John Kindervag raconte l'histoire de Zero Trust

Nous sommes de retour pour une nouvelle saison du Segment : Un podcast sur le leadership sans confiance ! Après avoir conclu notre première saison avec des poids lourds de l'industrie tels que l'ancien analyste de Forrester Chase Cunningham, le CSO de la Southern Methodist University et auteur de best-sellers George Finney, et la vice-présidente du développement commercial de la sécurité de Microsoft Ann Johnson, notre première saison nous a permis de nous classer parmi les 15 premiers% de tous les podcasts et nous a valu un prix MarCom Gold 2023 pour la meilleure série de podcasts axés sur l'industrie.

Nous sommes très fiers du résultat de notre première expérience de podcasting. Et nous devons tout cela à des auditeurs (et des lecteurs) comme vous !

À la demande générale, nous sommes fiers de donner le coup d'envoi de notre deuxième saison avec encore plus d'anecdotes sur Zero Trust et de perspectives en matière de cybersécurité de la part de quelques-uns des plus grands RSSI, directeurs techniques et architectes cybernétiques du secteur.  

Pour commencer, je me suis entretenu avec John Kindervag, parrain de la confiance zéro et évangéliste en chef d'Illumio. Dans ce résumé de notre conversation, vous découvrirez l'origine de l'idée de confiance zéro de John, ses premières recherches sur les meilleures pratiques en matière de confiance zéro et ses conseils pour les organisations qui s'engagent dans la voie de la confiance zéro.

À propos de John Kindervag : Le créateur de Zero Trust

John est un homme qui n'a plus besoin d'être présenté dans le monde de la confiance zéro. Toutefois, pour ceux qui ne le connaissent pas, voici un bref aperçu de son curriculum vitae impressionnant et plutôt étendu.  

Avec plus de 25 ans d'expérience en tant que praticien et analyste industriel, John Kindervag est considéré comme l'un des plus grands experts mondiaux en matière de cybersécurité. Il est notamment connu pour avoir créé le modèle révolutionnaire de la confiance zéro en matière de cybersécurité alors qu'il travaillait pour Forrester Research il y a plus d'une dizaine d'années.

En 2021, John a été nommé au sous-comité "Zero Trust" du National Security Telecommunications Advisory Committee (NSTAC) du président des États-Unis et a été l'un des principaux auteurs du rapport "Zero Trust" du NSTAC qui a été remis au président. La même année, il a été nommé personnalité de l'année en matière de cybersécurité par le magazine CISO.  

Aujourd'hui, en tant qu'évangéliste en chef chez Illumio, John est responsable de l'accélération de la sensibilisation et de l'adoption de la segmentation zéro confiance dans tous les secteurs d'activité.  

Comment Zero Trust a-t-il démarré ?

Pour John, l'ensemble du cadre de la confiance zéro découle de la lutte ou de la limitation du modèle de confiance traditionnel implicite dans les premiers jours de la technologie des pare-feux.  

Comme le dit John, "commencer le processus d'installation de pare-feu a vraiment conduit à la confiance zéro parce que dans la technologie des pare-feu, il y avait un concept de modèle de confiance où l'Internet était sur l'interface non fiable et l'interface allant vers le réseau interne était fiable. Et grâce à cette relation de confiance, vous n'aviez pas besoin d'une déclaration de politique pour déplacer le trafic du réseau interne ou de confiance vers le réseau externe ou non fiable".

John a vu cela et s'est dit : "C'est de la folie ! Les gens vont exfiltrer des données hors d'ici. Et [les organisations] ont répondu : "Non, ils ne le feront pas". Vous ne pouvez pas .... Et j'ai dit toutes les interfaces de confiance, toutes les interfaces devraient avoir la même confiance et elle devrait être de zéro. C'est de là que vient la confiance zéro. Il s'agit simplement d'un retour en arrière par rapport à la façon dont nous construisions des pare-feu qui affectaient la politique, sans aucune raison".

Dans le même ordre d'idées, Zero Trust est essentiellement le résultat d'une remise en question de la croyance populaire de l'époque. John a compris qu'il était possible de faire mieux que le statu quo en matière de cybersécurité. Comme le dit John, "vous devez valider les choses que tout le monde dit et voir si elles sont vraies". J'étais la seule personne à demander : "Quelle est la définition de la confiance ?" et c'est une chose très difficile à définir".  

Expérimentation et recherche sur la confiance zéro

Bien qu'il ait créé l'un des cadres les plus remarquables de l'industrie, John apporte beaucoup d'humilité à notre conversation. Je lui ai demandé s'il s'attendait à ce que Zero Trust prenne un tel essor.  

Sa réponse ? "Je m'attendais à peu de choses. Je pense que vous vous rendez compte que dans ce rôle [d'analyste], vous essayez simplement d'émettre une idée qui va peut-être percoler. Je ne pensais pas que le concept de confiance zéro allait prendre l'ampleur qu'il a prise. Il ne s'est pas enflammé tout de suite, mais... Je me suis rendu compte qu'il y avait plus de gens qui lisaient et écoutaient cela et qui voulaient en parler que je ne l'avais imaginé.

La montée en puissance plus lente au départ lui a également donné plus de temps pour expérimenter et affiner le cadre. "J'ai apprécié que la montée en puissance soit lente, car pendant un certain temps, j'étais la seule personne à le faire. J'ai donc dû faire toutes les erreurs moi-même, puis écrire sur ces erreurs et vous dire ce qu'elles allaient être pour que vous n'ayez pas à les faire [vous-même]. Et j'ai pensé que c'était une chose précieuse à faire pour quelqu'un dans ma position", a expliqué M. Kindervag.  

Les plus grandes erreurs de la confiance zéro

L'une des questions que je préfère poser à nos invités est la suivante : "Quelles sont les erreurs commises par les organisations dans leur parcours vers la confiance zéro ?".

Selon John, "la plus grande erreur que j'ai constatée a été de se lancer dans une entreprise trop grande et trop rapide. Tout le monde essaie maintenant de le faire en même temps pour l'ensemble de son organisation".

En outre, John a expliqué que les gens peuvent rendre le concept de confiance zéro plus intimidant qu'il ne l'est, ce qui peut conduire à une adoption plus lente (et en fin de compte moins réussie).  

"Je pense que beaucoup de gens donnent l'impression que c'est plus difficile que ça ne l'est et que c'est plus complexe", a déclaré John. "C'est très simple, n'est-ce pas ? Il existe quatre principes de conception et un modèle en cinq étapes... Il est conçu pour être très, très simple...."  

Le plus grand conseil de John pour les récalcitrants ? "Il suffit de sortir et de le faire... Il s'agit d'une expérience. Toute notre activité repose sur l'expérience".  

Plus les organisations peuvent mettre un pied devant l'autre dans la réalisation de leurs objectifs de confiance zéro, plus elles avanceront sur la voie de la cyber-résilience.  

Écoutez, abonnez-vous et commentez The Segment : Un podcast sur la confiance zéro

Vous souhaitez écouter l'intégralité de mon entretien avec John ? Écoutez l'épisode de cette semaine sur Apple Podcasts, Spotify ou tout autre site de diffusion de podcasts. Vous pouvez également lire la transcription complète de l'épisode.

Nous reviendrons bientôt avec d'autres informations sur la confiance zéro !