Pourquoi la confiance zéro et la segmentation échouent-elles dans certaines organisations ?

Les applications sont au cœur de toute entreprise moderne. Ils favorisent la création d'expériences innovantes pour les clients et soutiennent la productivité des employés. Mais avec l'augmentation du trafic inter-applications et la distribution croissante des environnements, la visibilité, le contrôle et la sécurité se sont affaiblis. C'est la nouvelle réalité pour laquelle les approches de confiance zéro basées sur la segmentation ont été conçues. Cependant, toutes les segmentations ne sont pas égales.

Un nouveau rapport de l'institut d'analyse Enterprise Strategy Group (ESG) présente des enseignements importants pour les responsables de la sécurité informatique des entreprises. Voici ce qu'il faut retenir : Ces outils doivent se concentrer sur la charge de travail et, pour éviter les limites de la segmentation traditionnelle basée sur le réseau, ils doivent également découpler la segmentation de l'infrastructure du réseau.

Pourquoi adopter le modèle Zero Trust ?

Une décennie s'est écoulée depuis le célèbre article d'opinion de Marc Andreesen, qui affirmait que "le logiciel mange le monde". Aujourd'hui, des dizaines d'applications basées sur le cloud alimentent l'organisation type, favorisant la collaboration entre les employés, la fidélisation des clients et les bénéfices. Selon ESG, 88% des organisations prennent désormais en charge au moins 100 applications professionnelles. Mais si les plateformes en nuage ont aidé ces entreprises à développer leurs propres logiciels, elles ont également introduit de la complexité et un risque cybernétique potentiel.

Les outils de sécurité traditionnels se concentrent sur le trafic nord-sud ou sur la protection du périmètre. Entre-temps, le volume du trafic d'application à application, ou est-ouest, a explosé, entraînant de dangereuses lacunes en matière de protection. C'est là qu'intervient la confiance zéro.

La confiance zéro repose fondamentalement sur le principe "ne jamais faire confiance, toujours vérifier". Il existe deux hypothèses fondamentales et sous-jacentes : une violation du réseau s'est déjà produite, et les utilisateurs, les ressources et les appareils ne doivent pas faire l'objet d'une confiance aveugle. Au contraire, ils doivent être authentifiés en permanence et leur accès aux ressources doit être limité selon le principe du moindre privilège. Lorsque la confiance zéro fonctionne comme prévu, elle constitue la base d'une cybersécurité très efficace et adaptable à l'ère actuelle centrée sur les applications et le cloud.

Cependant, comme le révèle également l'étude d'ESG, de nombreux responsables de l'informatique et de la sécurité pensent à tort que la confiance zéro est coûteuse et complexe à déployer, tant d'un point de vue organisationnel que technique. Si nombre de ces perceptions négatives trouvent leur origine dans la confusion du marché et le flou des messages des fournisseurs, elles n'en contiennent pas moins un noyau de vérité. L'enquête du GNE révèle que la moitié de tous ceux qui ont dû interrompre ou abandonner un projet "Zero Trust" dans le passé citent des "problèmes d'organisation" comme cause.

La voie vers une véritable segmentation

Comme l'explique le GNE, la segmentation doit être un "élément fondamental" de tout projet "Zero Trust". En effet, la confiance zéro consiste essentiellement à isoler les entités en réseau afin qu'elles ne puissent communiquer avec d'autres que lorsque la politique le permet.

Le problème est que toutes les approches de segmentation ne fournissent pas les attributs nécessaires aux organisations d'aujourd'hui. Par exemple, les méthodes statiques telles que les listes de contrôle d'accès (ACL) et les réseaux locaux virtuels (VLAN) n'ont généralement pas l'évolutivité requise par un environnement basé sur l'informatique en nuage. Ils n'offrent pas de moyen convivial de programmer et de gérer les milliers de règles ACL qui existent sur les périphériques du réseau. Elles peuvent également nécessiter une réorganisation des réseaux, ce qui peut constituer une entreprise de grande envergure.

Selon ESG, l'essentiel est là : Les organisations devraient choisir des solutions qui font abstraction de la segmentation du réseau et qui se concentrent sur la charge de travail. Pourquoi ? Ce faisant, ils peuvent surmonter ces défis hérités et s'assurer que la segmentation est aussi dynamique et évolutive que l'environnement qu'elle protège.

Vous pouvez lire le rapport ESG complet ici.

Dans la deuxième partie de cette série en deux volets, nous examinerons les cinq attributs clés que les organisations exigent de leurs fournisseurs de segmentation, et nous verrons comment l'offre d'Illumio se positionne.