Les entreprises sont confrontées à un flux important de cyberattaques telles que des campagnes DDoS, des virus malveillants mais aussi des ransomwares et des vols de propriété intellectuelle. Les leaders de la cybersécurité ont conscience qu’il est urgent de reconstruire les infrastructures de défense et d’atténuation en partant de zéro, mais il est parfois difficile d’enclencher cette transformation.
En 2020, le marché de la sécurité informatique a vu le SASE (Secure Access Services Edge) émerger comme le nouveau Framework indispensable à l’ère du cloud. Cependant, de nombreuses organisations informatiques ont du mal à appliquer ce nouveau paradigme de sécurité.
Deux raisons principales expliquent ce phénomène.
Tout d’abord, le SASE englobe un ensemble très large de technologies à prendre en considération : du côté du réseau, les aspects comprennent les solutions d’accès à distance, la connectivité et l’optimisation du réseau étendu, les réseaux de diffusion de contenu (CDN) et les réseaux étendus définis par logiciel (SD-WAN). Les technologies pertinentes pour la sécurité sont par exemple des pares-feux de réseau traditionnels, une passerelle web sécurisée (SWG) basée sur le cloud, mais aussi un courtier de sécurité d’accès au cloud (CASB), l’accès au réseau Zero Trust (ZTNA), ou encore un pare-feu en tant que service (FWaaS). Le concept de SASE met les responsables IT au défi d’aborder plusieurs sujets liés aux réseaux et, plus important encore, plusieurs technologies de sécurité en même temps – ce qui pose la question de savoir à quels éléments donner la priorité et à quelle mise à niveau technologique s’attaquer en premier. Il est d’autant plus difficile de répondre à cette question que les entreprises disposent déjà d’une infrastructure de sécurité qui s’est développée au fil du temps, la plupart du temps sur site et parfois dans le cloud, et qui doit être adaptée à la feuille de route de SASE et intégrée sans perturber le travail des collaborateurs.
La seconde difficulté tient au fait que les SASE sont largement considérés comme un mécanisme de consolidation du paysage de la sécurité des entreprises : il s’agit de remplacer de multiples solutions ponctuelles en passant à un fournisseur de SASE offrant une couverture complète des fonctionnalités. Cependant, si de nombreux fournisseurs se positionnent comme des prestataires de SASE, l’étendue et la profondeur de leurs portefeuilles varient considérablement. Il est donc d’autant plus difficile pour les équipes chargées de la sécurité de remplacer l’approche actuelle de type « best-of-breed » par un fournisseur de SASE : il n’existe pas de solution SASE « universelle » – et aucun fournisseur ne peut encore prétendre cocher tous les points de contrôle avec une solution réellement complète. Un compromis judicieux pourrait consister à adopter une approche « best-of-suite » et de combler les lacunes de l’offre SASE sélectionnée avec quelques produits complémentaires. Néanmoins, cela pose la question de la priorisation des aspects de la sécurité et de l’entame de l’innovation de l’infrastructure de sécurité.
Dans cette situation, il est judicieux de s’éloigner mentalement du déluge d’informations compétitives des offres de SASE et des informations des dernières vulnérabilités. Bien avant la pandémie, le travail numérique avait commencé à se transformer en travail hybride flexible, avec quelques jours de travail passés au bureau et d’autres à distance, et avec une utilisation croissante d’appareils mobiles, parfois même privés, ainsi qu’une consommation en forte croissance de services cloud en plus des ressources de l’entreprise. La pandémie a simplement accéléré cette tendance.
Les futurs travailleurs numériques insisteront très probablement pour pouvoir travailler de manière efficace, pratique et sécurisée où qu’ils soient. Certains préféreront l’équipement de l’entreprise, d’autres voudront apporter leurs propres appareils, d’autres encore un mélange des deux. L’utilisation des dernières et meilleures technologies du secteur deviendra un des outils décisifs pour attirer et retenir les meilleurs talents. Du côté des logiciels et des services, l’évolution vers le cloud devrait se poursuivre, créant un paysage hybride de plus en plus complexe composé de technologies traditionnelles sur site et d’un ensemble dynamique de services cloud – dont certains indésirables que les équipes informatiques devront écarter.
En utilisant le futur employé comme point de référence, les RSSI peuvent évaluer quels seront les risques de sécurité pour celui-ci dans le futur. Par exemple, les professionnels hautement qualifiés seront tôt ou tard touchés par des attaques ciblées – alors que chaque travailleur, de l’agent de centre d’appels au PDG, sera également visé ; les ransomwares n’ayant besoin que d’une seule personne pour cliquer sur un lien malveillant.
Après avoir établi l’environnement de risque pour les futurs collaborateurs, de nombreuses interrogations persistent : quels seront les besoins dès lors qu’il s’agira de travailler en toute sécurité depuis n’importe où, à n’importe quel moment, avec l’appareil de leur choix ? À quel point l’architecture de sécurité devra-t-elle être flexible pour absorber les hauts et les bas d’un paysage de services cloud en constante évolution ? Comment sera-t-il possible de combiner sécurité et convivialité, sachant que la complexité ou la faible vitesse ne feront que pousser les employés à chercher des solutions de contournement, affaiblissant ainsi la sécurité de l’entreprise ? Comment surveiller en permanence l’état de la sécurité sans entraver la productivité des employés ? Les considérations technologiques devront être fondées sur les réponses à des questions comme celles-ci.
Ainsi, le traditionnel VPN pourrait être remplacé, ou devra-t-il être remplacé par une technologie de sécurité à distance plus souple, plus évolutive et plus orientée vers les applications, qui intègre l’approche Zero Trust.
Dans un futur proche, la « nouvelle norme » actuelle du travail flexible à distance ne sera plus « nouvelle ». Les travailleurs s’attendront plutôt à pouvoir travailler de manière flexible, à distance et en toute sécurité, où qu’ils soient, sans se cantonner à des lieux spécifiques pour accéder à des données ou des applications importantes, en utilisant le matériel, les logiciels et les services cloud les mieux adaptés à leur tâche et à leur style de travail.
En remontant à partir des besoins et des attentes des futurs employés, les RSSI disposent d’un bon départ pour établir leur feuille de route. Après tout, le cœur de la sécurité d’entreprise n’est pas une technologie individuelle, ou un ensemble spécifique de technologies, mais plutôt la capacité des employés à utiliser les ressources de l’entreprise dont ils ont besoin avec un niveau de performance élevé, une confiance absolue et une protection maximale. C’est pourquoi la meilleure stratégie de sécurité est celle qui rapproche des futurs effectifs que l’entreprise envisage dès maintenant, au terme d’une réflexion approfondie.
___________________
Par Serge Niango, Head of Sales Engineering chez Citrix