5 principes fondamentaux de la sécurité sans confiance

L'approche de la confiance zéro

Le modèle de sécurité "zéro confiance" a été développé en 2010 par John Kindervag alors qu'il était analyste principal chez Forrester Research Inc. Depuis, il a pris son essor et est devenu un objectif de sécurité primordial pour les entreprises du monde entier.

Le modèle de sécurité "zéro confiance" est basé sur le concept "faire confiance mais vérifier". Historiquement, les modèles de sécurité font implicitement confiance à tout utilisateur ou appareil à l'intérieur du réseau en supposant qu'il a été validé comme étant autorisé et légitime. Dans le cadre d'un modèle de confiance zéro, chaque demande d'accès est examinée et vérifiée de manière indépendante avant d'accorder l'accès aux ressources de l'entreprise. Cela est vrai quel que soit l'endroit d'où provient la demande, que ce soit à l'intérieur ou à l'extérieur du périmètre du réseau de l'entreprise.

Quels sont les principes fondamentaux de la confiance zéro ?

Par défaut, un modèle de sécurité "zéro confiance" considère chaque utilisateur, appareil et application comme une menace potentielle pour l'entreprise. Ce n'est qu'après avoir évalué la légitimité d'une demande - sur la base des contrôles d'accès basés sur les rôles (RBAC) et d'autres données contextuelles telles que l'origine de la demande, l'horodatage et les analyses comportementales de l'utilisateur - que l'accès est accordé ou refusé.

Le modèle de sécurité étendu de la confiance zéro définit sept principes clés ou domaines d'intervention lorsqu'une organisation travaille à la mise en œuvre d'un modèle de sécurité de la confiance zéro.

Cinq de ces principes sont basés sur l'application de la posture de sécurité "refus par défaut" à divers actifs de l'entreprise, notamment

1. Réseaux à confiance zéro : La défense du périmètre traditionnel du réseau n'est pas suffisante pour la cybersécurité de l'entreprise ou pour une politique de sécurité "zéro confiance". Un réseau de confiance zéro est microsegmenté, où des périmètres sont définis autour de chaque actif précieux de l'entreprise. À ces frontières, il est possible d'effectuer des inspections de sécurité et d'appliquer des contrôles d'accès, ce qui permet de bloquer plus facilement les mouvements latéraux des menaces à travers le réseau et de contenir et d'isoler une violation potentielle.
2. Charges de travail sans confiance : Les charges de travail basées sur le cloud, y compris les actifs tels que les conteneurs, les fonctions et les VM, sont des cibles attrayantes pour les cybercriminels et ont des besoins de sécurité uniques. Une surveillance et une gestion des accès adaptées et granulaires sont essentielles pour protéger ces actifs, en particulier dans le secteur public cloud.
3. Données de confiance zéro : L'amélioration de la sécurité des données est l'un des principaux objectifs d'une politique de sécurité "zéro confiance". La mise en œuvre de la confiance zéro nécessite d'identifier les caches de données sensibles ou précieuses, de cartographier les flux de données communs et de définir les exigences d'accès en fonction des besoins de l'entreprise. Ces politiques doivent également être définies et appliquées de manière cohérente dans l'ensemble de l'écosystème informatique d'une organisation, y compris les postes de travail, les appareils mobiles, application et les serveurs de base de données, ainsi que cloud déploiement.
4. La confiance zéro dans les personnes : Les informations d'identification compromises sont la principale cause des violations de données, de sorte que l'authentification basée sur les noms d'utilisateur et les mots de passe n'est plus suffisante. La confiance zéro nécessite une authentification forte à l'aide d'une authentification multi-facteurs (MFA) et un accès au réseau de confiance zéro (ZTNA).
5. Appareil de confiance zéro : une stratégie de sécurité de confiance zéro consiste à traiter tous les appareils connectés au réseau de l'entreprise comme non fiables et comme une menace potentielle. La mise en œuvre d'une sécurité "zéro confiance" nécessite la capacité de déterminer si un appareil constitue une menace et d'isoler ceux qui sont compromis.

Les deux autres principes clés décrivent les capacités essentielles d'une stratégie de sécurité fondée sur la confiance zéro :

• Visibilité et analyse : Une politique de sécurité "zéro confiance" repose sur la prise de décisions d'accès éclairées, ce qui nécessite une visibilité approfondie des activités effectuées sur les appareils et les réseaux de l'entreprise. Une sécurité zéro confiance efficace repose sur des analyses qui surveillent, enregistrent, mettent en corrélation et analysent en permanence les données collectées dans l'ensemble de l'écosystème informatique de l'entreprise.
• Automatisation et orchestration : Un réseau de confiance zéro permet de détecter les activités non autorisées et potentiellement malveillantes dans l'environnement de l'entreprise. L'architecture de confiance zéro doit être intégrée à l'infrastructure de sécurité de l'entreprise et à l'architecture informatique pour permettre une réponse rapide, automatisée et évolutive aux incidents, un audit de sécurité, une chasse aux menaces et une délégation des tâches.

Sécurité absolue sans confiance avec le Check Point

Pour être efficace, une politique de sécurité "zéro confiance" doit être appliquée de manière cohérente dans l'ensemble de l'écosystème informatique d'une organisation. Dans le cas contraire, les cybermenaces peuvent exploiter les lacunes dans l'application de la loi pour obtenir un accès non autorisé aux ressources de l'entreprise.

Attempting to implement zero trust with an array of disparate and standalone security technologies is likely to create these dangerous security holes. Check Point offers a holistic and integrated approach to implementing zero trust based on a consolidated security infrastructure.

Check Point is the core of Check Point’s Absolute Zero Trust Security strategy. It enables an organization to implement all aspects of the core zero trust principles, centralize monitoring and management of its security architecture, and minimize cybersecurity risk with a prevention-focused approach to known and zero-day threats.

To learn how to implement a zero trust security policy, check out The Ultimate Guide to Zero Trust Security. Then, find out how to implement zero trust with Check Point in Absolute Zero Trust Security with Check Point Architecture.