- La comparaison
- Mobile
- "Zéro confiance" sont les deux mots les plus importants que vous entendrez en 2019
Traditionnellement, la cybersécurité est une industrie dominée par les obstacles. Une meilleure technologie a permis de séparer les bons des méchants et d'ériger toutes sortes de portes, de douves et de murs, mieux c'était. Les entreprises ont dépensé plus de 120 milliards d'euros en 2018 pour prévenir les attaques, mais les failles continuent : environ 765 millions de personnes ont été touchées par des cyberattaques en avril, mai et juin. Les entreprises commencent à réaliser que la technologie à elle seule n'élimine pas les risques et ne garantit pas la sécurité de vos informations. Ils commencent à comprendre que le modèle traditionnel d'évaluation exhaustive de dizaines de fournisseurs au fil des mois devient une tâche passagère sans mise en œuvre préalable de la bonne stratégie et des bonnes pratiques. Pour beaucoup, cela signifie Zero Trust. Zero Trust est devenu une forme d'expression rajeunie au cours des deux dernières années, car il a gagné en popularité parmi les organisations de la société civile et les fournisseurs de technologie. La philosophie de base de Zero Trust est "ne jamais faire confiance, toujours vérifier", et repose sur l'hypothèse qu'il est impossible de séparer les "bons" des "méchants". Les approches traditionnelles qui visaient à établir un périmètre solide pour éloigner les méchants ne fonctionnent plus. Les ressources (données, applications, infrastructures, périphériques) sont de plus en plus hybrides ou totalement hors de ce périmètre. Avec Zero Trust, la confiance est retirée de l'équation et l'accent est mis sur l'audit continu. Il compte trois locataires principaux :
- Vérifiez chaque utilisateur, à chaque fois
- Validez chaque appareil
- Limitez intelligemment l'accès
Il s'agit d'une approche holistique et stratégique de la sécurité qui garantit que chaque appareil ayant accès à un réseau, une application ou un service est ce qu'il dit et ce qu'il est.
Crédit d'image: Shutterstock
Cloud a fait sauter le périmètre
Zero Trust s'est imposé si rapidement dans le secteur de la sécurité, en partie parce que la promesse d'une barrière technologique comme objectif ultime pour contrer les menaces et atténuer les risques est devenue impossible à l'ère de la sécurité du cloud en 39. Alors que les organisations déplacent de plus en plus d'infrastructures et de services vers le cloud, adoptent de plus en plus d'appareils mobiles et prennent en charge toutes sortes de travailleurs à distance, elles créent des trous (ou du moins des trous possibles) dans leur propre pare-feu. J'ai prononcé un discours au Zero Trust Summit l'année dernière et j'ai regardé à plusieurs reprises l'analyste du Dr Forrester, le Dr Chase Cunningham, et j'ai dit au public qu'à l'ère de la transformation numérique, les périmètres n'existent pas. Les anciennes approches de sécurité ne sont pas à la hauteur de la sophistication des menaces d'aujourd'hui. "Les gens diront : 'Nous faisons des choses.' Nous y travaillons", a déclaré le Dr Cunningham. "Eh bien, devinez quelle était la stratégie de Target avant la rupture? Protéger, détecter, dissuader, réagir. Devinez quelle était la stratégie d'OMB avant l'évasion ? Protéger, détecter, dissuader, réagir. Ce n'est pas une stratégie. "Si vous vous levez et dites : 'Notre stratégie de sécurité est de travailler pour une infrastructure Zero Trust. "Ici," continua-t-il. "Une phrase, tout le monde peut être derrière.
Tout est question de contexte
En l'absence de périmètres efficaces, l'information est le principal atout que les fabricants d'armes doivent utiliser contre les acteurs malveillants. À la base, Zero Trust est une question d'information : elle nécessite suffisamment de contexte pour que les utilisateurs, les appareils et le comportement puissent déterminer définitivement que quelqu'un est bien celui qu'il prétend être. Comme Cunningham l'a mentionné, il est essentiel à l'ère du cloud et des téléphones mobiles. Il y a dix ans, les stratégies de sécurité reposaient sur un signal unique : une requête provenait-elle de l'intérieur ou de l'extérieur du pare-feu ? Et ça a marché ! La plupart des utilisateurs se connectent aux réseaux, applications et services depuis leur bureau au travail ou peut-être depuis un ordinateur portable à la maison via un VPN. Ce n'est pas le cas. Les gens ont besoin d'un accès depuis leur bureau lorsqu'ils font la queue pour un café ou à 30,000 30,000 pieds (2018 81 pieds) dans un avion. Ils se connectent à partir d'ordinateurs de bureau, d'ordinateurs portables, de téléphones et de tablettes. Au lieu d'un seul signal, il en faut des centaines pour prendre la décision finale de donner ou non l'accès à quelqu'un d'autre. Zero Trust garantit que le contexte est fourni à chaque fois, avec chaque utilisateur. Est-ce que quelqu'un a les bonnes informations d'identification, mais est-ce qu'il se trouve sur un appareil de confiance ? Ils ont des informations d'identification et se trouvent sur un appareil de confiance, mais se trouvent-ils dans un lieu inhabituel ou se connectent-ils à une heure inhabituelle ? Ces signaux sont des éléments contextuels précieux qui contribuent à la sécurité de l'information dans l'environnement actuel. Une approche zéro confiance, associée à la bonne technologie, garantit que les entreprises peuvent répondre à ces questions. Selon le rapport XNUMX de Verizon sur les violations de données, plus de XNUMX % des violations sont dues à des mots de passe faibles ou volés. Avec ces informations, il est irresponsable pour les entreprises de se considérer protégées avec uniquement des noms d'utilisateur et des mots de passe. Alors que l'identité en ligne devient de plus en plus complexe et de plus en plus importante pour les entreprises et les consommateurs, l'approche Zero Trust appliquera fermement le vocabulaire de chaque organisation de la société civile. Oui, c'est un mot à la mode aujourd'hui, mais c'est aussi une stratégie de cybersécurité fondamentale à l'ère du cloud. Corey Williams, vice-président de la stratégie chez Idaptive