Mise en œuvre du décret sur la cybersécurité de l'administration Biden avec la confiance zéro

La semaine dernière, l 'administration Biden a adopté une position ferme sur les améliorations à apporter à la cybersécurité au niveau fédéral et, en fait, dans toutes les organisations. Entre autres recommandations, la nécessité d'une stratégie de confiance zéro a été fortement reconnue.

La confiance zéro est une approche coordonnée de la cybersécurité, un cadre de sécurité et une architecture qui élimine la confiance implicite en empêchant l'accès automatique à toute source - interne ou externe - et suppose que le trafic du réseau interne ne peut être fiable sans autorisation préalable et sans vérification continue basée sur des informations en temps réel provenant de sources multiples. La confiance zéro élimine l'idée d'une confiance excessive entre les réseaux, les appareils, les utilisateurs ou les charges de travail et permet un contrôle d'accès granulaire basé sur le moindre privilège, ce qui réduit considérablement la surface d'attaque en limitant la portée et les mouvements à l'intérieur du réseau pour les attaquants.

Andrew Rubin et moi-même avons créé Illumio avec ces mêmes principes à l'esprit pour aider les organisations de toutes tailles à améliorer leur sécurité en facilitant l'adoption de cet état d'esprit.

Permettez-moi de rappeler un certain nombre de ces principes en les citant dans le décret.

Supposons qu'il y ait eu violation

Examinons le concept de violation présumée. "Le modèle de sécurité de l'architecture de confiance zéro part du principe qu'une violation est inévitable ou qu'elle a probablement déjà eu lieu. Il s'agit d'adopter une position quelque peu inconfortable en supposant qu'un attaquant se trouve probablement déjà à l'intérieur de votre périmètre et que, par conséquent, les organisations devraient mettre en place des contrôles de sécurité pour empêcher que de telles infiltrations ne deviennent des événements catastrophiques de grande ampleur. Avant tout, les organisations doivent changer d'état d'esprit et adopter des contrôles de sécurité qui permettent d'obtenir partout des modèles de moindre privilège.

Listes d'admissibilité

Le décret précise également que "par essence, une architecture de confiance zéro permet aux utilisateurs d'avoir un accès total, mais seulement au strict minimum dont ils ont besoin pour effectuer leur travail". Il suggère que "ce modèle de sécurité centré sur les données permet d'appliquer le concept de l'accès le moins privilégié à chaque décision d'accès". Aider nos clients à construire et à maintenir des modèles de moindre privilège est au cœur de ce que nous faisons à Illumio et de la façon dont nos produits sont construits et architecturés. Et ce n'est pas facile. Nombreux sont ceux qui vantent les mérites des modèles de confiance zéro et qui vous permettent ensuite d'établir des listes de refus afin d'éviter que de mauvaises choses ne se produisent. Il ne s'agit pas d'une confiance zéro.

Adopter la confiance zéro signifie établir une liste minimale d'autorisations. Cela signifie qu'il faut comprendre ce à quoi les gens ont besoin d'accéder pour faire leur travail et ne pas leur fournir d'accès supplémentaire. Le modèle de sécurité "Zero Trust" élimine toute confiance implicite dans un élément, un nœud ou un service. Il faut éliminer toute confiance implicite de votre réseau et de votre environnement à tous les niveaux. Le modèle de sécurité "Zero Trust" élimine toute confiance implicite dans un élément, un nœud ou un service. Cela signifie que vous devez adopter une vision globale de votre environnement.

Visibilité unifiée

Comme le précise le décret, "l'architecture de confiance zéro intègre une surveillance complète de la sécurité, des contrôles d'accès granulaires basés sur les risques et l'automatisation de la sécurité des systèmes de manière coordonnée dans tous les aspects de l'infrastructure afin de se concentrer sur la protection des données en temps réel dans un environnement de menaces dynamique". Les organisations ont besoin d'une visibilité unifiée pour voir et comprendre, avec un meilleur contexte, la communication entre les terminaux, les utilisateurs et les charges de travail dans des environnements hétérogènes sur site et multicloud.

Le parcours de la confiance zéro

Souvent, les gens commencent leur parcours de confiance zéro par une solution d'accès réseau de confiance zéro (ZTNA), afin d'appliquer certains principes entre les utilisateurs finaux et les applications et systèmes, puis laissent un modèle de confiance implicite (non nul) derrière la passerelle ZTNA. Bien que cela fasse partie de la stratégie "Zero Trust", ZTNA ne suffit pas. La récente attaque de SolarWinds en est la preuve, puisque la brèche s'est produite entre les charges de travail.

Segmentation sans confiance

L'autre pièce maîtresse du puzzle est la segmentation zéro confiance, qui vous permet d'élaborer une politique de moindre privilège entre les charges de travail pour toutes vos applications phares dans votre centre de données et vos nuages. Nous constatons de plus en plus d'attaques, telles que les récentes attaques de la chaîne d'approvisionnement contre SolarWinds et CodeCov, qui n'exploitent pas l'accès des utilisateurs, mais plutôt la confiance implicite entre les charges de travail. La segmentation de la confiance zéro est fondamentale pour parvenir à une position holistique de confiance zéro.

Formuler une approche de confiance zéro

Ce qu'il faut, c'est une approche globale qui permette à la confiance zéro de fonctionner partout dans votre environnement - dans le centre de données, dans le nuage et à la périphérie.

Il est important de mettre en œuvre une architecture de confiance zéro qui peut éliminer les silos de sécurité dans les outils informatiques, de réseau et de sécurité existants afin de vous aider à réduire les risques, les coûts et le temps de déploiement de la confiance zéro.

Pour vous aider dans votre démarche de confiance zéro, vous devez élaborer et mettre en œuvre une stratégie, une architecture et un plan de mise en œuvre complets de confiance zéro.

Vous souhaitez répondre plus rapidement aux exigences du décret de la Maison Blanche ? Découvrez comment ici ou rejoignez-nous pour un atelier où vous apprendrez à concevoir une architecture Zero Trust pour votre agence fédérale.