Tout le monde (ou presque) fera du Zero Trust… et mieux vaut s’y préparer dès maintenant !

Pourtant, cela n’empêche évidemment pas les organisations de faire évoluer leur système d’information, car elles n’ont pas le choix.

L’hybridation devient ainsi la norme. Des annuaires Active Directory locaux cohabitent avec des Azure AD, chacun ayant dans le meilleur des cas son périmètre bien identifié. Dans le pire des cas, Azure AD réplique tout simplement l’annuaire on-premises car une solution métier dans le Cloud avait besoin d’un référentiel utilisateur, et c’était la manière la plus simple de lui en fournir un. Sans stratégie, donc, mais en répondant simplement à un besoin ponctuel. 

Et des besoins ponctuels, l’hybridation en crée des dizaines. Au-delà de la distinction entre l’infrastructure locale et celle dans le Cloud, il faut prendre en compte les applications métiers en SaaS s’appuyant sur des identités locales, ainsi que l’usage accru du télétravail où le même utilisateur, sur le même poste de travail, va pouvoir accéder en même temps à une application métier interne et une autre en SaaS, souvent en manipulant les mêmes données.

Et puis, que faire des terminaux personnels utilisés pour se connecter à des actifs professionnels ?

Alors on gère avec les technologies déjà présentes. Les matrices de flux deviennent délirantes (et finissent par disparaître) et les solutions s’empilent sans grande cohérence… tant que ça marche un jour de plus.

Le burnout du DSI et du RSSI n’est pas loin, tant ces professionnels ont à cœur d’accompagner les évolutions du SI tout en gardant le contrôle. Or, ce qui est déjà extrêmement difficile aujourd’hui sera mission impossible dans quelques années.

Car en définitive, tous ces « besoins ponctuels » sont des adaptations à courte durée. C’est du provisoire qui ne devrait pas durer. Il est évident, aujourd’hui, que les approches traditionnelles d’accès et de cloisonnement rencontrent des limites. Ils ne pourront probablement pas accompagner encore longtemps l’évolution des systèmes d’information et les besoins d’accès aux applications et aux systèmes dans un monde hybride.

C’est là qu’arrive le modèle Zero Trust : une manière différente de considérer l’accès aux ressources, qui se trouvent être mieux adaptées aux évolutions actuelles des usages et des infrastructures hybrides. Le changement est radical : la confiance n’est plus accordée sans limites une fois le VPN franchi. Elle est donnée de manière très granulaire, en fonction du trio utilisateur (son identité) — ressource (qui a le droit d’accéder à quoi ?) — terminal (est-il de confiance ?). L’entreprise peut ainsi contrôler l’ensemble des accès à ses ressources, quelle qu’en soit l’origine ou la destination. Ce qui supprime bon nombre de bricolages actuels !

Mais comme toute approche rupture, le modèle d’accès Zero Trust est parfois mal compris, et peut faire peur aux entreprises qui ne souhaitent pas, à juste titre, faire table rase de l’existant. 

Bonne nouvelle, adopter le modèle d’accès Zero Trust peut se faire de manière progressive, en conservant les équipements actuels, qui s’y intégreront sans difficulté. 

Moins bonne nouvelle : il s’agit surtout de remettre de l’ordre dans le chaos… 

Il va donc falloir faire le ménage ! Voici les 5 chantiers nécessaires à une bonne adoption du modèle Zero Trust. Lancer dès aujourd’hui des initiatives dans ces domaines permettra à l’entreprise d’être en bien meilleure position d’ici deux ou trois ans, lorsque la nécessité de se tourner vers ce modèle se fera sentir. 

• Conseil n=° 1 : Une bonne gestion des identités 

La base du modèle Zero Trust, c’est l’utilisateur, et ses droits. Il faut donc disposer d’un référentiel solide, nettoyé et régulièrement mis à jour, tant des utilisateurs que de leurs droits

• Conseil n=°2 : Une authentification solide

Avec des dizaines de décisions d’authentification par utilisateur et par jour, il faut là aussi un système solide et simple, qui ne viennent pas encombrer les utilisateurs avec des processus alourdis. Il doit être sûr et transparent, parfaitement intégré et intégrable aux multiples ressources de l’entreprise. Et bien entendu, cela commence par déployer une authentification multifacteur partout !

• Conseil n=°3 : Un bon cloisonnement des ressources informatiques

Après l’utilisateur et ses droits, l’autre pilier du modèle d’accès Zero Trust, ce sont évidemment les ressources. Celles-ci doivent être correctement cloisonnées (on parle de micro segmentation) afin de tirer entièrement profit du modèle. Ce cloisonnement ne se fait plus sur la base de données techniques (des adresses IP), mais plutôt de données métier (des groupements par fonction, sensibilité, etc.)

• Conseil n=°4 : Une maîtrise des configurations

Avec le modèle Zero Trust, l’accès et l’authentification à des ressources web deviennent primordiaux. Il est donc nécessaire de maîtriser parfaitement les configurations (chiffrement des flux, support des protocoles, etc.)

• Conseil n=° 5 : Une visibilité accrue sur l’usage du SI (détection)

Avec le modèle Zero Trust, de nouveaux événements et de nouveaux playbooks d’intrusion voient le jour et doivent être intégrés aux outils de supervision existants, ou au SOC. Mais pour cela, évidemment, il faut avoir mis de l’ordre dans la journalisation et la supervision des éléments actuels, afin de pouvoir y intégrer ceux générés par le modèle Zero Trust

Tous ces chantiers sont essentiels dès à présent, et ils ne pourront que renforcer la protection de l’entreprise, tout en facilitant grandement le passage au modèle d’accès Zero Trust s’ils sont maîtrisés lorsque cela sera nécessaire. Il n’y a donc vraiment aucune raison de s’en priver !