Sécurité informatique : le concept de ‘confiance zéro’ est-il garant d’un risque zéro ?

Le principe de « confiance zéro » (en anglais : zero trust) s’est rapidement imposé ces dernières années dans l’industrie informatique. Jusqu’alors, beaucoup s’appuyaient sur le postulat que les postes de travail et serveurs de l’entreprise étaient des éléments fiables de l’infrastructure IT, le danger venant surtout de l’extérieur. Dans bien des cas, l’identité de l’utilisateur et ses actions n’étaient donc pas contrôlées.

Le concept de ‘zero trust’ est venu remettre de l’ordre dans tout cela, en rappelant que le danger pouvait venir de partout : d’Internet, mais aussi d’un serveur, d’un poste de travail ou d’une application mal sécurisés, pouvant servir de porte d’entrée à un pirate, ou de point de départ pour la diffusion d’un ‘malware’ au sein de l’entreprise. Il faut y ajouter le comportement de certains utilisateurs, distraits ou non avertis ou mal intentionnés, car la menace vient parfois de l’intérieur.

Avec le ‘zero trust’, la règle est, a priori, de ne faire confiance à personne, à aucune application ni à aucun équipement. Pour se protéger efficacement des menaces, l’équipe en charge de la sécurité s’appuiera sur des technologies d’authentification et de chiffrement avancées, des solutions de protection des terminaux et des outils de supervision.

De nouvelles solutions sont capables de surveiller à la fois les utilisateurs, les applications, les terminaux et le réseau, sans devoir mettre en place d’équipe dédiée ; l’expertise est alors apportée soit par des spécialistes externes (en mode managé), soit par des robots s’appuyant sur de l’intelligence artificielle.

Confiance zéro = risque zéro ?

Certaines entreprises font parfois le parallèle entre une architecture ‘zero trust’ et une architecture ‘zéro risque’. Un raccourci dangereux, car l’approche ‘zero trust’ participe à réduire le risque, sans toutefois être en mesure de le supprimer totalement.

Souvent ciblés par les attaques, les hôpitaux sont de parfaits exemples des limites d’une approche ‘zero trust’ : certains équipements de radiologie ne peuvent pas être efficacement sécurisés. De même que certains accès, comme ceux réservés aux urgentistes, pour lesquels la sécurité informatique passera toujours après la santé des patients.

L’approche ‘zero trust’ permet de fortement limiter les risques ; néanmoins, il faut toujours envisager la possibilité d’une cyberattaque et mettre en place un plan de gestion de crise, permettant d’y réagir efficacement. Il convient également de définir un plan de reprise d’activité, s’appuyant notamment sur des sauvegardes fiables et immuables des données. Enfin, il est important de se tenir au courant des nouvelles menaces.

David FEUGEY

Ce dernier point est essentiel, car avec les nouvelles technologies apparaissent de nouveaux risques. Le ‘cloud’ est en un bon exemple : cette option consiste à déléguer à un hébergeur la gestion de ses infrastructures IT. Mais peut-on lui faire confiance ? L’hébergeur pourrait, en effet, être tenté de regarder ce qui se passe sur vos infrastructures ‘cloud’.

Le principe de ‘confiance zéro’ suggère une certaine prudence vis-à-vis des solutions ‘cloud’, et impose d’appliquer de nouvelles mesures. L’une des approches recommandées est de chiffrer toutes les données, tout le temps ; et les clés d’accès sont placées sous le seul contrôle de l’entreprise. De quoi bousculer le concept même de ‘zero trust’ : il n’est en effet plus nécessaire de se méfier de tous, lorsque l’on opte pour une solution permettant de ne plus devoir accorder sa confiance à quiconque ! Une évolution qui permettra donc de tendre toujours plus vers le risque zéro… sans toutefois pouvoir l’atteindre.