Quand on parle de sécurité informatique, on entend de plus en plus parler du « Zero Trust » (ou Confiance Zéro). Ce concept n’est pourtant pas nouveau. S’il connaît un intérêt croissant, c’est tout d’abord parce que les cyberattaques augmentent fortement, et parce que celui-ci remet en question l’approche traditionnelle utilisée pour sécuriser un SI.
Qu’est-ce que le « Zero Trust » ?
Le concept est simple : ne faire confiance à rien (ni aux périphériques connectés, ni aux identités, ni aux personnes) et tout vérifier. Il faut partir du principe qu’une attaque est toujours possible et agir en conséquence. Cela signifie que chaque demande d’accès doit être vérifiée et authentifiée avant d’être autorisée.
Comme l’explique Microsoft, le « Zero Trust » se fonde sur 3 principes : la vérification systématique, l’utilisation des accès avec le minimum de privilèges (droits) et le fait de partir du postulat qu’une violation de sécurité peut toujours avoir lieu.
Pourquoi adopter le concept de Confiance Zéro pour votre organisation ?
Les organisations victimes de cyberattaques (comme les rançongiciels par exemple) sont de plus en plus nombreuses. Tous les secteurs sont touchés (public ou privé) et les pertes, qu’elles soient financières ou autres, peuvent être extrêmement lourdes. Cet accroissement a même poussé le Cigref (association des grandes entreprises et administrations publiques françaises) à attirer l’attention du Premier ministre via un courrier le 13 novembre 2020 sur le sujet. L’association y déplore notamment l’augmentation en nombre et en intensité des cyberattaques et demande une réponse adaptée en moyens et en droit pour renforcer la sécurité numérique.
De leur côté, les organisations peuvent d’ores et déjà agir en remplaçant leur approche traditionnelle de la sécurité informatique par une architecture « Zero Trust ». Cela inclut notamment la mise en place d’une identification renforcée des utilisateurs (via la MFA par exemple) et des périphériques, de politiques d’autorisation et d’accès plus exigeantes et une surveillance accrue du système d’information. Toujours selon le principe de la Confiance Zéro, les équipes IT doivent également se méfier des attaques qui pourraient provenir d’un individu malveillant au sein même de l’organisation. Ce faisant, elles sont mieux préparées et peuvent donc éviter bien des écueils.
Microsoft lance le Zero Trust Deployment Center pour faciliter la tâche des organisations
Si les entreprises, les établissements de santé et les collectivités peuvent mieux se protéger avec le « Zero Trust », ils n’ont pas tous la même maturité et les mêmes armes. C’est pourquoi Microsoft vient de lancer son Zero Trust Deployment Center, un dépôt permettant de stocker des informations permettant de tendre vers la Confiance Zéro et fournissant des conseils pour appliquer le concept sur les identités, les points d’accès, les données, les applications, les réseaux et l’infrastructure.
Pour les organisations ayant déjà adopté certains principes du « Zero Trust », Microsoft met à disposition un outil permettant d’évaluer le niveau « Zero trust » de l’existant (traditionnel, avancé ou optimal) et donnant des recommandations personnalisées.
