Pourquoi le zero-trust est essentiel dans un monde post-pandémique

La transformation numérique n'est pas un objectif à remettre au lendemain mais un impératif d'aujourd'hui. Dans ce monde post-pandémique, le travail n'est plus seulement un endroit où l'on se rend, mais une activité que l'on réalise, 82 % des organisations adoptant une stratégie de cloud hybride. En fait, la plupart des organisations utilisent en moyenne 110 applications SaaS dans leurs environnements. Le défi ne réside pas seulement dans le fait que les applications sont omniprésentes, mais aussi dans le fait que les utilisateurs le sont aussi, ce qui élargit considérablement la surface d'attaque. Si l'on ajoute à cela un paysage de menaces de plus en plus sophistiqué, on obtient un risque très élevé qui exige des organisations qu'elles agissent différemment pour limiter leur exposition et assurer une meilleure sécurité.

L'intérêt pour le Zero Trust Network Access (ZTNA) et son adoption ont explosé. Cependant, la transformation rapide en travail hybride et en réseaux/clouds hybrides a mis en évidence les faiblesses des premières approches ZTNA. Dans le cadre de l'annonce de ZTNA 2.0 avec Palo Alto Networks Prisma® Access, je me suis entretenu avec Andrew Rafla, partenaire/principal et responsable des risques cybernétiques/Zero Trust chez Deloitte, pour aider à démystifier ZTNA et son évolution :

" L'un des plus grands défis pour atteindre un état de confiance zéro et évoluer véritablement vers ce concept de " jamais faire confiance, toujours vérifier " est la compréhension fondamentale de l'application et du domaine de l'utilisateur ", m'a dit Andrew. "En d'autres termes, quelles applications existent dans l'environnement d'un client, qui doit pouvoir accéder à ces applications, et dans quelles conditions. Ce sont des questions fondamentales auxquelles il faut répondre, et seul un modèle ZTNA 2.0 permet de réaliser pleinement les avantages du modèle de zéro confiance."

Les lacunes de ZTNA 1.0

Les itérations précédentes de ZTNA ne répondent pas à ces exigences. Tout d'abord, la première génération d'implémentations des fournisseurs ZTNA (que nous appelons ZTNA 1.0) viole le principe fondamental de l'accès au moindre privilège en utilisant l'adresse IP ou le numéro de port d'une application comme proxy pour l'application elle-même. Définir une application par des constructions réseau conduit invariablement à un large degré d'accès.

Imaginez l'analogie avec la sécurisation d'un vol d'une compagnie aérienne commerciale. Vous montrez votre carte d'embarquement et votre passeport lorsque vous vous rendez à l'aéroport. Votre passeport sert d'identifiant, votre carte d'embarquement représente une ressource à laquelle vous pouvez accéder - un avion à une porte d'embarquement spécifique, une date et une heure de départ, et un siège dans une section spécifique. Avec ZTNA 1.0, vous obtenez une carte d'embarquement qui indique simplement une adresse IP (fournissant essentiellement l'adresse de l'aéroport, mais ne limitant pas l'accès à un avion de l'aéroport).

La deuxième limitation de ZTNA 1.0 concerne les "autorisations et ignorances". Ce n'est pas parce que vous passez la sécurité de la TSA que vous pouvez faire ce que vous voulez. Vous ne pouvez pas perturber les agents de bord, ni ignorer les règles. Il faut donc une vérification continue de la confiance par une surveillance permanente.

La troisième limite concerne l'inspection et la sécurité des données. Pour reprendre l'analogie avec l'aéroport, cela signifie que non seulement les passagers (utilisateurs) sont inspectés, mais aussi les bagages (données).

Dans un monde post-pandémique, un modèle ZTNA 2.0 s'attaque à ces lacunes fondamentales pour mieux protéger la main-d'œuvre hybride d'aujourd'hui.

Pourquoi le modèle Zero Trust est essentiel dans un monde post-pandémique ?

Au cours de la décennie qui a suivi l'introduction de la confiance zéro, l'environnement des affaires a changé de façon spectaculaire. Dans notre monde post-pandémique, les organisations réalisent que leurs employés ont besoin de flexibilité, non seulement en ce qui concerne le lieu de travail, mais aussi la manière dont ils travaillent et les applications qu'ils utilisent désormais pour accomplir leur travail.

"La main-d'œuvre mobile et hybride est là pour rester", a expliqué Andrew au cours de notre conversation. "De plus en plus d'organisations se rendent compte que les gens veulent travailler pour des organisations qui leur offrent une certaine flexibilité dans leur façon de travailler, leur lieu de travail et les appareils qu'ils utilisent pour travailler. L'une des considérations relatives à la mise en place d'un environnement de confiance zéro concerne la capacité de prise en charge, c'est-à-dire la prise en charge d'une main-d'œuvre de plus en plus mobile et hybride. Cela nécessite une compatibilité avec les ordinateurs portables et de bureau traditionnels, ainsi qu'avec les systèmes d'exploitation courants des appareils mobiles."

ZTNA 2.0 répond à ces exigences organisationnelles tout en maintenant le principe fondamental de l'accès le moins privilégié. Il offre une expérience cohérente et sans friction à l'utilisateur final qui maximise les capacités de sécurité sans charge supplémentaire. Enfin, elle permet une vérification continue de la confiance, offrant ainsi une sécurité et une protection des données approfondies pour toutes les applications.

Le parcours vers l'adoption de ZTNA 2.0

Lorsque j'ai demandé à Andrew quels conseils il donnerait aux organisations qui cherchent à adopter ZTNA 2.0, il m'a fait plusieurs suggestions :

1. Donner la priorité aux besoins de l'entreprise plutôt qu'à la technologie - Il est important que les entreprises ne considèrent pas l'adoption de la confiance zéro comme une initiative technologique de remplacement. Il s'agit plutôt de soutenir les initiatives commerciales clés de manière à permettre à l'organisation d'être plus sûre, plus agile et plus résistante au changement.
2. Obtenez un consensus autour de la nécessité de la confiance zéro – Il ne s'agit pas seulement de l'équipe de cybersécurité, mais aussi des opérations informatiques, du service d'assistance, des utilisateurs finaux et d'autres intervenants.
3. Adopter une approche itérative et progressive – Commencer par des cibles à faible risque, comme une population d’utilisateurs à faible risque ou un ensemble d’applications, afin de réduire au minimum le potentiel d’impact opérationnel et de mettre en œuvre les leçons apprises tout au long du parcours. En fin de compte, vous pouvez adopter ces leçons apprises pour les « joyaux de la Couronne » les plus précieux de l’entreprise – ses applications et ses données essentielles à la mission.

Le parcours vers la confiance zéro en est un qui fait passer les besoins de l’entreprise avant la technologie – mettant les organisations sur la voie d’être plus sûres, agiles et résilientes au changement dans un monde post-pandémie.

Palo Alto Networks Prisma Access est la seule solution ZTNA 2.0 de l’industrie. Combinée au cadre Zero Trust de Deloitte et aux services professionnels, Prisma Access aide les organisations à accélérer l’adoption d’une stratégie de cybersécurité Zero Trust.

Partenariat entre Nomios et Palo Alto

Nomios est partenaire Palo Alto Networks NextWave Diamond avec des spécialités avancées et la distinction de plusieurs ingénieurs certifiés dans le personnel. Nos ingénieurs sont reconnus par Palo Alto Networks comme experts techniques et défenseurs des solutions Palo Alto. Cela signifie que vous pouvez compter sur Nomios pour le savoir-faire technique et l’expérience pratique pour évaluer avec précision vos besoins commerciaux, et concevoir, mettre en œuvre et gérer une solution basée sur Palo Alto Networks pour répondre à vos besoins.