Sébastien Roques-Shaw, Directeur des partenariats stratégiques internationaux, Virtru
Avant l’émergence de l’approche Zero Trust, c’est l’approche du périmètre de sécurité ou encore du château-fort qui dominait : on protégeait les murs (le réseau) pour garantir la sécurité du royaume (les données).
En 2012, John Kindervag fut le premier à soumettre l’idée révolutionnaire d’une méthodologie Zero Trust de protection des données sans jamais accorder sa confiance à personne, dans l’entreprise comme en dehors. Le principe était le suivant : ne faites jamais confiance, vérifiez systématiquement ! Avec ce framework, les murs du château n’étaient plus le seul rempart pour assurer la protection du royaume.
Revenons-en à aujourd’hui : la pandémie a bouleversé nos modes de fonctionnement, le télétravail s’est généralisé partout et les opérations IT ont été basculées dans le cloud.
Cette transformation en profondeur des conditions de travail appelle une nouvelle métamorphose de l’approche Zero Trust. Alors que le concept de périmètre réseau a littéralement disparu, les responsables de la sécurité doivent repenser la façon dont ils assurent la sécurité de leur actif le plus important, à savoir leurs données. Il n’est plus question de protéger les remparts du château mais bien d’assurer la sécurité du royaume.
L’approche Zero Trust aujourd’hui
Pouvoir accumuler de très gros volumes de données se traduit inévitablement en valeur ajoutée pour l’entreprise qui peut mieux concurrencer ses rivaux, servir ses clients et prospérer. Mais ceci doit engager la responsabilité de l’entreprise à protéger ces données des hackers et des tentatives d’espionnage.
Cette responsabilité peut rapidement devenir une charge. En effet, avec les modèles Zero Trust actuels, les moyens et les ressources sont alloués à la sécurisation de la surface d’attaque digitale, afin d’empêcher la pénétration de cybercriminels. Cette approche, certes nécessaire, ne garantit pas pour autant la sécurité des données et les empêche de surcroît de circuler.
Ce sont les êtres humains qui produisent des données. Et à l’instar des êtres humains, les données sont une force dynamique dont la valeur augmente au gré des mouvements. Dans le contexte actuel de collaboration internationale intense, économique comme politique, il est d’autant plus vital d’intégrer des stratégies de partage de données compatibles avec Zero Trust. Or ceci crée une contradiction : comment trouver le juste équilibre entre sécurité et partage, sans perte de contrôle.
Souvent, les solutions de sécurité pour les besoins de partage interne et externe des données compliquent les choses. Elles dressent des obstacles à la collaboration, multiplient les combinaisons de mots de passe et d’identifiants d’accès au réseau, avec plusieurs appareils et terminaux par utilisateur, sans oublier les complications liées aux obligations de conformité réglementaire ou autres impératifs de sécurité. Non seulement, les workflows en sont perturbés, mais il est interdit d’utiliser des outils standard comme Google Workspace, Salesforce ou Microsoft.
Ce sont les données qu’il faut protéger, pas le réseau
Si l’on revient à l’intention première de la méthodologie Zero Trust, le principe premier d’une approche de sécurité Zero Trust est de protéger les données. Non pas de protéger les réseaux et de vérifier les identités : ce ne sont que les méthodes d’exécution d’une stratégie Zero Trust. Certes, la sécurité des réseaux, applis, terminaux, appareils et utilisateurs compte, mais à la seule fin de protéger les données.
Il est donc impératif que les équipes et les responsables de la cybersécurité examinent les conditions de sécurité des données alors même que celles-ci tendent à être partagées. Les avancées techniques et de protection des réseaux, applications, appareils et terminaux sont telles que les données en deviennent le parent pauvre. Un paradoxe qui mérite réflexion et appelle une solution non conventionnelle.
L’approche Zero Trust centrée sur les données
Placer les données au cœur d’une stratégie Zero Trust suppose de pouvoir zoomer au plus près et les contrôler de façon granulaire. Et plutôt que de rehausser les remparts du château, ce sont les précieux actifs du royaume qu’il convient de mieux équiper en mesures de protection.
Voici trois nouvelles méthodes Zero Trust centrées sur les données :
Les contrôles d’accès à base d’attributs
Contrairement aux contrôles d’attributs basés sur le rôle, RBAC (Role-Based Attribute Controls), les contrôles d’accès à base d’attributs, ABAC (Attribute-Based Access Controls), permettent au propriétaire des données d’appliquer des contrôles d’accès fondés sur des identifiants extrêmement spécifiques, sans forcément de lien avec le rôle ou les fonctions assumées en interne. Tous les analystes, développeurs de logiciels ou responsables de ventes n’ont pas besoins d’avoir accès aux mêmes données. L’approche ABAC permet d’autoriser et de révoquer les accès aux données en fonction de l’identité de l’utilisateur, de ses responsabilités particulières, de projets en cours, à certaines périodes limitées dans le temps, etc. Ainsi, les accès aux informations sensibles ne sont pas excessivement ouverts, de sorte que seules les personnes ayant réellement besoin de les consulter ou de les utiliser soient effectivement autorisées à le faire.
Le chiffrement de bout en bout
Le recours individuel au chiffrement de bout en bout des données permet également de centrer l’approche Zero Trust sur les données, pour partager des fichiers ou communiquer par e-mail, par exemple. Chaque e-mail ou fichier que vous chiffrez avant de le partager avec l’extérieur est de fait mieux sécurisé. Plutôt que d’autoriser l’accès à un réseau, un dossier ou un environnement cloud totalement chiffré, mieux vaut chiffrer les données par tranches, chacune avec ses propres contrôles de règles, et communiquer au destinataire les clés de déchiffrement de cette portion de données uniquement.
Le problème avec le chiffrement est qu’il faut être certain que le destinataire pourra accéder facilement à l’information, en toute sécurité. Si la personne doit passer par un portail séparé ou se créer de nouveaux identifiants, alors les employés contourneront les règles au profit de procédures moins sécurisées mais plus immédiates.
Le format Trusted Data Format (TDF)
TDF est un standard ouvert de protection des données qui conjugue chiffrement et contrôles ABAC pour que le propriétaire des données garde systématiquement le contrôle total sur ses données où qu’elles aillent, dans l’entreprise et en dehors. Le propriétaire des données peut ainsi accorder l’accès et le révoquer à tout moment, sans craindre de diffusion excessive à des employés non concernés ou des tiers externes.
Les conditions d’adoption de l’approche Zero Trust évoluent rapidement aussi devons-nous suivre le rythme. Or c’est en focalisant votre stratégie Zero Trust sur les données que vous obtiendrez un framework de sécurité à la fois flexible et pérenne.
En 2012, John Kindervag fut le premier à soumettre l’idée révolutionnaire d’une méthodologie Zero Trust de protection des données sans jamais accorder sa confiance à personne, dans l’entreprise comme en dehors. Le principe était le suivant : ne faites jamais confiance, vérifiez systématiquement ! Avec ce framework, les murs du château n’étaient plus le seul rempart pour assurer la protection du royaume.
Revenons-en à aujourd’hui : la pandémie a bouleversé nos modes de fonctionnement, le télétravail s’est généralisé partout et les opérations IT ont été basculées dans le cloud.
Cette transformation en profondeur des conditions de travail appelle une nouvelle métamorphose de l’approche Zero Trust. Alors que le concept de périmètre réseau a littéralement disparu, les responsables de la sécurité doivent repenser la façon dont ils assurent la sécurité de leur actif le plus important, à savoir leurs données. Il n’est plus question de protéger les remparts du château mais bien d’assurer la sécurité du royaume.
L’approche Zero Trust aujourd’hui
Pouvoir accumuler de très gros volumes de données se traduit inévitablement en valeur ajoutée pour l’entreprise qui peut mieux concurrencer ses rivaux, servir ses clients et prospérer. Mais ceci doit engager la responsabilité de l’entreprise à protéger ces données des hackers et des tentatives d’espionnage.
Cette responsabilité peut rapidement devenir une charge. En effet, avec les modèles Zero Trust actuels, les moyens et les ressources sont alloués à la sécurisation de la surface d’attaque digitale, afin d’empêcher la pénétration de cybercriminels. Cette approche, certes nécessaire, ne garantit pas pour autant la sécurité des données et les empêche de surcroît de circuler.
Ce sont les êtres humains qui produisent des données. Et à l’instar des êtres humains, les données sont une force dynamique dont la valeur augmente au gré des mouvements. Dans le contexte actuel de collaboration internationale intense, économique comme politique, il est d’autant plus vital d’intégrer des stratégies de partage de données compatibles avec Zero Trust. Or ceci crée une contradiction : comment trouver le juste équilibre entre sécurité et partage, sans perte de contrôle.
Souvent, les solutions de sécurité pour les besoins de partage interne et externe des données compliquent les choses. Elles dressent des obstacles à la collaboration, multiplient les combinaisons de mots de passe et d’identifiants d’accès au réseau, avec plusieurs appareils et terminaux par utilisateur, sans oublier les complications liées aux obligations de conformité réglementaire ou autres impératifs de sécurité. Non seulement, les workflows en sont perturbés, mais il est interdit d’utiliser des outils standard comme Google Workspace, Salesforce ou Microsoft.
Ce sont les données qu’il faut protéger, pas le réseau
Si l’on revient à l’intention première de la méthodologie Zero Trust, le principe premier d’une approche de sécurité Zero Trust est de protéger les données. Non pas de protéger les réseaux et de vérifier les identités : ce ne sont que les méthodes d’exécution d’une stratégie Zero Trust. Certes, la sécurité des réseaux, applis, terminaux, appareils et utilisateurs compte, mais à la seule fin de protéger les données.
Il est donc impératif que les équipes et les responsables de la cybersécurité examinent les conditions de sécurité des données alors même que celles-ci tendent à être partagées. Les avancées techniques et de protection des réseaux, applications, appareils et terminaux sont telles que les données en deviennent le parent pauvre. Un paradoxe qui mérite réflexion et appelle une solution non conventionnelle.
L’approche Zero Trust centrée sur les données
Placer les données au cœur d’une stratégie Zero Trust suppose de pouvoir zoomer au plus près et les contrôler de façon granulaire. Et plutôt que de rehausser les remparts du château, ce sont les précieux actifs du royaume qu’il convient de mieux équiper en mesures de protection.
Voici trois nouvelles méthodes Zero Trust centrées sur les données :
Les contrôles d’accès à base d’attributs
Contrairement aux contrôles d’attributs basés sur le rôle, RBAC (Role-Based Attribute Controls), les contrôles d’accès à base d’attributs, ABAC (Attribute-Based Access Controls), permettent au propriétaire des données d’appliquer des contrôles d’accès fondés sur des identifiants extrêmement spécifiques, sans forcément de lien avec le rôle ou les fonctions assumées en interne. Tous les analystes, développeurs de logiciels ou responsables de ventes n’ont pas besoins d’avoir accès aux mêmes données. L’approche ABAC permet d’autoriser et de révoquer les accès aux données en fonction de l’identité de l’utilisateur, de ses responsabilités particulières, de projets en cours, à certaines périodes limitées dans le temps, etc. Ainsi, les accès aux informations sensibles ne sont pas excessivement ouverts, de sorte que seules les personnes ayant réellement besoin de les consulter ou de les utiliser soient effectivement autorisées à le faire.
Le chiffrement de bout en bout
Le recours individuel au chiffrement de bout en bout des données permet également de centrer l’approche Zero Trust sur les données, pour partager des fichiers ou communiquer par e-mail, par exemple. Chaque e-mail ou fichier que vous chiffrez avant de le partager avec l’extérieur est de fait mieux sécurisé. Plutôt que d’autoriser l’accès à un réseau, un dossier ou un environnement cloud totalement chiffré, mieux vaut chiffrer les données par tranches, chacune avec ses propres contrôles de règles, et communiquer au destinataire les clés de déchiffrement de cette portion de données uniquement.
Le problème avec le chiffrement est qu’il faut être certain que le destinataire pourra accéder facilement à l’information, en toute sécurité. Si la personne doit passer par un portail séparé ou se créer de nouveaux identifiants, alors les employés contourneront les règles au profit de procédures moins sécurisées mais plus immédiates.
Le format Trusted Data Format (TDF)
TDF est un standard ouvert de protection des données qui conjugue chiffrement et contrôles ABAC pour que le propriétaire des données garde systématiquement le contrôle total sur ses données où qu’elles aillent, dans l’entreprise et en dehors. Le propriétaire des données peut ainsi accorder l’accès et le révoquer à tout moment, sans craindre de diffusion excessive à des employés non concernés ou des tiers externes.
Les conditions d’adoption de l’approche Zero Trust évoluent rapidement aussi devons-nous suivre le rythme. Or c’est en focalisant votre stratégie Zero Trust sur les données que vous obtiendrez un framework de sécurité à la fois flexible et pérenne.
