Les utilisateurs et les appareils peuvent se connecter de n’importe où – les entreprises doivent donc les protéger en permanence. Un modèle de sécurité à confiance zéro, ou zero trust, établit la confiance dans les utilisateurs et les appareils par l’authentification vérifiée et la surveillance continue de chaque tentative d’accès, avec des politiques de sécurité personnalisées qui protègent chaque application. 

À son niveau de base, la confiance zéro peut se résumer à « ne jamais faire confiance, toujours vérifier ». Il s’agit d’une approche globale visant à sécuriser tous les accès à vos applications et à votre environnement, quels que soient l’utilisateur, l’appareil et le lieu. Il s’agit de contrôler la validité de chaque demande d’accès, quels qu’en soient le lieu, la personne ou la provenance, et de ne fournir que l’accès requis. L’adoption de la confiance zéro peut aider à résoudre les problèmes de sécurité courants au sein du personnel, tels que l’hameçonnage, les logiciels malveillants, le vol d’informations d’identification, l’accès à distance et la sécurité des appareils, notamment dans le cadre d’une politique “prenez vos appareils personnels” (PAP) (“Bring your own device” ou “BYOD” en anglais).

Les approches traditionnelles en matière de sécurité partent du principe que tout ce qui se trouve à l’intérieur du réseau de l’entreprise est digne de confiance. En réalité, cette hypothèse n’est plus vraie, grâce à la mobilité, au PAP (prenez vos appareils personnels), à l’Internet des objets, à l’adoption de l’infonuagique, à la collaboration accrue et à l’accent mis sur la résilience de l’entreprise. Un modèle de confiance zéro considère que toutes les ressources sont externes et vérifie continuellement la fiabilité avant d’accorder seulement l’accès nécessaire. Pour ce faire, il convient de sécuriser les trois principaux facteurs qui composent la main-d’œuvre : les utilisateurs, leurs appareils et les applications auxquelles ils accèdent.

Une approche de confiance zéro sécurise l’accès à tous les éléments de votre environnement informatique. Elle vous permet d’empêcher une violation de données avant qu’elle ne se produise en activant des contrôles basés sur des politiques pour chaque tentative d’accès à vos applications, aux charges de travail et au réseau. Avec une approche de confiance zéro, vous pouvez obtenir une visibilité sur qui et quoi accède aux applications et au réseau afin d’identifier les risques et les signes d’un abus de confiance. Enfin, vous pouvez réduire votre surface d’attaque de votre système informatique, contenir les brèches et arrêter les mouvements latéraux des attaquants en appliquant des contrôles granulaires, ce qui vous permet de segmenter votre réseau et vos ressources.

 

Sécuriser auprès des utilisateurs

Les utilisateurs sont les personnes, telles que les employés, les entrepreneurs, les partenaires et les vendeurs, qui doivent accéder aux applications et aux systèmes de travail.  La confiance zéro exige qu’un utilisateur n’ait accès qu’aux applications dont il a réellement besoin pour faire son travail, et pas plus. Elle exige également que les identités des utilisateurs soient vérifiées à l’aide d’une méthode telle qu’une authentification multi-facteurs forte, afin d’établir qu’ils sont bien ceux qu’ils prétendent être à chaque tentative d’accès.

 

Sécuriser auprès des appareils

Les appareils sont les objets qui sont utilisés pour accéder aux ressources. Il peut s’agir de périphériques gérés par l’entreprise ou du matériel personnel (ordinateurs de bureau/portables, tablettes, cellulaires). Dans le cadre du concept de la confiance zéro, les appareils sont vérifiés à chaque demande d’accès afin de s’assurer qu’ils répondent aux paramètres de sécurité et qu’ils ne présentent pas de risque. Les appareils doivent également être surveillés dans le temps, afin de détecter les menaces ou les comportements anormaux.

 

Sécuriser auprès des applications

Les applications sont les outils que les entreprises utilisent pour fonctionner. Elles peuvent être situées n’importe où : dans le nuage, à l’interne ou sur des systèmes physiques externes à votre entreprise.  L’accès aux applications doit être régi par des politiques d’accès évolutives, créées en fonction de la sensibilité des données contenues dans l’application. Cette modularité garantit que l’accès n’est accordé qu’aux utilisateurs ou groupes d’utilisateurs qui en ont besoin, à partir d’emplacements et de dispositifs de confiance.

 

En bref…

Avec le modèle de confiance zéro, vous bénéficiez d’une meilleure visibilité sur vos utilisateurs, appareils, réseaux et applications, en vérifiant leur état de sécurité à chaque nouvelle tentative d’accès. Vous pouvez réduire la surface d’attaque de votre organisation en segmentant les ressources et en n’accordant que le minimum absolu en termes de permissions nécessaires. L’adoption de ce modèle vous permet de trouver un équilibre entre sécurité et convivialité. Les équipes de sécurité peuvent faire en sorte qu’il soit plus difficile pour les attaquants d’obtenir ce dont ils ont besoin (informations d’identification de l’utilisateur, accès au réseau et possibilité de se déplacer latéralement), et les utilisateurs peuvent bénéficier d’une expérience de sécurité cohérente et plus productive, indépendamment de l’endroit où ils se trouvent, des terminaux qu’ils utilisent ou du fait que leurs applications soient sur site ou dans le nuage.