À la lumière des nombreuses discussions concernant la sécurité Zero Trust et de la multitude de réponses, différentes selon l'éditeur impliqué dans l'architecture Zero Trust, Il peut être compliqué de déterminer quelles questions leur poser.

L'étude réalisée sur les implémentations réussies de la sécurité Zero Trust nous a permis de formuler une série de questions essentielles à poser pour mieux évaluer vos services critiques et les éditeurs à choisir pour votre parcours Zero Trust :

Question n° 1 : votre entreprise respecte-t-elle le cadre NIST 800- 207 ?

Vous aurez ainsi l'assurance de ne pas devoir modifier votre architecture si vous changez de fournisseur. En effet, le cadre NIST est indépendant des technologies des éditeurs.

Question n° 2 : quelle protection offrez-vous contre les menaces ciblant… ?

• les identifiants humains (utilisateurs, utilisateurs à privilèges)
• les identifiants non humains (comptes de services)
• le référentiel d'identités (par exemple, attaques à l'encontre des protocoles utilisés par Active Directory)

L'identité joue un rôle clé dans la neutralisation des compromissions et il est indispensable de comprendre comment l'identité est intégrée pour mettre en place un modèle Zero Trust efficace.

Question n° 3 : implémentez-vous des règles basées sur les risques dans votre approche Zero Trust ?

Comme la sécurité Zero Trust nécessite une validation continue, la simple intégration de l'authentification multifacteur à chaque transaction est impossible pour les utilisateurs, et totalement inadaptée aux applications. Dès lors, les règles appliquées doivent reposer sur des modèles de risque dynamiques et ne demander aux utilisateurs de s'authentifier que lorsque le risque change, au niveau du terminal ou de l'utilisateur. Vous bénéficiez ainsi d'une validation continue sans nuire à l'expérience utilisateur.

Question n° 4 : quelles données pouvez-vous traiter en temps réel sans créer de volumineux fichiers journaux ?

Pour une bonne exécution de la stratégie Zero Trust (par exemple, en automatisant la collecte de données contextuelles, conformément aux dispositions du NIST mentionnées plus tôt), les données de sécurité des identités doivent être traitées en temps réel, ce qui vous évite d'avoir à examiner d'importants volumes de données dans le cadre de la post-analyse, une mesure trop tardive et onéreuse. En outre, il est indispensable de pouvoir corréler les terminaux et les utilisateurs pour comprendre le déroulement d'une attaque.

Question n° 5 : votre solution offre-t-elle plus qu'un simple accès réseau Zero Trust ?

Certaines entreprises entendent par Zero Trust l'accès réseau Zero Trust (ZTNA, l'accès VPN de nouvelle génération). Toutefois, il ne s'agit pas d'un élément critique du cadre de sécurité Zero Trust. Il est important de mettre à jour et de sécuriser les méthodes d'accès aux différents environnements, mais comme le cadre Zero Trust suppose de ne jamais faire confiance à qui ou quoi que ce soit, il doit inclure de nombreux composants de l'infrastructure, tels que les endpoints, les identités, les workloads, etc. pour offrir une solution fiable. L'accès réseau Zero Trust ne représente qu'une infime partie du cadre de sécurité Zero Trust.

Question n° 6 : pouvez-vous étendre votre plateforme Zero Trust pour prendre en charge mes fournisseurs et investissements existants ?

Qu'en est-il de mon infrastructure SOAR et SIEM ? Et des passerelles web et de messagerie sécurisées ? Une plateforme Zero Trust bien conçue inclura des préintégrations et des API pour les principaux éditeurs de solutions SIEM (p. ex. Splunk Phantom et la solution Demisto de Palo Alto Network), des fournisseurs d'identités (AD, ADFS, AD Azure, Okta, Ping Identity, SSO), des fournisseurs de solutions CASB pour la protection SaaS (Zscaler et Netskope), ainsi que d'autres connexions pour que vous puissiez tirer parti des données et des systèmes que vous possédez déjà.

Question n° 7 : quelle protection offrez-vous contre les systèmes non managés ou d'ancienne génération ?

Le modèle Zero Trust n'est efficace que s'il permet de protéger tous vos utilisateurs, en ce compris les sous-traitants et les fournisseurs de la supply chain pour lesquels il n'est pas toujours possible d'installer des agents sur les endpoints. En outre, les systèmes d'ancienne génération peuvent exiger une authentification multifacteur, mais la procédure peut s'avérer compliquée.