"Zero Trust" sont les deux mots les plus importants que vous entendrez en 2019
Traditionnellement, la cybersécurité est un secteur dominé par les barrières. Plus une technologie était efficace pour séparer les bons des méchants et pour ériger toutes sortes de portes, douves et murs, mieux c'était. Les entreprises ont dépensé plus de 120 milliards d’euros en 2018 pour prévenir les attaques, mais les violations ont persisté : on estime que 765 millions de personnes ont été touchées par des cyberattaques rien qu’en avril, mai et juin de l’année dernière.
Les entreprises commencent à se rendre compte que la technologie à elle seule n’élimine pas les risques ni n’assure la sécurité de leurs informations. Ils commencent à voir le modèle traditionnel consistant à évaluer exhaustivement des dizaines de fournisseurs pendant des mois devenir une tâche de Sisyphe sans mettre en œuvre au préalable la bonne stratégie et les meilleures pratiques. Pour beaucoup, cela signifie Zero Trust.
Zero Trust est devenu un mot à la mode rajeuni au cours des deux dernières années, car il est devenu plus populaire parmi les OSC et les fournisseurs de technologies. La philosophie fondamentale de Zero Trust est « ne jamais faire confiance, toujours vérifier » et fonctionne sur le principe selon lequel vous ne pouvez pas séparer les « bons » des « méchants ». Les approches traditionnelles axées sur l’établissement d’un périmètre solide pour empêcher les méchants d’entrer ne fonctionnent plus. Les ressources (données, applications, infrastructures, appareils) sont de plus en plus hybrides ou totalement en dehors de ce périmètre. Avec Zero Trust, la confiance est supprimée de l’équation et l’accent est mis sur la vérification continue.
Il a trois locataires principaux:
- Vérifiez chaque utilisateur, à chaque fois
- Validez chaque appareil
- Limitez l'accès intelligemment
Il s'agit d'une approche holistique et stratégique de la sécurité qui garantit que chaque personne et chaque appareil autorisé à accéder à un réseau, une application ou un service est qui et ce qu'il prétend être.
Crédit d'image: Shutterstock
Cloud a fait sauter le périmètre
Le Zero Trust est devenu si rapidement ancré dans l’air du temps en matière de sécurité, en partie parce que la promesse d’une barrière technologique comme solution ultime pour arrêter les menaces et atténuer les risques est devenue impossible à l’ère du cloud. À mesure que les entreprises déplacent de plus en plus d’infrastructures et de services vers le cloud, adoptent de plus en plus d’appareils mobiles et prennent en charge tous les types de travailleurs à distance, elles créent en réalité des failles (ou du moins des failles potentielles) dans leurs propres pare-feu.
J'ai donné une conférence au Zero Trust Summit l'année dernière et j'ai vu l'analyste de Forrester, le Dr Chase Cunningham, répéter à plusieurs reprises au public qu'à l'ère de la transformation numérique, les périmètres n'existent plus. Les anciennes approches de la sécurité ne sont pas compatibles avec la sophistication des menaces actuelles.
« Les gens diront : « Nous faisons des choses. Nous y travaillons », a déclaré le Dr Cunningham. « Eh bien, devinez quelle était la stratégie de Target avant la brèche ? Protéger, détecter, dissuader, réagir. Devinez quelle était la stratégie de l’OMB avant la brèche ? Protéger, détecter, dissuader, réagir. Ce n'est pas une stratégie.
« Si vous vous levez et dites : « Notre stratégie de sécurité consiste à œuvrer pour une infrastructure Zero Trust ». "C'est tout", a-t-il poursuivi. « Une prière. N’importe qui peut être derrière tout ça.
Tout est question de contexte
En l’absence de périmètres efficaces, la meilleure arme dont disposent les entreprises contre les acteurs malveillants est l’information. À la base, Zero Trust est une question d'information : disposer de suffisamment de contexte sur les utilisateurs, les appareils et le comportement pour déterminer de manière définitive qu'une personne est bien celle qu'elle prétend être.
Comme Cunningham l'a mentionné, cela est essentiel à l'ère du cloud et des téléphones mobiles. Il y a dix ans, les stratégies de sécurité reposaient sur un signal unique : une requête provenait-elle de l’intérieur ou de l’extérieur du pare-feu ? Et ça a marché ! La plupart des utilisateurs se sont connectés aux réseaux, applications et services depuis leur ordinateur de bureau au travail, ou peut-être depuis un ordinateur portable à la maison via un VPN.
Ce n'est plus le cas. Les gens ont besoin d'y accéder depuis leur bureau, lorsqu'ils font la queue pour prendre un café ou depuis 30 000 pieds dans le ciel dans un avion. Ils se connectent depuis des ordinateurs de bureau, des ordinateurs portables, des téléphones et des tablettes. Au lieu d’un seul signal, il en faut des centaines pour finalement décider d’accorder ou non l’accès à quelqu’un. Zero Trust garantit que le contexte est fourni à chaque fois, avec chaque utilisateur.
Quelqu’un possède les bonnes informations d’identification, mais se trouve-t-il sur un appareil fiable ? Ils disposent d’informations d’identification et se trouvent sur un appareil fiable, mais se trouvent-ils dans un endroit inhabituel ou se connectent-ils à un moment inhabituel ? Ces signaux constituent des éléments de contexte précieux qui contribuent à assurer la sécurité des informations dans l’environnement actuel. Une approche Zero Trust, associée à la bonne technologie, garantit que les entreprises auront la capacité de répondre à ces questions.
Selon le rapport 2018 sur les violations de données de Verizon, plus de 81 % des violations sont dues à des mots de passe faibles ou volés. Avec ces informations, il est irresponsable de la part des entreprises de se considérer protégées uniquement par des noms d'utilisateur et des mots de passe. Alors que l’identité en ligne devient de plus en plus complexe et de plus en plus importante pour les entreprises et les consommateurs, l’approche Zero Trust deviendra fermement ancrée dans le vocabulaire de toutes les OSC.
Oui, c'est un mot à la mode aujourd'hui, mais c'est aussi une stratégie de cybersécurité essentielle à l'ère du cloud.
Corey Williams, vice-président de la stratégie chez Idaptive(ouvre dans un nouvel onglet)
Votre commentaire: