L’évolution du risque interne

Tony Fergusson, CISO en résidence chez Zscalerpublie une tribune dans laquelle il remet en question notre représentation du risque interne. Dans un monde où le périmètre a disparu et où les attaquants héritent des mêmes privilèges qu’un employé légitime, la frontière entre menace interne et externe s’efface. Voici ce que l’on en retient.

Pendant longtemps, le risque interne désignait une personne physiquement présente dans l’entreprise un employé au bureau, un prestataire sur site. Pourtant, cette représentation est désormais obsolète.

Les utilisateurs sont aujourd’hui dispersés entre bureau, domicile et espaces de télétravail. Les données résident dans le cloud. Le périmètre traditionnel a disparu. Ainsi, toute personne ayant accès à l’environnement numérique de l’organisation est, par définition, un interne potentiel y compris un attaquant qui aurait compromis un compte légitime.

C’est le changement de paradigme central que pointe Tony Fergusson. Une fois qu’un adversaire a compromis une identité par phishing, malware ou identifiants volés il hérite ainsi des mêmes permissions qu’un utilisateur de confiance. Ses actions et ses schémas d’accès deviennent alors pratiquement indiscernables de ceux d’un employé légitime.

Cette approche furtive, connue sous le nom de « Living Off The Land » (LOTL), consiste à utiliser les outils et processus déjà présents dans l’environnement, sans introduire de comportements inhabituels. L’attaquant se fond donc dans les activités quotidiennes et passe inaperçu. Il ne pirate plus il se connecte.

Face à cette réalité, les mesures de sécurité traditionnelles montrent leurs limites. Elles ne permettent en effet plus de distinguer l’attaquant de l’opérateur légitime.

Pour contrer ces menaces, les organisations doivent par conséquent se concentrer sur le comportement plutôt que sur l’identité seule. Observer les écarts par rapport aux habitudes normales, mettre en place des pièges pour détecter une activité inhabituelle ce sont ces signaux comportementaux qui permettent d’intercepter une menace interne avant qu’elle ne dégénère.

Mais la détection ne suffit pas. Tony Fergusson introduit ici le concept de « confiance négative » une approche qui consiste à ajouter de l’imprévisibilité et du bruit contrôlé dans les systèmes pour perturber les attaquants. La logique est simple : plus un environnement est prévisible, plus il est facile pour un adversaire de s’y déplacer sans être détecté. En introduisant de la variabilité, on force l’attaquant à révéler sa présence et on facilite ainsi la détection.

Le Zero Trust reste le socle incontournable de toute stratégie de défense. Il repose en effet sur un principe clair : la confiance ne peut être ni statique ni implicite elle doit être continuellement réévaluée. Authentification forte, terminaux sécurisés, surveillance continue autant d’éléments qui rendent la compromission initiale plus difficile.

La confiance négative vient par ailleurs compléter ce dispositif en rendant l’environnement imprévisible. Ensemble, ces deux approches forment une défense plus robuste face à des adversaires de plus en plus habiles à se fondre dans la masse.

La tribune de Tony Fergusson rappelle une réalité inconfortable : aujourd’hui, chaque attaque commence à ressembler à une attaque interne. L’accès est donc devenu le nouveau périmètre et le comportement de chaque utilisateur, le seul véritable indicateur de confiance. Dans ce contexte, traiter chaque menace comme une menace interne n’est ainsi plus une posture paranoïaque. C’est simplement la bonne stratégie.