À propos des cookies sur ce site Pour fonctionner correctement, nos sites Internet nécessitent certains cookies (requis). En outre, d'autres cookies peuvent être utilisés avec votre consentement pour analyser l'utilisation d'un site, améliorer l'expérience des utilisateurs et à des fins publicitaires. Pour plus informations, passez en revue vos options de préférences en. En visitant notre site Web, vous acceptez que nous traitions les informations comme décrit dans ladéclaration de confidentialité d’IBM. Pour faciliter la navigation, vos préférences en matière de cookie seront partagées dans les domaines Web d'IBM énumérés ici.
Qu’est-ce que Zero Trust ?
Mise à jour : 20 juin 2024
Contributeurs : Gregg Lindemulder, Matthew Kosinski
Le Zero Trust est une stratégie de sécurité destinée aux réseaux multicloud modernes. Plutôt que de se concentrer sur le périmètre du réseau, un modèle de sécurité Zero Trust applique des politiques de sécurité à chaque connexion individuelle entre les utilisateurs, les appareils, les applications et les données.
Le Zero Trust fonctionne selon ce principe : « ne jamais faire confiance, toujours vérifier » plutôt que d’accorder une confiance implicite à tous les utilisateurs d’un réseau. Cette approche granulaire de la sécurité permet de répondre aux risques de cybersécurité que posent les télétravailleurs, les services de cloud hybride , les appareils personnels et d’autres éléments des réseaux d’entreprise actuels.
De plus en plus d’organisations adoptent des modèles Zero Trust pour améliorer leur posture de sécurité et s’adapter à l’augmentation de leurs surfaces d’attaque. Selon un rapport TechTarget Enterprise Strategy Group de 2024, plus des deux tiers des organisations déclarent mettre en œuvre des politiques Zero Trust dans l’ensemble de leurs entreprises.1
L’évolution des exigences légales et réglementaires justifie également l’adoption de la sécurité Zero Trust. Par exemple, un décret de 2021 du Président américain Joseph Biden a ordonné à toutes les agences fédérales des États-Unis de mettre en œuvre une architecture Zero Trust (ZTA).2
L’approche Zero Trust prend de l’importance, car le modèle traditionnel de sécurité réseau ne suffit plus. Les stratégies Zero Trust sont conçues pour les réseaux hautement distribués et plus complexes utilisés par la plupart des organisations d’aujourd’hui.
Pendant de nombreuses années, les entreprises se sont concentrées sur la protection des périmètres de leurs réseaux avec des pare-feu et d’autres contrôles de sécurité. Les utilisateurs situés à l’intérieur du périmètre du réseau étaient considérés comme dignes de confiance et bénéficiaient d’un libre accès aux applications, aux données et aux ressources.
La transformation numérique a éliminé le concept traditionnel de périmètre réseau. Aujourd’hui, les réseaux d’entreprise s’étendent au-delà des emplacements et des segments de réseau sur site. L’écosystème des entreprises modernes comprend des environnements cloud, des services mobiles, des centres de données, des appareils IoT, des applications SaaS (logiciel en tant que service) et un accès à distance pour les employés, les fournisseurs et les partenaires commerciaux.
En raison de l’extension de la surface d’attaque, les entreprises sont plus vulnérables aux violations de données, aux ransomwares, aux menaces internes et aux autres types de cyberattaques. Le périmètre du réseau n’est plus une frontière claire et ininterrompue, et les défenses basées sur le périmètre ne peuvent pas combler toutes les lacunes. En outre, les acteurs malveillants accédant au réseau peuvent exploiter cette confiance implicite pour effectuer des mouvements latéraux afin de localiser et d’attaquer les ressources critiques.
En 2010, l’analyste John Kindervag de Forrester Research introduit le concept de « Zero Trust » comme cadre de protection des ressources d’entreprise, avec un contrôle d’accès rigoureux. Le Zero Trust éloigne son attention du périmètre du réseau et place des contrôles de sécurité autour de chaque ressource.
Chaque point de terminaison, utilisateur et demande de connexion est considéré comme une menace potentielle. Au lieu d’avoir carte blanche lorsqu’ils traversent le périmètre, les utilisateurs doivent être authentifiés et autorisés chaque fois qu’ils se connectent à une nouvelle ressource. Ces processus de validation en continu permettent de garantir que seuls les utilisateurs légitimes peuvent accéder aux actifs réseau de valeur.
Pour faire simple, une posture de sécurité Zero Trust vérifie et authentifie en permanence les connexions entre les utilisateurs, les applications, les appareils et les données.
La mise en œuvre d’une stratégie Zero Trust au sein d’une organisation peut être une entreprise complexe. Il ne s’agit pas d’installer une solution Zero Trust unique. La sécurité Zero Trust nécessite une planification et une exécution dans un large éventail de domaines fonctionnels : politiques de gestion des identités et des accès, solutions et workflows de sécurité, automatisation, opérations et infrastructure réseau.
De nombreuses organisations suivent des cadres Zero Trust spécifiques pour construire des architectures Zero Trust. Les modèles établis comprennent le cadre Zero Trust de Forrester, la publication spéciale (SP) 800-2073 du National Institute of Standards and Technology (NIST) et le modèle de maturité Zero Trust (ZTMM) de la Cybersecurity and Infrastructure Security Agency (CISA).4
Bien que les organisations aient le choix parmi différents cadres, la plupart des stratégies Zero Trust se basent sur ces concepts clés communs : les trois principes du Zero Trust, les cinq piliers du Zero Trust et le Zero Trust Network Access (ZTNA).
Quels sont les trois principes du Zero Trust ?
Les spécifications techniques des différents cadres et modèles peuvent varier, mais elles suivent toutes un ensemble de principes Zero Trust de base :
- Surveillance et validation continues
- Le principe du moindre privilège
- Supposer une violation
Le Zero Trust rend tous les actifs réseau inaccessibles par défaut. Les utilisateurs, les appareils et les workloads doivent passer des étapes d’authentification et de validation continues et contextuelles pour accéder à toutes les ressources, et ils doivent réussir ces contrôles chaque fois qu’ils demandent une connexion.
Les politiques de contrôle d’accès dynamiques déterminent s’il faut approuver les demandes en fonction de points de données tels que les privilèges d’un utilisateur, son emplacement physique, l’intégrité de l’appareil, les renseignements sur les menaces et les comportements inhabituels. Les connexions sont surveillées en permanence et des réauthentifications régulières sont nécessaires pour poursuivre la session.
Dans un environnement Zero Trust, les utilisateurs et les appareils bénéficient d’un accès aux ressources selon le principe du moindre privilège. En d’autres termes, ils reçoivent le niveau minimum d’autorisation requis pour accomplir une tâche spécifique ou remplir leur rôle. Ces autorisations sont révoquées lorsque la session est terminée.
Une telle gestion des autorisations limite la capacité des acteurs malveillants à accéder à d’autres zones du réseau.
Dans une entreprise Zero Trust, les équipes de sécurité supposent que les pirates informatiques ont déjà pénétré les ressources réseau. Les actions que les équipes de sécurité appliquent souvent pour atténuer une cyberattaque en cours deviennent les procédures opérationnelles standard. Ces actions comprennent la segmentation du réseau pour limiter la portée d’une attaque, la surveillance de chaque actif, utilisateur, appareil et processus sur le réseau et la réponse en temps réel aux comportements inhabituels des utilisateurs ou des appareils.
Quels sont les cinq piliers du Zero Trust ?
Le modèle de sécurité Zero Trust de la CISA énonce 4 cinq piliers sur lesquels les organisations peuvent se concentrer lors d’une mise en œuvre Zero Trust :
- Identité
- Appareils
- Réseaux
- Applications et workloads
- Données
L’authentification des identités des utilisateurs et l’octroi à ces derniers d’un accès aux seules ressources approuvées de l’entreprise sont des capacités fondamentales de la sécurité Zero Trust.
Les outils couramment utilisés par les entreprises à cette fin comprennent les systèmes de gestion des identités et des accès (IAM), les solutions d’authentification unique (SSO) et l’authentification multifacteur (MFA).
Chaque appareil qui se connecte à une ressource réseau doit être entièrement conforme aux politiques Zero Trust et aux contrôles de sécurité de l’organisation. Cela inclut les postes de travail, les téléphones mobiles, les serveurs, les ordinateurs portables, les appareils IdO, les imprimantes et d’autres.
Les organisations Zero Trust dressent des inventaires complets et à jour de tous les points de terminaison autorisés. Les appareils non autorisés se voient refuser l’accès au réseau.
Les organisations passent de la segmentation traditionnelle du réseau à la microsegmentation dans un environnement Zero Trust. Les ressources et les workloads sont séparés en zones plus petites et plus sécurisées, ce qui aide les organisations à mieux contenir les violations et à empêcher les mouvements latéraux. Les acteurs malveillants ne peuvent même pas voir les ressources qu’ils ne sont pas autorisés à utiliser.
Les organisations peuvent également déployer d’autres méthodes de prévention des menaces réseau, telles que le chiffrement du trafic réseau et la surveillance des comportements des utilisateurs et des entités.
Comme pour tous les autres éléments couverts par les modèles de sécurité Zero Trust, les applications et les interfaces de programmation d’applications (API) ne jouissent pas d’une confiance implicite.
Au lieu de fournir un accès ponctuel statique aux applications, les organisations optent pour une autorisation dynamique qui nécessite une revalidation continue pour un accès persistant. Les organisations surveillent en permanence les applications qui communiquent entre elles pour détecter tout comportement inhabituel.
Dans le cadre d’un modèle Zero Trust, les organisations catégorisent leurs données afin de pouvoir appliquer des politiques ciblées de contrôle d’accès et de sécurité des données pour protéger les informations.
Les données en transit, en cours d’utilisation et au repos sont protégées par chiffrement et autorisation dynamique. Les organisations surveillent en continu le traitement des données pour détecter toute activité inhabituelle pouvant indiquer des violations de données ou une exfiltration de données sensibles.
Qu’est-ce que l’accès réseau Zero Trust (ZTNA) ?
L’une des principales technologies permettant de mettre en œuvre les stratégies Zero Trust est l’accès réseau Zero Trust ou ZTNA. Comme un réseau privé virtuel (VPN), le ZTNA fournit un accès à distance aux applications et aux services. Contrairement à un VPN, un ZTNA connecte les utilisateurs uniquement aux ressources auxquelles ils sont autorisés à accéder, et non à l’ensemble du réseau.
Le ZTNA est un élément clé du modèle Secure Access Service Edge (SASE), qui permet aux entreprises de fournir des connexions directes, sécurisées et à faible latence entre les utilisateurs et les ressources.
Sécurité multicloud
Comme l’architecture Zero Trust applique un contrôle d’accès basé sur l’identité, elle offre une protection renforcée pour les environnements hybrides et multicloud . Les workloads cloud vérifiés ont accès aux ressources critiques, tandis que les services et applications cloud non autorisés se voient refuser cet accès.
Quels que soient la source, l’emplacement ou les modifications apportées à l’infrastructure informatique, le Zero Trust peut protéger les environnements cloud très utilisés de manière cohérente.
Sécurité de la chaîne logistique
Les organisations doivent souvent accorder un accès réseau aux fournisseurs, sous-traitants, prestataires de services et autres tiers. Les pirates profitent de cette situation pour mener des attaques sur la chaîne d’approvisionnement, au cours desquelles ils utilisent des workloads et des comptes fournisseurs compromis pour pénétrer le réseau d’une entreprise.
Le Zero Trust applique une authentification contextuelle continue et un accès suivant le principe de moindre privilège à toutes les entités, même celles qui se trouvent en dehors du réseau. Même si des hackers pirataient le compte d’un fournisseur de confiance, ils ne pourraient pas accéder aux ressources les plus sensibles de l’entreprise.
Accès à distance pour les employés
Les organisations s’appuient traditionnellement sur des réseaux privés virtuels (VPN) pour connecter les employés à distance aux ressources du réseau. Mais le dimensionnement des VPN n’est pas facile, et ils n’empêchent pas les mouvements latéraux.
Avec un modèle Zero Trust, les entreprises peuvent utiliser des solutions d’accès réseau Zero Trust (ZTNA). Le ZTNA vérifie l’identité des employés, puis il leur accorde uniquement l’accès aux applications, données et services spécifiques dont ils ont besoin pour faire leur travail.
Visibilité IdO
Étant donné que les appareils IdO se connectent à Internet, ils représentent un risque pour la sécurité de l’entreprise. Les pirates ciblent souvent les appareils IdO, car ils peuvent les utiliser pour introduire des logiciels malveillants dans des systèmes réseau vulnérables.
Les architectures Zero Trust suivent en permanence l’emplacement, le statut et l’intégrité de chaque appareil IdO au sein de l’organisation. Chaque appareil est considéré comme une entité potentiellement malveillante. Comme les autres éléments d’un environnement Zero Trust, les appareils IdO sont soumis à des contrôles d’accès, à une authentification et à des communications chiffrées avec les autres ressources du réseau.
Solutions
Protégez et gérez les identités des clients, du personnel et des comptes à privilèges dans le cloud hybride en intégrant l’IA.
Protégez votre infrastructure et votre réseau contre les menaces de cybersécurité sophistiquées grâce à des compétences, à une expertise et à des solutions modernes éprouvées en matière de sécurité.
Protégez les données dans les clouds hybrides et simplifiez les exigences de conformité.
Ressources
Cette session gratuite de design thinking de 3 heures, virtuelle ou en personne, avec des architectes et des consultants seniors en sécurité IBM, vous aide à comprendre votre environnement de cybersécurité et à prioriser les initiatives.
Le bureau du DSI d’IBM s’est tourné vers IBM Security Verify pour faire bénéficier l’ensemble de son personnel et de ses clients d’une authentification numérique nouvelle génération.
Découvrez les différentes mesures à adopter pour mieux protéger vos données et garantir votre conformité, même lorsque le paysage informatique devient de plus en plus décentralisé et complexe.
Notes de bas de page
Tous les liens sont externes au site ibm.com.
1 Trends in Zero Trust. Enterprise Strategy Group by TechTarget. Mars 2024.
2 Executive Order on Improving the Nation’s Cybersecurity. La Maison-Blanche. 12 mai 2021.
3 NIST SP800-207: Zero Trust Architecture. NIST. Août 2020.
4 Modèle de maturité Zero Trust de la CISA. CISA. Avril 2023.