{"id":11857,"date":"2021-12-01T13:45:00","date_gmt":"2021-12-01T11:45:00","guid":{"rendered":"https:\/\/www.thegreenbow.com\/?post_type=resource&p=11857"},"modified":"2021-12-22T17:02:01","modified_gmt":"2021-12-22T15:02:01","slug":"quatre-idees-recues-sur-zero-trust","status":"publish","type":"resource","link":"https:\/\/www.thegreenbow.com\/fr\/ressource\/blog\/quatre-idees-recues-sur-zero-trust\/","title":{"rendered":"Quatre id\u00e9es re\u00e7ues sur Zero Trust"},"content":{"rendered":"\n
\n

Auteur : Nicolas Tondre, Product Marketing Manager<\/strong><\/p>\n\n\n\n

Zero Trust est un terme introduit en 2010 par Forrester, puis impos\u00e9 par Gartner, qui reprend le concept de d\u00e9-p\u00e9rim\u00e9trisation datant du d\u00e9but des ann\u00e9es 2000. Malgr\u00e9 un nom qui fait plut\u00f4t penser \u00e0 un buzzword<\/em>\u00a0, et qui a rebut\u00e9 plus d\u2019un responsable de s\u00e9curit\u00e9 informatique, Zero Trust recouvre cependant un ensemble de principes et de pratiques utiles. <\/p>\n\n\n\n

Ce concept m\u00e9rite donc qu\u2019on s\u2019y attarde, d\u2019autant plus que le NIST (National Institute of Standards and Technology) a fini par l\u2019imposer au gouvernement f\u00e9d\u00e9ral des \u00c9tats-Unis. Il peut \u00eatre vu comme un ensemble de r\u00e8gles et de pratiques permettant d\u2019am\u00e9liorer la s\u00e9curit\u00e9 du syst\u00e8me d’information d\u2019une entreprise ou d\u2019une organisation. Il consiste \u00e0 mettre en \u0153uvre des composants de s\u00e9curit\u00e9 multiples et compl\u00e9mentaires (MFA, SSO, IAM, VPN, minimum privilege, segmentation r\u00e9seau, SIEM, etc.) pour r\u00e9duire les risques d\u2019intrusion et de fuite de donn\u00e9es.<\/p>\n\n\n\n

Mais de nombreuses impr\u00e9cisions et confusions persistent \u00e0 son sujet. C\u2019est pourquoi, dans cet article, nous allons tenter de d\u00e9mythifier quatre id\u00e9es re\u00e7ues sur Zero Trust :<\/p>\n\n\n\n

  1. Zero Trust remplace l\u2019usage du VPN d\u2019entreprise<\/li>
  2. Zero Trust ne s\u2019applique que dans le Cloud<\/li>
  3. Zero Trust dispense des r\u00e8gles d\u2019hygi\u00e8ne pr\u00e9conis\u00e9es par l\u2019ANSSI<\/li>
  4. Les VPN d\u2019entreprise ne proposent pas de fonctions Zero Trust<\/li><\/ol>\n\n\n\n

    <\/p>\n\n\n\n

    1. Zero Trust remplace l’usage d’un VPN<\/strong><\/strong><\/strong><\/strong><\/h2>\n\n\n\n

    Dans leur pr\u00e9sentation marketing, certain \u00e9diteurs de solutions de s\u00e9curit\u00e9 opposent Zero Trust et VPN. Or les solutions Zero Trust prennent en charge le chiffrement des communications de bout en bout, la garantie de l\u2019int\u00e9grit\u00e9 des donn\u00e9es, ainsi que l\u2019authentification de l\u2019utilisateur par le serveur et vice versa. Ce sont exactement les service rendus par un VPN.<\/p>\n\n\n\n

    On voit bien que toutes les solutions Zero Trust comprennent des tunnels VPN, mais au sein d\u2019une architecture comportant de multiples composants de s\u00e9curit\u00e9, avec lesquels le VPN s\u2019int\u00e8gre nativement.<\/p>\n\n\n\n

    \"thegreenbow-cas-usage-diffusion-restreinte\"
    Site industriel sensible<\/figcaption><\/figure>
    \n

    D\u2019autre part, il y a de nombreux cas o\u00f9 Zero Trust n\u2019est pas la solution adapt\u00e9e \u00e0 l\u2019architecture r\u00e9seau en place. Par exemple, pour contr\u00f4ler une centrale nucl\u00e9aire, un acc\u00e8s VPN depuis un poste s\u00e9curis\u00e9 et d\u00e9di\u00e9 \u00e0 un nombre restreint de personnes assurera rigoureusement et simplement le niveau de s\u00e9curit\u00e9 attendu.<\/p>\n\n\n\n

    <\/p>\n<\/div><\/div>\n\n\n\n

    <\/p>\n\n\n\n

    L\u2019acc\u00e8s aux donn\u00e9es sensibles ou \u00e0 Diffusion Restreinte des OIVs<\/a> (op\u00e9rateurs d\u2019importance vitale) et des organismes \u00e9tatiques sont \u00e9galement soumis \u00e0 l\u2019utilisation d\u2019un VPN sur un poste d\u00e9di\u00e9.<\/p>\n\n\n\n

    2. Zero Trust ne s’applique que dans le Cloud<\/strong><\/strong><\/h2>\n\n\n\n

    Le pr\u00e9jug\u00e9 selon lequel Zero Trust ne s\u2019appliquerait qu\u2019au Cloud, a la dent dure.<\/p>\n\n\n\n

    Lorsqu\u2019on acc\u00e8de \u00e0 des services Cloud, comme Microsoft 365, Google Workspace ou Salesforce, c\u2019est le navigateur web qui assure l\u2019authentification, le chiffrement et l\u2019int\u00e9grit\u00e9 des donn\u00e9es \u00e0 travers des tunnels TLS. La s\u00e9curit\u00e9 des communications est dans ce cas g\u00e9r\u00e9e par l\u2019\u00e9diteur, op\u00e9rateur du service Cloud. C\u2019est lui qui a alors la main sur vos donn\u00e9es, ce qui pose des questions d\u2019ind\u00e9pendance, de confiance et de souverainet\u00e9, mais c\u2019est un autre d\u00e9bat. Il propose souvent des m\u00e9canismes de d\u00e9l\u00e9gation de l\u2019authentification (SSO), de fa\u00e7on \u00e0 r\u00e9duire le nombre de comptes et de mots de passe \u00e0 g\u00e9rer.<\/p>\n\n\n\n

    Mais c\u2019est \u00e0 l\u2019int\u00e9rieur du r\u00e9seau de l\u2019entreprise ou de l\u2019organisation (\u00ab\u00a0on-premise\u00a0\u00bb, comme disent les anglo-saxons), que Zero Trust prend tout son sens, dans le but de permettre \u00e0 chaque collaborateur d\u2019acc\u00e9der, \u00e0 distance aussi bien que sur place, aux seules informations auxquelles il a droit\u00a0: via le syst\u00e8me d\u2019information local, un Cloud public ou un cloud priv\u00e9.<\/p>\n\n\n\n

    3. Zero Trust dispense des r\u00e8gles d’hygi\u00e8ne pr\u00e9conis\u00e9es par l’ANSSI<\/h2>\n\n\n\n

    Zero Trust est en r\u00e9alit\u00e9 un ensemble de r\u00e8gles d\u2019hygi\u00e8ne et de bon sens qu\u2019il convient de suivre pour assurer la s\u00e9curit\u00e9 de son r\u00e9seau et de ses donn\u00e9es.<\/p>\n\n\n\n

    Ces r\u00e8gles sont en particulier disponibles sur le site de l\u2019ANSSI<\/a>. Pour rappel, elles consistent, entre autres, \u00e0 :<\/p>\n\n\n\n