Zero Trust: le paradigme de la sécurité à l’ère du numérique
Dans un monde en mutation, les entreprises doivent constamment améliorer leur stratégie de sécurité. L’approche Zero Trust remet en question la confiance inhérente à l’infrastructure informatique et implique de contrôler tous les accès. Cela permet aux entreprises d’accroître leur sécurité tout en faisant avancer la transformation numérique. Mais de quoi s’agit-il exactement?
Février 2025, texte Andreas Heer 6 min.
Une brèche est ouverte et l’assaillant se précipite à l’intérieur de l’installation. Il ne s’agit pas d’une scène de film, mais du point de départ de la stratégie de cybersécurité d’une entreprise. Les failles de sécurité, allant jusqu’à l’exploitation des 0-days dans les pare-feu de différents fournisseurs, ont ouvert une porte dérobée aux assaillants. En outre, le cloud et le travail à distance ont sapé les modèles de sécurité sur site. Avec l’approche «Assume Breach», les entreprises partent du principe que les cybercriminels fouillent depuis longtemps leur infrastructure.
Le paradigme de sécurité sur lequel repose ce scénario est nommé «Zero Trust». «Il s’agit d’un paradigme et d’un concept architectural qui ne présuppose aucune confiance implicite au sein du paysage informatique», explique Stephan Andreas Weber, spécialiste de la cybersécurité chez Swisscom, en décrivant l’idée sous-jacente. Alors que les architectures de sécurité classiques protègent le périmètre et que les appareils et les personnes au sein du réseau de l’entreprise sont considérés comme dignes de confiance, une approche Zero Trust contrôle chaque accès, qu’il provienne d’un humain ou d’une machine. Cela permet ainsi de détecter les attaques à un stade précoce.
Le Zero Trust comme catalyseur de la numérisation
Plus qu’un «autre type de sécurité», le Zero Trust constitue un catalyseur de la transformation numérique. «L’approche permet l’introduction et l’utilisation sécurisées de services cloud et soutient ainsi les exigences légales et de conformité dans un contexte de passage à l’ère numérique», souligne M. Weber. Parallèlement, le Zero Trust offre une base sûre pour les modèles de travail hybride, qui permettent aux collaborateurs de travailler à distance en toute sécurité et de manière flexible, par exemple en déplacement ou en télétravail. En effet, les politiques d’accès aux ressources cloud de l’entreprise, par exemple, peuvent être appliquées indépendamment du lieu où elles se trouvent.
Par ailleurs, le Zero Trust augmente la cyberrésilience(ouvre une nouvelle fenêtre) en mettant à disposition des directives de sécurité dynamiques et adaptables. Cela aide les entreprises à réagir rapidement aux nouveaux scénarios de menaces et à adapter de manière flexible les mesures de cybersécurité à des conditions-cadres commerciales en constante évolution.
Les 5 principes du Zero Trust
Le Zero Trust est une stratégie de sécurité globale qui couvre tous les niveaux de l’infrastructure informatique. En font partie:
- le contrôle de l’accès des personnes aux services (User-to-Service)
- la surveillance des activités au sein de ces services (User-in-Service)
- la sécurisation de la communication entre les différents services via des API (Service-to-Service)
Cette approche globale garantit que chaque interaction est constamment contrôlée et validée afin de garantir la sécurité et l’intégrité de l’environnement informatique. Le Zero Trust repose sur cinq principes d’identification, d’authentification et d’autorisation des collaborateurs et des services:
- Contrôle continu
Chaque accès aux ressources, tant par le personnel que par les appareils ou les services, est contrôlé et validé en permanence. - Attribution minimale de droits (Principle of Least Privilege)
Les droits d’accès ne sont accordés que dans la mesure où ils sont nécessaires pour la tâche en question. L’attribution des droits à granularité fine minimise les surfaces d’attaque potentielles. - Collecte et évaluation centralisées des informations
Toutes les informations de sécurité pertinentes (par exemple les données d’identité, l’état des appareils et les procédures de connexion) sont surveillées dans le cadre d’une surveillance centralisée afin de créer une image globale et de contrôler dynamiquement l’accès. - Contrôles de sécurité complets
Les mesures de sécurité sont mises en œuvre à tous les niveaux et composants de l’infrastructure, de l’identité d’une personne au réseau, aux services et aux données, en passant par les appareils. - Contrôles d’accès dynamiques
Le contrôle d’accès s’effectue sur la base de données en temps réel telles que le contexte de l’utilisateur, le statut de l’appareil ou le lieu de séjour (géolocalisation). Ce contrôle est souvent effectué par des moteurs de politiques qui appliquent des directives adaptatives.
Orientation stratégique sur les valeurs agiles
Dans la mise en œuvre, des parallèles apparaissent entre le Zero Trust et le Manifeste agile(ouvre une nouvelle fenêtre), qui définit les valeurs et les principes du développement (logiciel). Tous deux misent sur une adaptation continue, l’abandon d’hypothèses rigides et la promotion de la collaboration. Tandis que le manifeste affine le développement logiciel avec des boucles de feedback itératives, l’approche Zero Trust mise sur une surveillance continue et une validation en temps réel des directives de sécurité. Pour augmenter la maturité Zero Trust, les entreprises peuvent adapter et élargir l’architecture de manière itérative. «On observe de meilleurs résultats en procédant à des ajustements progressifs en fonction des conditions du moment», résume M. Weber.
Avec le Zero Trust, l’accent est mis sur la garantie de l’interaction et des besoins des différents acteurs de l’entreprise. La priorité est donnée aux processus commerciaux les plus importants et les plus critiques. Mais il ne faut pas se concentrer exclusivement sur les mesures de sécurité, souligne M. Weber: «Dans le cadre d’une implémentation Zero Trust, nous recommandons de tenir compte de la convivialité et de simplifier les processus commerciaux pour l’utilisation.» Par exemple, les entreprises peuvent réduire les obstacles pour les utilisateurs tout en renforçant la sécurité en authentifiant automatiquement les appareils au moyen d’un certificat comme facteur supplémentaire.
Planifier et mesurer des approches Zero Trust avec des modèles de maturité
L’introduction d’approches Zero Trust est liée à des objectifs aussi mesurables que possible, tels qu’un MTTD (Mean Time to Detect) plus court ou l’atteinte d’un certain degré de maturité. Des ressources existent pour faciliter leur mise en œuvre, déclare M. Weber: «Les modèles de maturité sont des outils importants pour évaluer l’état actuel de l’implémentation, poser des jalons et mesurer les progrès.»
Ces modèles offrent également un langage commun pour communiquer les progrès aux parties prenantes non techniques. Les modèles de maturité courants comprennent le NIST SP 800-207(ouvre une nouvelle fenêtre) pour les environnements multi-cloud et le CISA Zero Trust(ouvre une nouvelle fenêtre). Le Swisscom Zero Trust Journey(ouvre une nouvelle fenêtre) s’en inspire également en tant qu’approche de conseil et facilite la mise en œuvre progressive.
La mise en œuvre du Zero Trust
L’introduction d’une approche Zero Trust est une entreprise de grande envergure. En effet, il s’agit de mettre en œuvre ce paradigme à travers différentes infrastructures et plateformes locales et cloud, mais aussi de prendre en compte d’éventuels systèmes hérités. M. Weber recommande donc une approche stratégique qui commence par ces trois étapes:
- Façonner le bon état d’esprit pour cette transformation de la sécurité et confirmer la volonté de mise en œuvre, par exemple avec une gouvernance adaptée.
- Sécuriser les identités (utilisateurs, appareils, services, etc.), par exemple avec un IAM (Identity and Access Management) à l’échelle de l’entreprise. Dans l’idéal, le contrôle commence au niveau des comptes utilisateurs.
- Même si l’objectif est de sécuriser les processus commerciaux critiques pour l’entreprise, mieux vaut commencer par les domaines où la maturité est la plus facile à atteindre, c’est-à-dire récolter d’abord les «low hanging fruits».
Dans une architecture Zero Trust, les identités sont en quelque sorte le nouveau périmètre de sécurité. Leur couverture est donc prioritaire. Les entreprises peuvent ensuite appliquer des mécanismes Zero Trust à leurs «joyaux de la couronne»: processus, données et services. En se concentrant sur les domaines clés, on obtient rapidement un niveau de sécurité de base, avec des résultats qui renforceront la confiance des parties prenantes.
L’aventure du Zero Trust continue
La mise en œuvre des approches Zero Trust n’est pas une initiative ponctuelle, mais un voyage sur le long terme. Elle nécessite un soutien constant, une formation et une capacité d’adaptation aux nouvelles situations. Les technologies telles que les analyses de sécurité pilotées par l’IA et les mesures automatisées continueront d’affiner les approches Zero Trust.
Et alors que dans le film, les envahisseurs sont chassés après une bataille héroïque, la fin heureuse dans la réalité est un peu moins dramatique, mais d’autant plus réussie: pour les entreprises, le Zero Trust favorise l’agilité commerciale et l’amélioration de la cyberrésilience.
Glossaire: les principaux composants d’une architecture Zero Trust
Les composants clés d’une infrastructure Zero Trust comprennent différentes technologies et approches qui, ensemble, garantissent une stratégie de sécurité globale. Voici quelques-uns des composants les plus importants:
Identity and Access Management (IAM)
L’élément central d’une architecture Zero Trust permet la gestion centralisée des identités et des droits d’accès. IAM permet aux utilisateurs d’accéder uniquement aux ressources dont ils ont besoin et intègre des fonctionnalités telles que l’authentification unique (SSO) et le contrôle d’accès basé sur les rôles (RBAC).