Le « Zero Trust » est devenu un modèle de sécurité dominant pour faire face aux changements apportés par la mobilité, la consumérisation des applications informatiques et le cloud. L’expert mondial en cybersécurité John Kindervag a défini le principe directeur du « Zero Trust » comme : « ne jamais faire confiance, toujours vérifier ».
Les menaces qui parviennent à contourner un point de vérification tel un pare-feu (via des informations d'identification d'utilisateur compromises ou une application Web vulnérable, par exemple) doivent être stoppées par des contrôles de sécurité supplémentaires qui empêchent les hackers de se déplacer latéralement au sein d'un réseau, d'une application ou d’un environnement.
L’approche traditionnelle de la sécurité informatique
L'approche classique de la sécurisation des ressources d'informations d'entreprise repose sur plusieurs éléments :
Au fil des années, nous avons fini par reconnaître que ces hypothèses ne sont plus vraies, à cause de la mobilité, du cloud et des outils de collaboration.
La consumérisation de l'informatique a incité les utilisateurs à exiger un environnement plus personnalisé et à parfois utiliser leurs appareils personnels, sans contrôle de l’entreprise.
Or, les hackers qui franchissent un point de vérification (comme un pare-feu ou une connexion utilisateur) peuvent exploiter la confiance inhérente et se déplacer latéralement au sein d'un réseau, d'une application ou d'un environnement pour cibler des données sensibles.
Aujourd’hui, nous ne pouvons plus supposer que les entités « internes » sont dignes de confiance, qu’elles peuvent être gérées directement pour réduire les risques de sécurité ou qu’il suffit de les vérifier une seule fois.
Les différentes approches Zero Trust
La sécurité informatique n’est pas universelle, même au sein d’un même environnement d’entreprise. Par exemple, l’authentification continue est une excellente idée, jusqu’à ce qu’elles deviennent conflictuelles du fait que les utilisateurs n’en veulent plus s’ils doivent s’authentifier trop souvent avec plusieurs facteurs.
Voici les trois piliers sur lesquels repose le modèle de sécurité « Zero Trust » :
Des personnes telles que des employés, des sous-traitants, des partenaires et des fournisseurs accèdent aux applications professionnelles à l'aide de leurs appareils personnels ou gérés par l'entreprise.
Ce pilier garantit que seuls les bons utilisateurs et les appareils sécurisés peuvent accéder aux applications.
Les applications hébergées dans le Cloud ou tout autre environnement virtualisé ont besoin d’interagir entre elles.
Ce pilier se concentre sur l'accès sécurisé d’une API ou d’un connecteur dans le cadre des connexions entre les applications.
La sécurisation de toutes les connexions des utilisateurs et des appareils sur un réseau est primordial.
Ce pilier se concentre sur l'accès sécurisé à tout équipement connecté aux réseaux d'entreprise tels que les points de terminaison des utilisateurs, les serveurs physiques et virtuels, les imprimantes, les caméras, l’IoT (l’internet des objets)et bien d’autres encore.
L’approche « Zero Trust » ne nécessite pas une réinvention complète d’une infrastructure. Les solutions les plus efficaces doivent s’ajouter et prendre en charge un environnement hybride sans remplacer entièrement les investissements existants.
Aujourd'hui, il n'est plus possible de partir du principe que toutes les entités internes à une entreprise sont fiables, qu'il est possible de les gérer directement afin de réduire les risques ou qu'il suffit de les contrôler une fois. Le modèle de sécurité « Zero Trust » remet en question la confiance à chaque tentative d'accès.
Promosoft Informatique et son partenaire Cisco facilitent la mise en œuvre du « Zero Trust » en sécurisant les accès pour l'ensemble de vos applications et de vos environnements, quels que soient l'utilisateur, l'appareil, l'emplacement et votre budget.
L'atout de la solution de Cisco réside dans sa capacité à connecter des signaux partagés sur l'ensemble des points de contrôle (utilisateur, appareil, réseau, cloud, application et données). Ainsi, les politiques de contrôle d'accès « Zero Trust » appliquées se fondent sur des risques contextuels réels. Cisco s'adapte à vos besoins pour atteindre les résultats souhaités en matière de sécurité « Zero Trust », qu'il s'agisse de sécuriser l'accès des utilisateurs à distance, d'accélérer les migrations vers le cloud, de respecter des exigences réglementaires ou d'améliorer la réponse aux menaces.
