5min. read

Qu’est-ce que « Zero Trust » signifie vraiment ?

Inventé en 2010 par Forrester Research,le terme Zero Trust désigne un modèle de sécurité que les entreprises peuvent déployer pour éliminer toute confiance implicite et potentiellement dangereuse entre les utilisateurs, les machines et les données. Cette approche constitue ainsi un processus de protection pour les entreprises contre toute forme de menaces et de vecteurs, quelle que soit leur provenance — du bout du monde ou du bureau voisin. À sa création, une bonne implémentation du Zero Trust reposait sur trois grands principes :

  • Sécurisation de tous les accès aux ressources, indépendamment de leur emplacement
  • Adoption du principe du moindre privilège et contrôle strict des accès
  • Inspection et journalisation de l’ensemble du trafic

Onze ans plus tard, face à l’essor de la transformation numérique, du télétravail et des pratiques BYOD (Bring Your Own Device), ces concepts et principes ont inévitablement mûri et évolué. Suite à la décision du gouvernement fédéral américain d’imposer le Zero Trust à toutes ses administrations, de nouveaux piliers sont apparus. Ils sont exposés dans le cadre réglementaireNIST 800-207et détaillés dans le projet « Zero Trust Architecture » du NCCoE (National Cybersecurity Centre of Excellence). En bref :

  • Abandon de la segmentation du réseau au profit de la protection des ressources (actifs, services, workflows et comptes réseau)
  • Application distincte de l’authentification et de l’autorisation (pour les utilisateurs comme pour les appareils) pour chaque session, à l’aide d’une authentification forte
  • Surveillance en continu

Pourquoi le Zero Trust revêt-il une telle importance dans la cybersécurité ?

L’adoption du Zero Trust a révolutionné le rapport des entreprises à la sécurité. Auparavant, la majorité des structures tentaient de gérer la sécurité sur le mode du filtrage. Une fois la transaction vérifiée et validée dans le sas d’entrée, sa fiabilité était intrinsèquement actée.

Seulement voilà, les vecteurs d’attaque ne proviennent pas toujours de l’extérieur. Quant à la transformation numérique et à la généralisation des modèles de travail hybrides, elles font voler en éclat l’idée même selon laquelle les ressources n’existent qu’au sein d’un périmètre protégé par des sas d’entrée. Partant de ce constat, les méthodes Zero Trust exigent de valider en permanence chaque élément de chaque interaction, où qu’elle ait lieu. Utilisateurs, appareils, applications, données... tous sont constamment passés au crible.Autrement dit, la confiance implicite n’a pas droit de cité.

Pourquoi le Zero Trust fait-il tant le buzz ?

La tendance actuelle est à la marchandisation du Zero Trust. Ainsi, de nombreux fournisseurs qualifient leurs solutions de « Zero Trust », quand bien même le Zero Trust désigne un modèle et un cadre stratégique, et non une solution produit. Conséquence, le marché de la cybersécurité regorge de fournisseurs se revendiquant comme « Le no1 du Zero Trust ».

Or, en y regardant de plus près, ces acteurs tendent à n’appliquer qu’un seul des principes du Zero Trust. Certains, par exemple, proposent la création de services de tunnellisation entre les utilisateurs et les applications qui relève du second principe d’origine : l’adoption d’une stratégie du moindre privilège et le contrôle strict des accès. Mais qu’en est-il du premier fondement du Zero Trust ? Ce même fournisseur saura-t-il assurer un accès sécurisé à toutes les ressources, indépendamment de leur emplacement ? À défaut, il accordera une confiance implicite à l’utilisateur, faisant l’impasse sur la recherche de malwares et d’exploits à l’intérieur du tunnel.

À l’inverse, d’autres fournisseurs ne couvrent que certains aspects du premier principe d’origine,en arguant que les contrôles d’identité et d’authentification sont l’essence même du Zero Trust. D’autres encore prétendront que seul le trafic Internet doit être analysé. Le problème, c’est que ces approches parcellaires du Zero Trust peuvent conduire les entreprises à accorder une confiance implicite les exposant à des vulnérabilités que les autres principes auraient dû compenser.

Nos recommandations aux dirigeants pour adopter le modèle Zero Trust

La première étape passe par une remise à plat de votre conception de la sécurité d’entreprise. Il s’agit d’abandonner l’approche du sas d’entrée au profit d’une validation continue de toutes les interactions. Pour ce faire :

  • Définissez les ressources à protéger, leur emplacement et les différentes interactions dont elles vont être l’objet.
  • Couvrez systémat