Zero Trust : une approche pour la sécurité des données

Blog > Sécurité informatique > Zero Trust : une approche pour la sécurité des données
dessin ordinateur portable sur fond bleu qui affiche un triangle rouge avec un point d'exclamation

Le modèle d’authentification Zero Trust est un modèle d’architecture de sécurité informatique qui part du principe que personne ou aucun système ne peut être considéré digne de confiance par défaut. Cela signifie que toutes les ressources et tous les acteurs, y compris les utilisateurs internes, les systèmes et les applications, doivent être continuellement vérifiés et authentifiés avant d’accéder à des informations sensibles de l’infrastructure ou à des ressources réseau.

Au lieu de se fier à la localisation physique de l’utilisateur ou de la ressource pour déterminer si elle peut être fiable ou digne de confiance, le modèle d’authentification Zero Trust s’appuie sur des informations en temps réel sur l’identité, les politiques de sécurité et les comportements pour prendre des décisions d’accès pour chaque utilisateurs. Le but de la solution de service zéro trust est de minimiser les risques de sécurité en ne donnant accès qu’aux personnes, utilisateurs ou aux systèmes de confiance qui ont besoin de cet accès pour accomplir leur travail, tout en étant en mesure de contrôler et de surveiller l’accès à tout moment.

En résumé, le modèle de service Zero Trust représente une approche de sécurité et de confiance plus proactive, qui considère toutes les connexions comme potentiellement dangereuses et qui nécessite une vérification rigoureuse et continue de l’identité et des privilèges d’accès.

Pourquoi adopter une approche « Zero Trust » ?

Adopter une approche Zero Trust : la solution face aux limites du modèle de sécurité périmétrique traditionnel

Le modèle de service de sécurité périmétrique traditionnel est remis en question en raison des changements récents dans les technologies et les modes d’utilisation. L’utilisation accrue de l’informatique en nuage (le cloud), l’expansion du télétravail et l’utilisation de moyens personnels pour accéder à des données professionnelles ont réduit le contrôle que les entreprises peuvent exercer sur leurs systèmes d’information et leurs données. Pendant ce temps, le niveau de menace a augmenté. Dans ce contexte, les mesures traditionnelles de sécurité des données telles que les pares-feux, le cloisonnement (physique ou logique) et les infrastructures de réseaux privés virtuels (VPN) ont des limites. Bernard Ourghanlian, Microsoft : « Il est urgent d’adopter une approche « Zero Trust » face au risque cyber. 

Bernard Ourghanlian, CTO & CSO chez Microsoft : « Il est urgent d’adopter une approche « Zero Trust » face au risque cyber.

Alors que la menace informatique évolue, les entreprises doivent changer de paradigme en matière de cybersécurité. La protection périmétrique fait place à une approche de service Zero Trust, un moyen de protéger ses données tout en menant une transformation digitale qui prône l’ouverture.

« Les chroniques de la cybersécurité » met en évidence l’obsolescence de la défense périmétrique.

Comme le démontre l’exposition virtuelle « Les chroniques de la cybersécurité », la cybersécurité a énormément évolué ces dix dernières années. Si, à l’époque de l’attaque du ver « ILOVEYOU » au début des années 2000, la norme était de s’appuyer sur une solution de défense périmétrique où l’on protégeait le système d’information des utilisateurs en dressant des murailles.

« Cette exposition virtuelle vise à démystifier les grandes attaques informatiques et expliquer divers scénarios d’attaque » résume Bernard Ourghanlian, directeur technique et sécurité de Microsoft. « Nous voulons montrer que pour contrer chaque attaque à destination des utilisateurs, il existe des solutions de contrôles qui s’inscrivent dans une logique de protection de bout en bout et couvrir ainsi la totalité du périmètre de la sécurité, depuis le poste de travail et autres terminaux mobiles connectés, jusqu’au Cloud public. »

« Il n’est plus possible de penser le système d’information comme un système fermé aux frontières bien définies. »

« Aujourd’hui, vouloir s’abriter derrière des murailles n’est plus une approche réaliste » estime Bernard Ourghanlian, directeur technique et sécurité de Microsoft. « L’architecture d’un système d’information d’une entreprise moderne est de plus en plus connecté notamment grâce au cloud, tant au sens de l’organisation ouverte, mais aussi auprès des partenaires, des clients. Il n’est plus possible de penser le système d’information comme un système fermé aux frontières bien définies. La notion de défense et de contrôle périmétrique est aujourd’hui une notion obsolète et dès lors que le système d’information est ouvert avec l’utilisation du cloud, il faut adopter une approche différente, une approche où l’on admet qu’on ne connaît plus précisément le périmètre de sécurité. L’identité reste probablement le dernier rempart pour protéger l’accès aux données de l’entreprise ».

Qu’est-ce qu’une approche « ZERO TRUST » ?

Ne faire confiance à rien par défaut : adopter l’approche Zero Trust en cybersécurité

Le responsable de la cybersécurité de Microsoft milite pour une autre approche : « L’approche Zero Trust, c’est ne faire confiance à rien par défaut ! Il faut tout vérifier à chaque moment où l’utilisateur souhaite accéder à une information, des applications, accéder à une ressource de l’entreprise. C’est la raison pour laquelle il faut notamment privilégier les accès de contrôles conditionnels, contextualiser l’accès aux informations internes et faire en sorte que seulement dans un contexte très particulier et dans lequel l’utilisateur remplit toute une série de critères définis par la politique de sécurité et de contrôle du système d’information, on accorde ou pas l’accès à l’information demandée. ».

image virus ILOVEYOU 2000

ILOVEYOU, le virus informatique emblématique du début des années 2000. Ce ver, diffusé par email ne pourrait passer aucun antivirus moderne mais les attaquants ne cessent d’innover pour déjouer les différents outils de protection déployés par les entreprises au fil des ans.

Le but d’une approche zero trust est de s’assurer que seuls les utilisateurs, les applications et les données autorisés peuvent accéder aux ressources.

5 étapes clés pour adopter une approche Zero Trust en matière de sécurité

Pour adopter une approche zero trust, voici quelques étapes à suivre :

  1. Identifiez les actifs critiques : comprenez quelles sont les ressources les plus sensibles de votre entreprise et qui nécessitent une protection renforcée.
  2. Établissez une stratégie de sécurité basée sur les identités : utilisez des technologies d’authentification forte, telles que les mots de passe uniques, les tokens d’authentification et les certificats numériques, pour garantir que les utilisateurs autorisés peuvent accéder aux ressources.
  3. Implémentez une stratégie de micro-segmentation : divisez votre réseau en segments de sécurité plus petits pour empêcher la propagation des menaces.
  4. Évaluez régulièrement les risques : utilisez des outils de surveillance et d’analyse pour surveiller en permanence les activités de votre réseau et détecter les anomalies.
  5. Sensibilisez les employés : faites participer tous les employés à la sécurité de l’entreprise en les formant aux meilleures pratiques de sécurité, en sensibilisant sur les dangers potentiels et en leur donnant les outils pour les gérer.

Renforcer la sécurité de votre entreprise avec l’approche Zero Trust de Microsoft

Une sécurité de « bout en bout » que l’on retrouve dans les solutions Microsoft

Microsoft applique cette approche de sécurité « Zero Trust » au sein de ses offres Cloud Computing, mais aussi, c’est moins connu, avec un portefeuille de solutions de sécurité aujourd’hui très large. Microsoft propose ainsi Office 365 ATP afin de bloquer les attaques de phishing ciblant les messageries de ses clients, propose les solutions Windows Defender Antivirus et Windows Defender ATP afin de protéger les postes de travail. La sécurité par accès conditionnels, à la base de l’approche « Zero Trust », est réalisée au niveau d’Azure Active Directory, avec une solution qui assure une analyse de risque dynamique et contextuelle de chaque demande d’accès.

 « La notion de défense périmétrique est aujourd’hui une notion obsolète et dès lors que le système d’information est ouvert, il faut adopter une approche différente, aller vers le concept de « Zero Trust ». Bernard Ourghanlian, directeur technique et sécurité de Microsoft

Dans cette architecture de sécurité, Azure Information Protection est un outil indispensable de classification et de protection automatique des données sensibles, tandis que la solution Microsoft Cloud App Security assure une supervision des applications Saas accédées par les collaborateurs de l’entreprise ainsi qu’une découverture du « Shadow IT «, ces applications non autorisées par la DSI. Enfin, la solution Azure Security Center permet de détecter et apporter une réponse aux attaques portées sur les VM et les applications que l’entreprise met en œuvre sur Microsoft Azure.

Microsoft multiplie les initiatives pour accroitre le vivier d’experts en cybersécurité en France

Outre cet outillage complet, Microsoft agit sur un volet critique pour toutes les entreprises en France : les ressources humaines formées en cybersécurité. « Le marché de l’emploi en cybersécurité en France est tel qu’il y a beaucoup plus de demandes que de ressources disponibles. Nous consacrons beaucoup d’efforts avec des partenariats avec des écoles, dont l’ECE Paris, Telecom ParisTech, afin qu’elles créent des Master 2 en cybersécurité défensive. » L’objectif de Microsoft est d’augmenter le nombre d’experts en cybersécurité sur le marché français. De plus, en nouant des partenariats avec des acteurs du marché cybersécurité français tels qu’Orange Cyberdéfense, l’éditeur s’assure que les étudiants qui entrent dans ces cursus ont la garantie d’un job à la sortie, une garantie quelque peu superflue étant donné la tension qui règne actuellement sur le marché de l’emploi dans ces spécialités. Microsoft confirme ainsi sa volonté d’augmenter le vivier français d’experts en cybersécurité.

En adoptant une approche zero trust, vous pouvez renforcer la sécurité de votre entreprise et mieux protéger vos actifs critiques contre les menaces cyber. Cependant, il est important de se rappeler que la sécurité cyber est un processus continu et qu’il est nécessaire de mettre à jour régulièrement les stratégies et les technologies utilisées pour s’adapter aux nouveaux risques.

Vous souhaitez en savoir plus? N'hésitez plus, contactez nous.

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *