Zero Trust : ne faire confiance à personne par défaut

7 minutes de lecture

Longtemps, la sécurité a reposé sur une frontière : à l'intérieur du réseau de l'entreprise, on faisait confiance ; à l'extérieur, on se méfiait. Le Zero Trust abandonne cette idée : plus personne n'est automatiquement digne de confiance, même à l'intérieur.

01La situation en clair

Le modèle de sécurité traditionnel ressemble à un château fort : de solides murailles à l'extérieur, mais une fois passé le pont-levis, une liberté de circulation quasi totale à l'intérieur. Ce modèle s'écroule dès qu'un attaquant parvient à franchir une seule fois la muraille, que ce soit par un e-mail piégé ou un mot de passe volé : il se retrouve alors libre de circuler dans tout le reste du système.

Le Zero Trust part d'un principe inverse : aucune connexion, aucune personne, aucun appareil n'est considéré comme fiable par défaut, qu'il soit à l'intérieur ou à l'extérieur du réseau. Chaque accès à chaque ressource doit être vérifié individuellement, à chaque fois, selon le contexte du moment.

02Pourquoi ça compte

Avec le télétravail, le cloud et la multiplication des appareils personnels utilisés à titre professionnel, la notion même de "périmètre de l'entreprise" a perdu son sens : il n'y a plus vraiment d'intérieur et d'extérieur bien délimités. Le Zero Trust s'adapte à cette réalité en déplaçant la vérification de sécurité au plus près de chaque ressource, plutôt que de la concentrer sur une seule frontière devenue poreuse.

03Ce qu'il faut faire

1. 1

   Commencez par les identités, pas par le réseau

   Le socle du Zero Trust, c'est de savoir précisément qui accède à quoi. Un référentiel d'identités à jour, avec les bons droits attribués aux bonnes personnes, et une authentification forte (voir le guide sur l'authentification) sont les premières briques, avant tout investissement technique plus complexe.

2. 2

   Vérifiez le contexte, pas seulement l'identité

   Une même personne, avec le même mot de passe correct, ne présente pas le même niveau de risque selon qu'elle se connecte depuis son poste habituel en journée, ou depuis un pays inhabituel en pleine nuit. Le Zero Trust intègre ce contexte pour ajuster automatiquement le niveau de vérification demandé.

3. 3

   Réduisez les droits au strict nécessaire

   Chaque personne, chaque application, ne devrait avoir accès qu'à ce dont elle a réellement besoin pour sa mission, ni plus, ni "au cas où". C'est ce principe qui limite les dégâts si un compte venait tout de même à être compromis.

4. 4

   Avancez par étapes, pas en un seul projet

   Le Zero Trust n'est pas un produit qu'on installe d'un coup, c'est une trajectoire progressive. Commencez par les ressources les plus sensibles, mesurez, ajustez, puis élargissez le périmètre couvert.