Qu’est-ce que le Zero Trust et pourquoi en avez-vous besoin ?

Si vous avez déjà entendu parler du terme Zero Trust dans le contexte de la cybersécurité sans vraiment savoir de quoi il s’agit, cet article vous permettra d’y voir plus clair. Dans le reste de cette série, nous expliquerons en détail ce concept.

Avant d’entrer dans le vif du sujet, il est essentiel de comprendre comment et pourquoi le Zero Trust a émergé. Allons-y.

Un environnement de travail en pleine mutation

Les modèles de sécurité traditionnels reposant sur un périmètre réseau défini semblable aux murs et aux douves d’une ville médiévale ne sont plus adaptés aux environnements professionnels modernes. Le télétravail et la migration vers le cloud ont rendu presque impossible le maintien d’un périmètre unique autour des réseaux d’entreprise. Aujourd’hui, les collaborateurs travaillent depuis différents lieux, souvent sur plusieurs appareils. De plus, avec l’adoption du cloud computing, de multiples périmètres numériques ont vu le jour.

Mais le problème va au-delà de l’érosion du périmètre. Les menaces cybernétiques deviennent de plus en plus sophistiquées, rendant les défenses traditionnelles obsolètes. L’ennemi n’est plus seulement à l’extérieur des murs : chaque identifiant peut potentiellement servir de porte d’entrée à un attaquant. Les failles de sécurité internes, qu’elles soient volontaires ou accidentelles, sont désormais une réalité. De nombreuses violations de données à grande échelle ont mis en évidence les limites des approches classiques.

Avec la montée en puissance du cloud, une nouvelle approche de la sécurité est devenue nécessaire. C’est dans ce contexte que John Kindervag, ancien analyste chez Forrester, a proposé en 2010 le modèle Zero Trust, visant à prévenir les violations de données et les cyberattaques en réduisant la surface d’attaque et les possibilités de mouvements latéraux au sein du réseau.

Aujourd’hui, le modèle Zero Trust s’impose comme une meilleure pratique en matière de sécurité, même si le concept n’est pas encore pleinement compris par tous.

Qu’est-ce que le Zero Trust ?

Contrairement aux modèles traditionnels qui font confiance aux utilisateurs et aux appareils situés à l’intérieur du périmètre du réseau, le Zero Trust part du principe que toute personne et tout appareil doivent être constamment vérifiés avant d’accéder aux ressources. Il agit comme si une violation de sécurité avait déjà eu lieu, que le réseau était compromis et que toute entité ou requête pouvait être malveillante.

Avec pour principe central « Ne jamais faire confiance, toujours vérifier », le modèle Zero Trust applique des politiques strictes à chaque demande d’accès ou transaction, tout en permettant aux employés de continuer à travailler efficacement.

Les principes fondamentaux du Zero Trust

Bien que « Ne jamais faire confiance, toujours vérifier » soit le principe de base, d’autres piliers soutiennent également ce modèle :

Accès à privilège minimal

Accès à privilège minimal Le Zero Trust accorde le niveau d’accès minimal nécessaire à chaque utilisateur, appareil et application, selon les concepts de just-enough-access (JEA) et just-in-time (JIT). Chaque personne ou entité non humaine ne reçoit l’accès qu’aux applications ou informations qui lui sont spécifiquement approuvées, et uniquement pour une durée déterminée. Par exemple, si une personne rejoint une équipe pour un projet précis, elle pourra accéder à certains fichiers le temps du projet, puis son accès sera révoqué une fois celui-ci terminé.

Micro-segmentation

L’approche Zero Trust divise les périmètres de sécurité en petites zones afin de maintenir des accès séparés. Imaginez différents départements d’une organisation — voire des équipes au sein de ces départements — disposant chacun de leur propre périmètre de sécurité, empêchant ainsi, par exemple, un employé du marketing d’accéder aux dossiers RH. Cette méthode applique des autorisations granulaires et une segmentation fine, ce qui limite l’exposition des données sensibles et empêche les accès non autorisés en cas de compromission.

Authentification multifacteur (MFA)

Même avec la micro-segmentation, le Zero Trust exige plusieurs formes de vérification avant d’accorder l’accès. Cela peut être un SMS envoyé au téléphone, une demande de mot de passe ou une validation via une application d’authentification. Le défi pour les entreprises consiste à trouver le bon équilibre entre sécurité et productivité. Les organisations performantes qui déploient efficacement une stratégie Zero Trust parviennent à concilier ces deux objectifs.

Surveillance continue

Le modèle Zero Trust met en place une surveillance et une validation en temps réel de la posture de sécurité. Par exemple, si un employé se connecte depuis Londres à 9 h, puis deux heures plus tard apparaît connecté depuis l’Inde, un administrateur serait immédiatement alerté d’un risque potentiel, puisqu’il serait impossible de se déplacer entre ces deux lieux dans un délai aussi court. Cette surveillance automatisée et constante permet de signaler immédiatement les anomalies.

Accès conditionnel

Le Zero Trust renforce la sécurité sans détériorer l’expérience utilisateur. Pour y parvenir, il s’appuie sur un accès conditionnel, qui consiste à appliquer des contrôles d’accès contextuels et des mécanismes d’authentification adaptatifs, afin de trouver le juste équilibre entre sécurité et facilité d’utilisation.