Zero Trust : la confiance par la méfiance
Le « Zero Trust » (la confiance zéro en français) est un modèle de sécurité des systèmes d’informations qui était jusqu’à lors déployé pour protéger des données ultra sensibles.
Actuellement nos systèmes sont encore bien souvent organisés sur un modèle dit de « confiance implicite » avec une identification, authentification et laissez-passer. La « confiance implicite » c’est par exemple, si vous accédez avec un identifiant et mot de passe correct à votre cloud depuis Dijon et 5 minutes plus tard avec le même compte depuis une ville à 5 000 km de Dijon. Beaucoup de systèmes trouveront cela « normal » et autoriseront l’accès aux données. Avec une stratégie Zero Trust ce n’est pas possible.
Le Zero Trust consiste, par défaut, à fermer tous les accès, toutes les portes informatiques et autoriser uniquement les flux de données, utilisateurs et appareils de confiance déjà connues. Chaque élément sera systématiquement vérifié et contrôlé.
Adopter le Zero Trust c’est mettre en place un assemblage de réflexes, comme :
- Authentification à plusieurs facteurs,
- Gestion des identités et des accès,
- Chiffrement,
- Segmentation du réseau,
De plus en plus d’éditeurs d’applications et systèmes mettent en place des briques de sécurité avec une logique Zero Trust, mais cela reste la responsabilité des informaticiens de les activer et d’expliquer aux utilisateurs la philosophie Zero Trust. Zero Trust c’est, ne jamais plus faire confiance, toujours vérifier.
