Nouveau paradigme de cybersécurité, à l’opposée des approches « Forteresse » d’autrefois, le modèle Zéro-Trust promet une meilleure adaptation aux réalités actuelles des infrastructures hybrides et du télétravail. Mais il demande un réajustement majeur des protections existantes et une nouvelle compréhension de la gestion des identités, des droits d’accès et du cloisonnement des ressources.
Dernièrement, en France, les organisations attaquées (par exemple les hôpitaux) avaient une « approche forteresse ». L’architecture Zéro-Trust va à l’opposé de cela, il s’agit de donner un accès logique aux utilisateurs. En effet, l’accès réseau Zéro-Trust implique que les utilisateurs ne doivent pouvoir accéder qu’à ce dont ils ont besoin, et rien de plus. Pour cela, il faut établir l’identité de l’utilisateur et encadrer rigoureusement l’accès aux ressources. Le ZTNA a également des exigences spécifiques concernant l’identité et l’autorisation des utilisateurs et des appareils qui demandent l’accès aux ressources de l’entreprise.
Beaucoup d’organisations restent très attachées à leur VPN qu’elles exploitent, depuis les années 90, qui marchent toujours.
Pourtant, cela n’empêche évidemment pas les organisations de faire évoluer leur système d’information, car elles n’ont pas le choix.
L’hybridation devient ainsi la norme. Des annuaires Active Directory locaux cohabitent avec des Azure AD, chacun ayant dans le meilleur des cas son périmètre bien identifié. Dans le pire des cas, Azure AD réplique tout simplement l’annuaire on-premises car une solution métier dans le Cloud avait besoin d’un référentiel utilisateur, et c’était la manière la plus simple de lui en fournir un. Sans stratégie, donc, mais en répondant simplement à un besoin ponctuel.
Et des besoins ponctuels, l’hybridation en crée des dizaines. Au-delà de la distinction entre l’infrastructure locale et celle dans le Cloud, il faut prendre en compte les applications métiers en SaaS s’appuyant sur des identités locales, ainsi que l’usage accru du télétravail où le même utilisateur, sur le même poste de travail, va pouvoir accéder en même temps à une application métier interne et une autre en SaaS, souvent en manipulant les mêmes données.
Et puis, que faire des terminaux personnels utilisés pour se connecter à des actifs professionnels ?
Alors on gère avec les technologies déjà présentes. Les matrices de flux deviennent délirantes (et finissent par disparaître) et les solutions s’empilent sans grande cohérence… tant que ça marche un jour de plus.
Le burnout du DSI et du RSSI n’est pas loin, tant ces professionnels ont à cœur d’accompagner les évolutions du SI tout en gardant le contrôle. Or, ce qui est déjà extrêmement difficile aujourd’hui sera mission impossible dans quelques années.
Car en définitive, tous ces « besoins ponctuels » sont des adaptations à courte durée. C’est du provisoire qui ne devrait pas durer. Il est évident, aujourd’hui, que les approches traditionnelles d’accès et de cloisonnement rencontrent des limites. Ils ne pourront probablement pas accompagner encore longtemps l’évolution des systèmes d’information et les besoins d’accès aux applications et aux systèmes dans un monde hybride.
C’est là qu’arrive le modèle Zéro-Trust : une manière différente de considérer l’accès aux ressources, qui se trouvent être mieux adaptées aux évolutions actuelles des usages et des infrastructures hybrides. Le changement est radical : la confiance n’est plus accordée sans limites une fois le VPN franchi. Elle est donnée de manière très granulaire, en fonction du trio utilisateur (son identité) — ressource (qui a le droit d’accéder à quoi ?) — terminal (est-il de confiance ?). L’entreprise peut ainsi contrôler l’ensemble des accès à ses ressources, quelle qu’en soit l’origine ou la destination. Ce qui supprime bon nombre de bricolages actuels !
Mais comme toute approche rupture, le modèle d’accès Zéro-Trust est parfois mal compris, et peut faire peur aux entreprises qui ne souhaitent pas, à juste titre, faire table rase de l’existant.
Bonne nouvelle, adopter le modèle d’accès Zéro-Trust peut se faire de manière progressive, en conservant les équipements actuels, qui s’y intégreront sans difficulté.
Moins bonne nouvelle : il s’agit surtout de remettre de l’ordre dans le chaos…
Il va donc falloir faire le ménage ! Voici les 5 chantiers nécessaires à une bonne adoption du modèle Zéro-Trust. Lancer dès aujourd’hui des initiatives dans ces domaines permettra à l’entreprise d’être en bien meilleure position d’ici deux ou trois ans, lorsque la nécessité de se tourner vers ce modèle se fera sentir.
>> Une bonne gestion des identités
La base du modèle Zéro-Trust, c’est l’utilisateur, et ses droits. Il faut donc disposer d’un référentiel solide, nettoyé et régulièrement mis à jour, tant des utilisateurs que de leurs droits
>> Une authentification solide
Avec des dizaines de décisions d’authentification par utilisateur et par jour, il faut là aussi un système solide et simple, qui ne viennent pas encombrer les utilisateurs avec des processus alourdis. Il doit être sûr et transparent, parfaitement intégré et intégrable aux multiples ressources de l’entreprise. Et bien entendu, cela commence par déployer une authentification multifacteur partout !
>> Un bon cloisonnement des ressources
Après l’utilisateur et ses droits, l’autre pilier du modèle d’accès Zéro-Trust, ce sont évidemment les ressources. Celles-ci doivent être correctement cloisonnées (on parle de micro segmentation) afin de tirer entièrement profit du modèle. Ce cloisonnement ne se fait plus sur la base de données techniques (des adresses IP), mais plutôt de données métier (des groupements par fonction, sensibilité, etc.)
>> Une maîtrise des configurations
Avec le modèle Zéro-Trust, l’accès et l’authentification à des ressources web deviennent primordiaux. Il est donc nécessaire de maîtriser parfaitement les configurations (chiffrement des flux, support des protocoles, etc.)
>> Une visibilité accrue sur l’usage du SI (détection)
Avec le modèle Zéro-Trust, de nouveaux événements et de nouveaux playbooks d’intrusion voient le jour et doivent être intégrés aux outils de supervision existants, ou au SOC. Mais pour cela, évidemment, il faut avoir mis de l’ordre dans la journalisation et la supervision des éléments actuels, afin de pouvoir y intégrer ceux générés par le modèle Zéro-Trust
Tous ces chantiers sont essentiels dès à présent, et ils ne pourront que renforcer la protection de l’entreprise, tout en facilitant grandement le passage au modèle d’accès Zéro-Trust s’ils sont maîtrisés lorsque cela sera nécessaire. Il n’y a donc vraiment aucune raison de s’en priver !
___________________
Par Matthieu Castel, Team Leader Systems Engineering EMEIA, chez Jamf