Zero Trust : pas un produit, un ordre de marche
Le Zero Trust se vend comme s’il s’agissait d’une boîte. Ce n’en est pas une. C’est un principe — ne faites confiance à aucune connexion sur la foi de son origine — et ce principe se met en place par étapes. Voici lesquelles, et dans quel ordre.
Le Zero Trust tient en une phrase : aucune connexion ne mérite confiance sur la foi de son origine. Ni parce qu’elle vient du bureau, ni parce qu’elle est passée par le VPN, ni parce que l’appareil était déjà là la semaine dernière.
Ce n’est pas un produit. Chaque éditeur en vend un, et chacun de ces produits couvre une couche. Qui achète une boîte en pensant avoir fini a acheté une couche et pas le reste.
L’ordre compte plus que la technique. Commencez par l’identité, car c’est la couche sur laquelle presque tous les incidents s’échouent et celle qui coûte le moins cher à améliorer.
Ce qu’est le Zero Trust, et ce qu’il n’est pas
L’ancien modèle était simple : à l’intérieur du réseau on avait confiance, à l’extérieur non. Un pare-feu se tenait entre les deux, et qui le franchissait atteignait tout. Cela fonctionnait tant que tout le monde était au bureau et que tous les systèmes se trouvaient dans la même salle serveurs.
Aucune des deux choses n’est plus vraie. Les personnes sont partout, les systèmes sont chez trois fournisseurs, et le pare-feu entoure un réseau où le travail n’habite plus. Le Zero Trust est la réponse à ce déplacement et tient en une règle : ne faites confiance à aucune connexion sur la foi de son origine. Chaque demande est jugée sur qui la formule, depuis quel appareil, et si cela tient à ce moment-là.
Ce que ce n’est pas : un produit. On n’achète pas du Zero Trust, pas plus qu’on n’achète de la sécurité. Chaque éditeur a une boîte pour cela — l’un sur l’identité, l’autre sur le réseau, le troisième sur le poste — et chacune couvre une part. Qui en achète une en pensant avoir terminé a réglé une couche et pas trois.
Et ce n’est pas tout ou rien. La plupart des organisations chez qui nous entrons ont déjà deux ou trois pièces en place sans l’appeler ainsi. La question n’est pas de savoir si vous commencez, mais par quelle couche.
Commencez par l’identité, toujours
S’il y a un endroit par lequel commencer, c’est celui-là, et pour deux raisons qui valent indépendamment l’une de l’autre.
La première : c’est la couche où cela dérape. Dans les incidents que nous voyons, l’entrée n’est presque jamais un trou technique dans un pare-feu. C’est un compte : un mot de passe fuité ailleurs, un collaborateur qui a cliqué sur une page de connexion bien imitée, un compte d’administration de 2019 que personne n’a jamais nettoyé.
La seconde : c’est la couche la moins chère. Activer un second facteur ne demande aucun investissement, seulement de la constance. Mettre en place l’accès conditionnel — qui peut faire quoi, depuis quel appareil et dans quelle situation — se trouve le plus souvent déjà dans la licence que vous détenez.
Ce qui doit être en place, concrètement :
- Un second facteur sur tout, et d’abord sur les comptes d’administration. Ceux-là valent la peine pour un attaquant ; celui d’un collègue de la comptabilité, non.
- L’accès conditionnel. Une connexion depuis un appareil géré doit permettre davantage qu’une connexion depuis un portable inconnu, dans un pays où vous n’avez personne.
- Les départs comme processus. Un compte qui reste actif est une porte ouverte, et cette porte s’atteint depuis l’extérieur. Ce n’est pas de la technique mais un accord avec les ressources humaines.
- Des droits d’administration qui expirent. On est administrateur tant qu’on administre quelque chose, pas de façon permanente parce qu’il l’a fallu une fois, il y a trois ans.
La façon dont nous organisons cette couche figure sous cybersécurité.
Ensuite l’appareil, et seulement après le réseau
La deuxième couche est l’appareil. Une connexion valide depuis un appareil dont vous ne savez rien reste un risque, car les identifiants ont pu être dérobés sur cet appareil. Ce que vous voulez ici s’énonce facilement et se tient plus difficilement : seuls les appareils que vous connaissez et qui sont à jour atteignent le travail.
Cela se heurte à la pratique, et cela fait partie du sujet. Il y a toujours un externe qui doit regarder demain et un dirigeant avec un téléphone personnel. La réponse n’est pas d’affaiblir la règle mais de construire une seconde voie : moins de droits, pas de fichiers en local, uniquement le navigateur.
La troisième couche est le réseau, et elle vient en dernier à dessein. La segmentation — découper le réseau pour qu’un appareil infecté n’atteigne pas tout — a de la valeur et représente aussi le plus de travail. Dans les organisations avec de la production ou du matériel médical, elle remonte, car des choses y sont raccordées que vous ne pouvez pas mettre à jour et qu’il faut donc isoler. Dans une organisation de bureau, le même effort porté sur l’identité rapporte davantage.
L’ordre identité, appareil, réseau n’est pas une loi. C’est ce qui retire le plus de risque par euro dans la plupart des parcs, et nous nous en écartons lorsque le vôtre en donne la raison. Mais nous disons alors pourquoi.
Ce qu’il advient du VPN
C’est la question qui revient dans chaque conversation, alors voici la réponse honnête.
Un VPN ne cadre pas avec le principe Zero Trust, car il fait exactement ce dont vous ne voulez plus : il fait entrer quelqu’un, et à l’intérieur on a confiance. Qui est passé par le VPN se trouve sur le réseau et atteint tout ce qui s’y trouve.
Nous conseillons pourtant rarement de le retirer tout de suite, et ce n’est pas de la complaisance. Dans presque tous les parcs, quelque chose y est accroché qui n’est pas joignable autrement : une vieille application, une machine, un fournisseur raccordé ainsi. Les retirer est un projet en soi, et tant que ce projet n’est pas fini, le VPN fait quelque chose dont vous avez besoin.
Ce que vous pouvez faire tout de suite, c’est le réduire. Qui y accède, avec quel second facteur, et où il débouche — non pas sur tout le réseau mais sur la poignée de systèmes concernés. C’est un après-midi de travail et cela retire l’essentiel du risque sans rien casser.
Ce que cela coûte en friction
Les montants ne figurent pas sur ce site. Ce qui a sa place ici, c’est l’autre prix, car il est rarement nommé et c’est lui qui fait échouer les mises en place.
Le Zero Trust signifie que les gens doivent confirmer plus souvent, qu’un appareil qui n’est pas à jour cesse de fonctionner, et que quelqu’un qui atteignait tout ne l’atteint plus. Cela produit de la résistance, et cette résistance est légitime : à court terme, le travail devient plus lourd.
Ce qui aide n’est pas d’expliquer que la norme l’exige. Ce qui aide, c’est de régler la règle pour qu’elle n’atteigne pas ceux qui travaillent normalement. Un second facteur qui demande une fois par semaine plutôt qu’à chaque connexion, un accès conditionnel qui ne demande rien de plus sur un appareil géré : voilà la différence entre une mesure qui tient et une mesure que l’on désactive au bout de trois semaines parce que la direction a buté dessus.
Et comptez sur une liste d’exceptions. Il y en a toujours une, et elle mérite d’être écrite avec un motif et une date au lieu d’exister en silence.
Les questions qu’on nous pose
Celles qui reviennent le plus quand le sujet est sur la table.
Le Zero Trust est-il un produit que l’on peut acheter ?
Non, et ce n’est pas un jeu de mots. C’est un principe : aucune connexion ne mérite confiance sur la foi de son origine. Chaque éditeur vend un produit à côté, et chacun couvre une couche — identité, appareil, réseau ou application. Qui en achète un a réglé une couche. Ce que l’on achète, c’est la technique qui rend une couche possible, et elle se trouve souvent déjà dans les licences que vous détenez.
Faut-il alors supprimer notre VPN ?
À terme oui, immédiatement rarement. Un VPN fait exactement ce que le Zero Trust veut éviter : il place quelqu’un à l’intérieur, et à l’intérieur tout est permis. Mais dans presque tous les parcs, quelque chose y est accroché qui n’est joignable d’aucune autre façon, et le retirer est un projet. Ce qui est possible tout de suite, c’est de le réduire : moins de personnes dessus, un second facteur devant, et un débouché sur les systèmes nécessaires plutôt que sur tout le réseau. C’est un après-midi de travail et cela retire l’essentiel du risque.
Par où commencer avec une petite équipe ?
Par l’identité, et au sein de l’identité par les comptes d’administration. Un second facteur dessus, des droits temporaires plutôt que permanents, et une liste de qui est administrateur que quelqu’un tient réellement à jour. Cela ne coûte aucun investissement et couvre le scénario le plus fréquent en pratique. La segmentation réseau a de la valeur mais représente le plus de travail, et avec une petite équipe ce n’est que rarement le point de départ.
NIS2 exige-t-elle le Zero Trust ?
Pas en ces termes. La Cyberbeveiligingswet, dans laquelle NIS2 est déclinée là-bas, demande du contrôle d’accès, de la gestion du risque dans la chaîne et de la démontrabilité — et le Zero Trust est une manière d’y répondre, pas la seule. Ce qu’un auditeur veut voir, c’est que vous savez qui atteint quoi et que vous pouvez le montrer. Avec la couche d’identité en ordre, cette preuve découle du travail de gestion au lieu d’être rassemblée après coup.
Où cela aboutit chez nous
Les services dont relève ce sujet.
Vous voulez savoir quelle couche est lâche ?
La couche d’identité s’examine en une demi-journée et produit généralement une liste que vous pouvez traiter vous-même.
Des connaissances informatiques concrètes dans votre boîte mail
De nouveaux guides sur la gestion, la sécurité et le poste de travail, écrits par ceux qui font le travail. Sans discours commercial, et la désinscription se fait en un clic.