Définition du modèle Zero Trust
La démarche Zero Trust est un modèle de sécurité informatique qui remet en question le concept traditionnel de confiance implicite à l'intérieur d'un réseau. Contrairement aux approches de sécurité conventionnelles qui accordent généralement un niveau de confiance plus élevé aux utilisateurs et appareils internes, le Zero Trust adopte une approche de « ne jamais faire confiance, toujours vérifier ». Ce modèle a pour objectif d’améliorer la cyber résilience de l'entreprise.
Cela signifie que chaque tentative d'accès aux ressources ou aux données est traitée comme potentiellement non fiable, quelle que soit la source de la requête.
Les principes du modèle Zero Trust
Le modèle Zero Trust repose sur 3 principes clés afin d'assurer la sécurité des réseaux et des données :
Ne jamais faire confiance
Ce principe remet en question l'idée traditionnelle de confiance implicite accordée aux utilisateurs et aux appareils à l'intérieur du réseau. Par défaut, chaque accès est considéré comme non fiable et une vérification continue est effectuée pour confirmer l'identité et l'intégrité de l'utilisateur ou de l'appareil.
Ainsi toute nouvelle tentative d'accès à un système ou de demande de consultation de nouvelles données doit être précédée d'une forme d'authentification afin de vérifier l'identité de l'utilisateur concerné.
Appliquer le principe du moindre privilège
Le principe du moindre privilège consiste à accorder à chaque utilisateur uniquement les accès et les privilèges nécessaires pour accomplir ses missions.
Le principe du moindre privilège est essentiel pour limiter les dommages potentiels en cas de compromission ou d'incident de sécurité, en garantissant que seules les autorisations nécessaires sont accordées à chaque utilisateur ou processus.
Surveiller de manière continue
Le modèle Zero Trust repose également sur un principe de surveillance continue permettant ainsi de surveiller le comportement des utilisateurs afin de détecter des activités anormales.
Les piliers du modèle Zero Trust
Lors de la mise en œuvre d'une architecture Zero Trust, des composants principaux sont à prendre en compte afin d'assurer la sécurité organisationnelle.
Identité de l'organisation
L'identité se concentre sur la gestion des accès des utilisateurs au sein de l'entité. Ce pilier fondamental vise à garantir une authentification précise et à limiter les droits d'accès des différents utilisateurs. L'entité doit également mettre en place des méthodes sécurisées d'authentification des identités de ses utilisateurs, comme l'authentification multifactorielle (MFA).
Les points de terminaison et appareils
Un appareil est un actif qui se connecte à un réseau, y compris les serveurs, les ordinateurs, les imprimantes, les téléphones mobiles et les appareils IoT ou qui dispose d'un accès à des données de l'organisation. Avant de mettre en place des politiques Zero Trust, l'organisation doit dresser un inventaire précis des actifs afin de suivre la validité des appareils et leurs possibilités d'accès à des applications spécifiques.
Les réseaux
Un réseau inclut tous les moyens de communication utilisés pour transporter des informations, tels que les réseaux publics, privés et virtuels utilisés au sein de l'organisation.
L'entreprise adoptant le modèle Zero Trust se concentre davantage sur la gestion précise des flux de trafic internes et externes. Elle doit dresser l'inventaire de ses réseaux existants afin de diviser le réseau en segments sécurisés pour isoler les risques, aussi appelé microsegmentation, et ainsi empêcher les mouvements latéraux des menaces. Elle définit par la suite des politiques de contrôle d'accès rigoureuses, permettant uniquement aux utilisateurs et appareils autorisés d'accéder aux segments spécifiques du réseau.
Les applications
Le pilier "application" du modèle Zero Trust couvre tous les systèmes, programmes informatiques et services dans lesquels résident des données organisationnelles. Avec l'adoption rapide des services cloud par la majorité des entreprises, ce domaine est d'une importance cruciale.
Les organisations doivent commencer par dresser une liste exhaustive de leurs applications existantes avant de définir des politiques Zero Trust pour chaque application, en contrôlant l'accès de manière précise. Dans certains cas, il peut être nécessaire de bloquer les applications non autorisées afin de renforcer la sécurité.
Ainsi, en appliquant des politiques rigoureuses et adaptées à chaque application, les entreprises peuvent mieux protéger leurs ressources critiques et atténuer les menaces potentielles.
Les données
Il existe une variété d'outils, comme le SOC, dédiés à la sécurité de l'information au sein de l'organisation et à l'identification d'éventuelles fuites de données.
Avant de définir des politiques Zero Trust, qui permettra de bloquer les accès non autorisés et prévenir une exfiltration de données, les organisations doivent commencer par définir les données considérées comme sensibles et identifier l'endroit où elles sont stockées.
Pour résumé, avant de mettre en place une architecture Zero Trust il faut :
- identifier tous les actifs, données sensibles et ressources critiques au sein de l'environnement informatique de l'entité en question.
- mettre en place une solution de gestion des accès et des identités (IAM) afin de centraliser et gérer les droit d'accès des utilisateurs. L'entité doit également établir un moyen d'authentifier l'identité de ses utilisateurs de manière sécurisée.
- diviser le réseau en segments plus petits et plus sécurisés afin d'isoler les systèmes et les données critiques, permettant de limiter la propagation latérale des attaques en cas de compromission d'un segment particulier du réseau.
La mise en place d'une architecture Zero Trust nécessite une approche holistique, combinant des contrôles d'accès avancés, une segmentation réseau fine, une surveillance continue et une automatisation des politiques de sécurité pour renforcer la résilience et la protection de l'environnement informatique contre les menaces actuelles et émergentes.
Les avantages de l'architecture Zero Trust
Une politique de sécurité robuste basée sur le modèle Zero Trust permet de :
- Réduire les risques de sécurité en remettant en cause la confiance implicite et en vérifiant constamment chaque demande d'accès.
- Protéger les données sensibles contre les fuites et les accès non autorisés en appliquant des contrôles d'accès stricts et une surveillance continue.
- Améliorer la visibilité réseaux, utilisateurs et flux de données, ce qui permet une gestion plus fine et réactive des menaces.
- Limiter la propagation des attaques et réduire l'impact potentiel des compromissions en segmentant le réseau et en appliquant des politiques de sécurité granulaire.
- Optimiser les accès distants grâce à un accès sécurisé et crypté aux ressources de l'organisation.
- Prévenir des mouvements latéraux grâce à une segmentation du réseau et des contrôles d'accès stricts.
Si vous souhaitez déployer une architecture Zero Trust au sein de votre organisation, nous vous recommandons de vous appuyer sur des experts puisque, d'après l'ANSSI, une erreur d'installation ou de configuration peut accroître la vulnérabilité des systèmes d'information.
L'assurance cyber-risques et le modèle Zero Trust
Commencer une démarche Zero Trust en mettant en place certaines pratiques, comme le déploiement de l'authentification multifactorielle (MFA), est aujourd'hui très apprécié par les compagnies d'assurance.
Cela démontre une posture de sécurité proactive dans la continuité des recommandations de l'ANSSI. Au-delà d'une certaine taille d'organisation (50 M€ de CA), les assureurs exigent certains prérequis (MFA, EDR + SOC, sauvegardes déconnectées ou fortement sécurisées, réduction du nombre de comptes Admin) qui peuvent déjà avoir été mis en place si l'organisation a initié une démarche Zero Trust.
Cela facilitera la mise en place d'un contrat d'assurance cyber-risques et jouera en faveur de l'assuré en ce qui concerne le montant des garanties souscrites, la baisse des franchises et le niveau de prime proposé.
Découvrez notre page sur la Directive NIS 2.
Sources : Entrust, ANSSI, Cloudflare
