La cybersécurité est devenue une préoccupation majeure des conseils d’administration des entreprises du monde entier. Les cyberattaques majeures observées en 2021 ont mis encore un peu plus en lumière l’impact dévastateur que de mauvaises pratiques en matière de sécurité des identités peuvent avoir sur les entreprises de toutes tailles et de tous secteurs. Modèle éprouvé pour la mise en œuvre d’une sécurité robuste à grande échelle, le modèle Zero-Trust s’est rapidement imposé comme une nécessité pour la résilience des entreprises. A condition que cette approche ne soit pas statique. Pour être efficace, le modèle Zero-Trust se doit d’être dynamique, ou plus exactement, « adaptatif ».
Il y a quelques mois, une étude que nous avions menée auprès de plus de 1000 responsables sécurité révélait que 75 % des professionnels considéraient l’approche Zero Trust comme cruciale – ou à minima très importante – dans le renforcement de leur stratégie de cybersécurité globale. Aux États-Unis, un décret de la Maison-Blanche sur l’amélioration de la cybersécurité de la nation, publié en mai 2021, a spécifiquement mentionné (et prescrit) le modèle Zero Trust comme une bonne pratique pour les programmes de cybersécurité modernes dans tous les secteurs.
Pourtant, les principaux obstacles à la réussite en matière de cybersécurité restent les mêmes qu’il y a douze mois : les organisations, les acteurs malveillants et les vecteurs de menace sont appelés à évoluer constamment. Ils ne cesseront même jamais d’évoluer. En conséquence, une approche statique et d’ampleur limitée de la cybersécurité est vouée à l’échec.
L’heure est au passage à une stratégie Zero-Trust « adaptative »
Un modèle Zero-Trust adaptif, qu’est-ce que c’est ? Ce cadre évolutif associé au postulat de la « confiance zéro » permet aux organisations de s’adapter et d’évoluer parallèlement aux environnements externes (comme les évolutions des risques ou des réalités informatiques) et aux changements internes (l’arrivée de nouveaux collaborateurs dans l’entreprise ou leur transfert vers de nouveaux rôles nécessitant des autorisations supplémentaires, par exemple). Cette approche fondée sur la technologie moderne (authentification adaptative) suit l’évolution permanente des défis auxquels sont confrontés les RSSI et les professionnels de la sécurité.
En d’autres termes, le modèle Zero-Trust adaptatif est une stratégie de cybersécurité cruciale pour ceux qui cherchent à renforcer la longévité de leur organisation et à préserver leur résilience pour les années à venir. Mais comprendre où l’on doit aller et savoir comment y arriver sont deux choses différentes. Voici quelques éléments clés à prendre en compte au fur et à mesure de son parcours :
* Visibilité à 360 degrés : Le succès du modèle Zero-Trust adaptatif commence par la mise en place d’un filet suffisamment large. Car au-delà des identités des personnes, il est nécessaire d’accorder toute son attention à celles des machines et à l’expansion constante des comptes tandis que les organisations évoluent vers un paysage informatique multigénérationnel, hybride et périphérique. Si le cercle que vous dessinez est trop petit, vous risquez de laisser la porte grande ouverte à une cyberattaque.
* Tout vérifier : Un deuxième élément clé du modèle Zero-Trust adaptatif consiste à établir un continuum de droits à travers l’organisation de manière à pouvoir tout vérifier avant d’accorder l’accès à vos actifs les plus importants et les plus sensibles. Grâce à la visibilité et aux informations supplémentaires dont ils disposent, les professionnels de la sécurité sont en mesure d’ajouter, de supprimer et d’ajuster des privilèges juste à temps plus rapidement et plus efficacement. Ce faisant, ils peuvent limiter l’accès des utilisateurs au strict nécessaire pour leur travail et seulement au bon moment.
* Contrôles intelligents : Les scores de risque changent constamment, car les exigences en matière d’accès et de privilèges évoluent, les politiques sont remaniées et de nouvelles menaces apparaissent. En tirant parti de la conscience des éléments contextuels et de l’analyse comportementale, les organisations peuvent anticiper, détecter et prendre des mesures correctives plus rapidement et plus efficacement. Ainsi, si une connexion ou une activité comportementale suspecte est détectée (par exemple, un employé se connectant à peu près au même moment sur deux continents), un professionnel de la sécurité doit disposer des données et des outils nécessaires pour modifier ou renforcer l’autorisation.
* Approche globale : Le paysage des menaces évolue, et avec lui la nécessité pour une organisation de se protéger elle-même, ainsi que les personnes, les applications et les données qui sont autant d’éléments vitaux pour elle. Cela passe souvent par l’ajout de nouvelles fonctionnalités au fil des besoins, en veillant à ne pas perturber indûment l’activité. Face à la nécessité de s’adapter et d’exposer de nouvelles fonctionnalités, de nombreuses organisations se tournent vers les plateformes convergentes pour la sécurité des identités. Une manière de répondre aux obligations de gestion des accès aujourd’hui, tout en tirant parti de capacités supplémentaires, telles que la gestion des accès privilégiés, sur la durée.
Toutes les organisations se demandent comment se préparer au déferlement des attaques et des failles observées dans le cyberespace. Pour la plupart d’entre elles, la marche à suivre pour aller de l’avant, dans l’immédiat et à long terme, consiste à admettre que le périmètre traditionnel ne suffit plus. Les acteurs malveillants trouveront toujours l’entrée, et le moment venu, le plus important est de minimiser le rayon de destruction.
Tout commence par le fait de reconnaître qu’une stratégie Zero-Trust doit être aussi agile que le paysage des menaces dans lequel elle est déployée. Si la technologie peut améliorer considérablement les chances de réussite d’une organisation, vous ne réussirez que si vous donnez la priorité à certains éléments clés d’un cadre adaptatif de confiance zéro.
___________________
Par Bhagwat Swaroop, PDG de One Identity