Skip to main content

Adopter l’approche Zero Trust. Voir grand, commencer petit, agir vite

La cybercriminalité est un secteur d’activité annuel de 6 billions de dollars, ce qui en ferait la troisième plus grande économie du monde, après celles des États-Unis et de la Chine.[1] Des économies d’échelle sont créées et des attaques sont déployées rapidement et à grande échelle.

Prenez par exemple les rançongiciels Le passage au rançongiciel en tant que service (RaaS) abaisse la barre technique pour les criminels et contribue à rendre les attaques de rançongiciels presque aussi simples que l’utilisation d’un site d’enchères en ligne.[2]  Nous devons rejeter l’idée qu’une organisation peut sécuriser son périmètre. En particulier lorsque le maillon le plus faible dans une organisation est l’élément humain, c’est-à-dire le personnel.

Un changement de paradigme est en cours, qui suppose que rien n’est sécurisé et que toutes les portes d’accès sont ouvertes. Rien n’est en sécurité derrière le pare-feu. Dans cet esprit, comment aborder la sécurité?

C’est là qu’entre en jeu le modèle de sécurité Zero Trust. Zero Trust s’adapte plus efficacement à la complexité de l’environnement moderne, intègre la main-d’œuvre mobile et aide à protéger les personnes, les appareils, les applications et les données, peu importe où ils se trouvent.[3] Cette approche peut sembler compliquée, mais elle fait la promotion de la simplicité grâce à trois principes : vérifier explicitement, utiliser le privilège minimal et présumer qu’il y a eu atteinte.

Zero Trust est apparue comme une meilleure solution de rechange aux défenses traditionnelles reposant sur un périmètre, en particulier en raison du passage au travail à distance et de l’expansion de la surface  des attaques. Zero Trust aide les responsables de la sécurité à mieux formuler les mesures d’aide à l’entreprise, l’efficacité des contrôles, les étapes d’amélioration continue et les capacités d’intervention.

Examinons deux défis courants auxquels les organisations font face aujourd’hui :

  • Gestion des périphériques : Les points de terminaison des organisations modernes qui accèdent aux données sont incroyablement diversifiés, mais ils ne sont pas tous gérés ou même détenus par l’organisation, ce qui donne lieu à différentes configurations d’appareils et à différents niveaux de correctifs logiciels. Cela crée une surface d’attaque plus vulnérable. Zero Trust aide les organisations à surmonter ce défi en exigeant que les périphériques soient inscrits à un système moderne de gestion des périphériques doté de politiques d’accès infonuagique pour contrôler l’accès des périphériques aux ressources de l’entreprise et valider leur état de santé numérique. Zero Trust peut améliorer considérablement la sécurité des terminaux et permettre le travail en mode hybride plus sécurisé qui tire parti de stratégies dépendantes des appareils comme l’Internet des objets (IdO) et l’informatique de pointe.
  • TI dans l’ombre : Les applications, les services et les infrastructures qui sont conçus et gérés en dehors des normes définies en matière de TI et de sécurité constituent un problème courant dans l’industrie. De nombreuses solutions simultanées en matière de TI dans l’ombre sont tout à fait sensées sur le plan commercial, mais elles sont souvent conçues en dehors des limites des systèmes d’ingénierie de l’organisation; elles présentent un risque de conformité potentiel pour l’entreprise, particulièrement dans les domaines de la sécurité, de la protection des renseignements personnels, de la gouvernance des données et de l’accessibilité. Zero Trust aide les organisations à adopter une approche axée sur les données pour comprendre leurs points terminaux, leurs données, leur infrastructure, leur réseau, leurs locataires infonuagiques, leurs abonnements et leurs applications. Des données omniprésentes et la télémétrie permettent l’application automatisée des politiques de sécurité afin d’assurer une meilleure conformité des décisions en matière d’accès. Zero Trust aide les équipes de sécurité à comprendre la situation en matière de sécurité, à cerner les lacunes potentielles ou réelles sur le plan de la couverture, à valider l’incidence des nouveaux contrôles et à corréler les données entre toutes les applications et tous les services dans l’environnement

L’avantage lié à la sécurité est clair, mais le modèle comble également les lacunes en matière de talents en TI. Chaque organisation travaille sans relâche pour obtenir un environnement numérique de plus en plus complexe, avec moins de ressources. Le nombre d’emplois vacants en cybersécurité a augmenté de 350 % à l’échelle mondiale pour atteindre 3,5 millions en 2021, soit suffisamment pour remplir les sièges de 50 stades  de la Ligue nationale de football des États-Unis. Nous avons désespérément besoin de modèles d’IA et d’apprentissage automatique.

Avec Zero Trust, les organisations peuvent prendre des décisions plus simples et meilleures pour un monde plus sûr.

#SoyonsCybervigilants

  • Voyez grand. Commencez petit. Déployez l’approche Zero Trust. Concentrez-vous sur le court terme et les victoires rapides. Sachez que vous ne pouvez pas modifier les processus de contrôle en une journée. Les environnements infonuagiques multiples et les anciennes technologies ajoutent des niveaux de complexité. Élaborez une analyse de rentabilité axée sur les résultats qui corresponde le mieux aux risques et aux objectifs stratégiques de votre organisation. Demandez-vous comment faire pour moderniser et sécuriser ce que vous avez déjà?
  • Faites le suivi de la réussite de votre parcours Zero Trust. Donnez plus d’assurance aux parties prenantes et aux décideurs clés que les initiatives Zero Trust peuvent apporter des améliorations mesurables à la situation en matière de sécurité de l’organisation et à l’entreprise. Recherchez des mesures et des cas de pratiques exemplaires à communiquer aux parties prenantes et aux décideurs clés. Recherchez des mesures et des cas de pratiques exemplaires à communiquer aux parties prenantes et aux décideurs clés.
  • La sécurité est un sport d’équipe. Établissez des partenariats, réduisez les frictions commerciales liées à la sécurité, trouvez des occasions de favoriser l’amélioration continue du personnel, des processus et des technologies. Les humains sont généralement le maillon le plus faible lorsqu’il s’agit de protéger votre organisation contre une cyberattaque. Même avec un modèle Zero Trust, n’oubliez pas la sensibilisation des employés et la formation sur maquette. En tant que sport d’équipe, un modèle Zero Trust devra impliquer tout le monde, de la direction à chaque employé, car chacun peut être ciblé de différentes façons, mais jouera assurément un rôle important sur le plan de la défense.

 

[1] « The new threat economy: A guide to cyber crime’s transformation – and how to respond. » Lyndo Brown. Security. Extrait du site https://www.securitymagazine.com/articles/95387-the-new-threat-economy-a-guide-to-cybercrimes-transformation-and-how-to-respond

[2] « 2022 Unit 42 Ransomware Report. » Palo Alto Networks. 2022. Extrait du site https://start.paloaltonetworks.com

[3] « The Total Economic ImpactTM of Zero Trust Solutions from Microsoft. » Forrester. Décembre 2021. Extrait du site https://query.prod.cms.rt.microsoft.com/cms/api/am/binary/RWRIEi?culture=en-us&country=US