Le modèle "Zero trust"

Définition du modèle Zero Trust

Le modèle Zero Trust change radicalement la façon de penser dans le modèle de la sécurité. Il repose sur une idée toute simple : ne jamais faire confiance à qui que ce soit, que l’utilisateur appartienne à l’entreprise ou qu’il en soit externe. Il devra systématiquement s’authentifier et prouver son « état sanitaire » avant d’accéder aux ressources de l’entreprise.

Ce modèle est complètement en opposition par rapport au modèle qui est déployé à ce jour dans la majorité des sociétés et qui est plutôt basé sur le Château Fort.

Vous avez, tout autour de votre domaine de sécurité, des protections périmétriques. Mais une fois que vous avez franchi la porte de château, vous avez le droit d’aller partout dans le domaine. Une confiance est établie au moment où vous pénétrez et n’est plus remise en question ensuite. L’une des failles de ce modèle est clairement celle-ci. Ainsi, si un pirate arrive à usurper l’identité de l’un de vos collaborateurs, il aura accès à tout ce qui se trouve sur votre réseau !

Le modèle Zero Trust dans son raisonnement est simple : ne faisons entrer bien évidemment que les utilisateurs qui ont montré patte blanche et continuons à vérifier, tout au long de leur parcours dans l’entreprise, qu’ils n’accèdent qu’à des ressources pour lesquelles ils ont reçu une habilitation.

Ce modèle repose sur les principes fondamentaux suivants :

Assurer un accès sécurisé à toutes les ressources, quel que soit le lieu de connexion ;
Adopter le principe du moindre privilège et imposer un contrôle strict des accès ;
Tenir un journal et analyser l’intégralité du trafic ;
Attribuer aux collaborateurs et aux administrateurs des autorisations minimales d’accès aux ressources de l’entreprise ;
Investir dans des outils de contrôle du réseau.

Pourquoi déployer un modèle Zero Trust

En France, en 2019, 65% des entreprises ont été victimes de cyber-attaques. Presque 60% d’entre elles ont déclaré avoir subi des préjudices sur leurs activités. Les pertes financières estimées sont évaluées à 1,6Md€, avec un coût par entreprise d’environ 51k€. citer la source

Ces statistiques illustrent l’ampleur de la perte financière et les défis auxquels les entreprises sont aujourd’hui confrontées.

L’ouverture du SI des entreprises vers le Cloud, l’utilisation de terminaux mobiles, le recours au télétravail, autant de solutions indispensables pour les entreprises qui rendent encore plus important la nécessité de vérifier les droits des utilisateurs avant de leur en donner l’accès. Aujourd’hui, la donnée n’est plus uniquement dans le « château fort », mais elle se trouve en différents endroits du SI interne et externe à l’entreprise. L’accès aux données se fait via différentes solutions et au travers de multiples endroits.

Il devient nécessaire de garantir que chaque élément du SI est bien sous contrôle et n’est accessible que par des utilisateurs dûment habilités.

Zero Trust : une cohabitation habile avec les anciennes solutions

Le modèle Zero Trust nécessite de penser différemment la sécurité pour avoir en permanence une longueur d’avance sur les pirates.

Les nouvelles menaces et les nouvelles façons d’accéder aux ressources de l’entreprise nécessitent de repenser les moyens de protection. Le Zero Trust est clairement identifié comme étant une méthode favorable pour répondre aux nouveaux enjeux de l’entreprise.

Cependant, la sécurité périmétrique ne doit pas être abandonnée au profit d’une démarche Full Zero Trust. De nombreuses entreprises ont fait le choix de fonctionner en mode hybride car elles n’ont pas encore franchi le pas du Full Cloud. Ce fonctionnement hybride reste d’actualité tant que l’ensemble de l’infrastructure du système d’information n’a pas complètement migré vers le Cloud.