LMi-MAG17 avril - Flipbook - Page 65
© Artemis Diana - iStock
- L’accès aux ressources est accordé sur la base d’une
session et avec le minimum de privilèges nécessaires
pour accomplir une tâche. L’authentification à une
ressource ne donne pas automatiquement accès à une
autre ressource.
Une architecture confiance zéro ne vise pas
à rendre un système fiable ou sûr, mais plutôt
à éliminer complètement le concept de confiance.
identités et des actifs, l’authentification des applications,
le contrôle d’accès, la segmentation du réseau et la veille
sur les menaces.
En mode zero trust, l’équilibre consiste à renforcer la sécurité sans sacrifier l’expérience de l’utilisateur. Une fois
authentifié et autorisé, un utilisateur a accès aux seules
ressources dont il a besoin pour effectuer son travail. Si
une ressource ou un dispositif est compromis, la confiance
zéro garantit que les dommages peuvent être contenus.
La bonne nouvelle pour de nombreuses entreprises est
qu’elles ont probablement déjà investi dans plusieurs des
technologies habilitantes exploitables dans une stratégie
zero trust. En adoptant cette approche, les entreprises
auront plus probablement besoin d’adopter et d’appliquer de nouvelles politiques, plutôt que d’installer un
matériel.
Quels sont les concepts de base
de l’approche ZTNA ?
Avant de commencer à déployer une architecture zero
trust, il existe plusieurs règles de base qui doivent être
respectées dans toute l’entreprise pour que le système
fonctionne.
- Toutes les sources de données, les services informatiques et les terminaux sont considérés comme des
ressources. Même les équipements appartenant aux
employés doivent être considérés comme des ressources s’ils peuvent accéder à celle de l’entreprise.
- Toutes les communications doivent être sécurisées,
quel que soit l’emplacement du réseau. Les terminaux
et les utilisateurs à l’intérieur d’un réseau sont tout
aussi indignes de confiance que ceux qui se trouvent à
l’extérieur du périmètre du réseau.
- L’accès aux ressources est déterminé par une politique
dynamique qui inclut l’état de l’identité du client, l’application et peut inclure d’autres attributs comportementaux et environnementaux.
- Une entreprise doit surveiller et mesurer l’intégrité et
la posture de sécurité de tous les actifs détenus et associés. Des systèmes de diagnostic et d’atténuation continus (CDM) ou des systèmes similaires pour surveiller les
appareils et les applications sont nécessaires. Les patchs
et les correctifs doivent être appliqués rapidement. Les
actifs dont on découvre qu’ils présentent des vulnérabilités connues peuvent être traités différemment (y
compris le refus de connexion) des dispositifs ou des
actifs considérés comme étant dans leur état le plus sûr.
- L’authentification et l’autorisation sont strictement
appliquées avant que l’accès ne soit autorisé, et
peuvent être sujettes à des changements. Une autorisation donnée un jour ne garantit pas une autorisation le lendemain. [Lire l’intégralité de l’article sur
lemondeinformatique.fr]
APPROFONDIR
ÉCOUTER EN LIGNE
Podcast
tinyurl.com/podcast-Zero-trust
LIRE EN LIGNE
Article
tinyurl.com/article-Zero-trust
57