plus étroite que les autres architectures. Nous l’avons évoqué plus tôt, il s’appuie sur un bouquet de technologies, comme la MFA, l’IAM et la technologie de protection des workloads cloud ; de plus, l’application du Zero Trust Network Access requiert les composants logiques suivants :

• Moteur de politiques : Ce composant contrôle les décisions qui déterminent si l’accès à une ressource donnée est accordé ou non. Il est régi par la politique de l’entreprise et par les renseignements apportés par d’autres parties de l’infrastructure de sécurité.
• Administrateur de politiques : Ce composant établit une communication entre le demandeur et la ressource. Il coupe la communication lorsque c’est nécessaire. Pour cela, il authentifie les identifiants ou les jetons de sécurité avant de traiter une session.
• Point d’application des politiques : Ce composant active, surveille et supprime les connexions entre les demandeurs et les ressources de l’entreprise.

Ces composants logiques sont alimentés par plusieurs sources de données, allant des systèmes de diagnostic et d’atténuation en continu (CDM) aux flux de cyberveille, et qui offrent une vision complète de l’architecture. Le ZTNA utilise aussi le chiffrement de bout en bout pour éviter toute interception des données en transit et intégrer la sécurité à chaque couche opérationnelle.

Bonnes pratiques du Zero Trust

Le Zero Trust est une structure de sécurité réseau exhaustive ; sa mise en œuvre peut donc sembler difficile. Respectez les bonnes pratiques ci-dessous pour en intégrer les principes dans votre stratégie de sécurité :

• Surveillez la totalité du trafic et des machines du réseau.
• Corrigez les vulnérabilités les plus urgentes et appliquez les mises à jour régulièrement.
• Appliquez le principe de moindre privilège à chaque utilisateur.
• Incorporez la cyberveille et évitez toute tentative de contournement de la part des utilisateurs.

Avant d’exécuter votre stratégie Zero Trust, n’oubliez pas que ce modèle de sécurité s’étend bien au-delà des simples aspects technologiques. Les personnels de chaque service doivent être sensibilisés aux principes du Zero Trust, par exemple pour détecter les tentatives de phishing et savoir gérer les identifiants correctement. Assurez-vous de prévoir des programmes de formation adaptés et cherchez le soutien de la direction dès le départ.

Implémentation de la sécurité Zero Trust

Le modèle de sécurité Zero Trust est plus minutieux que les stratégies qui l’ont précédé. Il utilise une multitude de technologies conçues pour garantir la validité des utilisateurs et atténuer les dégâts causés par d’éventuelles violations, ce qui le place au premier rang des approches de cybersécurité.

L’approche de bout en bout du Zero Trust entraîne une certaine complexité au niveau de la configuration initiale. Toutefois, les entreprises qui planifient leur implémentation de façon stratégique sont certaines de renforcer leur posture de sécurité. Collaborer avec des partenaires experts des concepts Zero Trust peut grandement simplifier la mise en œuvre de votre projet ; n’hésitez pas à nous contacter dès aujourd’hui pour en parler.

L’avantage Netwrix

La solution de gestion des accès à privilèges (PAM) de Netwrix contribue à vous protéger contre les attaques externes et les menaces internes et améliore votre posture de sécurité sans rien changer à vos habitudes de travail. Cette solution complète opère selon les principes du Zero Trust en appliquant l’autorisation multifacteur (MFA) aux sessions à privilèges. Cette approche réduit le risque en suivant le principe de moindre privilège et offre des capacités d’audit détaillées qui permettent de suivre et d’auditer les activités liées aux accès à privilèges.

FAQ

Que signifie l’appellation « Zero Trust » ?

Zero Trust (littéralement, « confiance zéro ») est un référentiel de cybersécurité qui part du principe qu’aucun individu ni aucun service ne doit disposer d’un accès automatique aux ressources informatiques de l’entreprise.

Qu’est-ce qu’un modèle Zero Trust ?

Un modèle Zero Trust se compose d’une série de politiques, référentiels et protocoles qui tentent d’intégrer la sécurité à chaque couche de l’environnement numérique en imposant la vérification des identités avant d’octroyer des privilèges aux utilisateurs.

Qu’est-ce qu’un réseau Zero Trust ?

Un réseau Zero Trust requiert la validation de l’utilisateur à chaque tentative d’accès.

Qu’est-ce qu’un modèle de sécurité Zero Trust ?

Un modèle de sécurité Zero Trust est une architecture réseau qui applique les principes du Zero Trust. Il est conçu pour réduire au minimum le risque de violation de données et d’interruption en restreignant les déplacements latéraux, l’appropriation de privilèges élevés et autres activités malveillantes.

Qu’est-ce qu’une architecture Zero Trust ?

Une architecture Zero Trust est une infrastructure de sécurité réseau développée selon les principes du Zero Trust.

En quoi consiste la cybersécurité Zero Trust ?

Du point de vue de la cybersécurité, le Zero Trust est un modèle d’architecture réseau qui vise à réduire la surface d’attaque de l’entreprise en refusant toutes les demandes d’accès jusqu’à ce que l’identité et le niveau de privilèges du demandeur soient vérifiés.

Qu’est-ce que le référentiel Zero Trust ?

Différentes normes sectorielles existent pour aider les entreprises à mettre au point leur propre modèle, mais le référentiel Zero Trust le plus courant est le NIST 800-207.

Qu’est-ce qu’une politique Zero Trust ?

Les politiques Zero Trust correspondent à un ensemble de règles et de protocoles conçus pour vérifier l’identité et le niveau de privilège d’un utilisateur avant de lui accorder l’accès à un réseau, un système ou toute autre ressource numérique.

Quels sont les cinq piliers du Zero Trust ?

Les cinq piliers du Zero Trust sont les suivants

• Identité
• Appareil
• Réseau
• Application et workload
• Données

Quels sont les trois principes du Zero Trust ?

Les trois grands principes du Zero Trust sont les suivants :

• Vérification continue
• Limitation de la portée d’éventuelles attaques
• Automatisation de la contextualisation et de la réponse