« Ne jamais faire confiance, toujours vérifier ! » Tel est le principe du Zero Trust.  Selon une étude de Forrester, 72 % des décideurs en matière de sécurité envisagent son déploiement.  Bien. Mais gare aux mythes ! John Kindervag, Zero-Trust Chief Evangelist, Illumio, les défait.

Mythe 1 : le Zero Trust rend un système « fiable »

Dans le contexte de la confiance zéro, il ne s’agit pas de rendre les systèmes fiables, mais d’éliminer le concept de « confiance » de tous les systèmes informatiques. En Zero Trust, toutes les interfaces doivent avoir la même confiance : zéro ! Cela signifie que l’équipe accorde à chaque utilisateur, interface réseau et appareil le même niveau de confiance par défaut : zéro.

La confiance concerne exclusivement les individus… et non les environnements numériques. Les informations d’identification sont susceptibles d’être compromises, les réseaux sont susceptibles d’être piratés et des personnes internes malveillantes occupent souvent des postes de confiance. Lorsqu’un acteur externe malveillant accède au réseau interne, il devient automatiquement un « initié de confiance ». Cela lui permet d’exploiter le modèle de confiance à des fins malveillantes. Par conséquent, il est impossible de s’assurer que la source du trafic réseau est réellement « digne de confiance » : une identité revendiquée n’est qu’une revendication, et non la vérification d’une personne.

Dans les cas des violations de données Snowden et Manning, il s’agissait d’ « utilisateurs de confiance » qui utilisaient des appareils de « confiance ». Ils disposaient des niveaux de correctifs corrects et des correctifs mis à jour sur leurs appareils. Le réseau qu’ils ont compromis disposait de systèmes d’identité robustes et d’une authentification multifactorielle forte. Mais personne n’a vérifié les paquets après l’authentification.

Mythe 2 : le Zero Trust est une question d’identité

De nombreuses personnes commettent l’erreur de penser qu’une fois l’identité en place, elles ont achevé leur parcours de confiance zéro, mais ce n’est pas le cas. L’identité est consommée dans le cadre de la confiance zéro par le biais d’une politique, mais il y aura toujours un moyen de contourner l’identité. La confiance zéro reconnaît que le périmètre de sécurité traditionnel est devenu obsolète, mais considérer l’identité comme le nouveau périmètre ne suffit pas. Bien qu’il soit nécessaire de valider les attributs d’identité du paquet, nous ne pouvons pas utiliser ce seul point de données pour déterminer l’accès à une ressource. Un contrôle d’accès adéquat requiert des critères multiples.

Les organisations ont plutôt besoin d’une approche holistique qui incorpore des données contextuelles, telles que l’heure de la journée, le type d’appareil, les contrôles de posture et les évaluations des risques. Dans un contexte de confiance zéro, cinq questions précises doivent être posées. Qui doit avoir accès à quelle ressource ? Quand cet accès doit-il être autorisé ? Où se trouve la ressource (la surface de protection) ? Pourquoi avons-nous mis en place cette politique (balises, étiquettes, classification des données ou autres métadonnées utiles) ? Et, enfin, comment examinons-nous le paquet pour décider si nous l’autorisons à accéder à la ressource ? C’est ce qu’on appelle la méthode Kipling.

Le contexte ne doit pas être ignoré lorsqu’une organisation discute du contrôle d’accès. L’identité doit être prise en compte, puis des marqueurs contextuels avancés doivent être ajoutés pour garantir un accès sécurisé.

Mythe 3 : Il existe des produits de Zero Trust

La confiance zéro n’est pas un produit, c’est une stratégie, qui offre une grande flexibilité car elle se concentre sur ce que l’organisation essaie de protéger, plutôt que sur la technologie.

Il est important de noter que, dans le cadre du Zero Trust, la stratégie et les tactiques sont découplées de par leur conception, car la stratégie ne change pas, mais les technologies s’améliorent de plus en plus au fil du temps.

Cela signifie que les équipes de sécurité peuvent utiliser de nombreux outils pour mettre en œuvre des infrastructures de sécurité de confiance zéro. Cela signifie également que cette dernière ne nécessite pas une refonte complète des systèmes de sécurité existants. Au contraire, la technologie actuelle peut être utilisée pour soutenir le réflexe de la confiance zéro, en ajoutant de nouveaux outils si nécessaire.

Mythe 4 : le Zero Trust est trop difficile

Si elle est bien appliquée, la confiance zéro réduit en fait la complexité de la cybersécurité. En effet, cette approche est triple : incrémentale (une surface de protection à la fois), itérative (une surface de protection à la fois) et non-perturbatrice (une seule surface de protection est le plus grand système qui peut être contesté à un moment donné).

Les organisations devraient s’efforcer d’acquérir une certaine maturité en se concentrant sur leurs surfaces de protection les plus sensibles, au lieu d’essayer de tout faire en même temps, faute de quoi elles ne feront jamais de progrès significatifs.

Le Zero Trust n’empêche pas les intrusions, mais les violations de données, que des réglementations telles que le GDPR définissent comme la suppression non autorisée de données sensibles du réseau. C’est indéniablement la meilleure stratégie de sécurité pour les environnements modernes qui sont devenus de plus en plus complexes, distribués et sans périmètre.