Ce que les stratégies de l'armée américaine et des Navy SEAL peuvent vous apprendre sur la confiance zéro

Deux leaders. Deux voies très différentes vers le service.

Clint Bruce était un excellent joueur de football à la U.S. Naval Academy et avait des chances d'intégrer la NFL - jusqu'à ce qu'il s'en éloigne pour devenir un Navy SEAL, troquant les lumières des stades pour des opérations spéciales.

Le général Viet Xuan Luong a fui Saigon alors qu'il n'était qu'un enfant réfugié, devenant par la suite le premier général d'origine vietnamienne de l'histoire de l'armée américaine.

Que partagent-ils tous les deux ? Un état d'esprit forgé dans des environnements à forts enjeux où la confiance, la clarté et la préparation sont essentielles. C'est ce qui a orienté l'ensemble de la conversation lors de notre récent LinkedIn Live, Zero Trust, Terrain, and Holding the High Ground (Confiance zéro, terrain et position dominante).

Au cours de cette session, Bruce et le général Luong ont rejoint le créateur de Zero Trust et l'évangéliste en chef d'Illumio, John Kindervag , pour explorer comment les principes militaires tels que le terrain, la confiance et la discipline offrent une feuille de route pour des stratégies plus solides en matière de cybersécurité. Il s'agissait d'une discussion sur le leadership, l'état d'esprit et la mission qui fait le lien entre le champ de bataille et la salle du conseil d'administration.

Pourquoi le terrain et la confiance sont essentiels

Pour Bruce, le terrain, c'est la géographie, mais c'est aussi le fondement de toute décision stratégique.

"On ne mène pas d'opérations sans modèle de terrain", explique-t-il. "Le cyberespace est un terrain, et le défenseur doit le comprendre mieux que l'adversaire.

Que ce soit sur le champ de bataille ou dans le centre de données, la leçon est la même. Vous ne pouvez pas protéger ce que vous ne comprenez pas. La connaissance de votre environnement - de votre terrain - vous donne une longueur d'avance. Sans cela, vous vous battez à l'aveuglette.

On ne mène pas d'opérations sans modèle de terrain. Le cyberespace est un terrain, et le défenseur doit le comprendre mieux que l'adversaire.

Aujourd'hui à la tête de la Fondation HoldFast et encadrant des leaders dans tous les secteurs, Bruce a expliqué que la confiance se gagne, qu'elle ne se présume pas.

"Dans mon monde, la confiance n'est pas donnée. Il est construit", a déclaré Bruce. "Vous la gagnez par la clarté, la cohérence et le courage.

Le général Luong s'est fait l'écho de cette approche du point de vue du leadership. Dans sa carrière militaire, la clarté était essentielle à la réussite de la mission.

"En tant que commandant, je ne pouvais pas supposer que tous les membres de l'équipe disposaient d'informations parfaites", a-t-il déclaré. "J'ai dû créer de la clarté et instaurer la confiance par la répétition, la structure et la communication.

Tout comme les équipes d'élite valident et vérifient tout dans le cadre d'une mission à fort enjeu, Zero Trust ne suppose rien sur les utilisateurs, les appareils ou les applications sans une validation claire et continue.

En effet, en matière de guerre comme de cybersécurité, le coût de la confiance peut être catastrophique.

Le manque de terrain en matière de cybersécurité et comment Zero Trust y remédie

M. Kindervag a expliqué que la cybersécurité traditionnelle est dépourvue de l'un des concepts les plus essentiels de la stratégie militaire : un modèle clair du terrain.

"Si je demandais à la plupart des organisations de dessiner le terrain de leur réseau, elles ne pourraient pas le faire", a-t-il déclaré. "Vous n'iriez pas au combat à l'aveuglette, mais c'est ainsi que la plupart d'entre nous agissent dans le domaine de la cybersécurité.

Pour enfoncer le clou, Kindervag a montré une image de l'investiture du président Obama où il était entouré d'agents des services secrets dans un périmètre visuel stratifié.  

Les agents savaient trois choses :  

• Qui était le président ?
• Où il se trouvait
• Comment le segmenter et le protéger des menaces potentielles

"C'est la confiance zéro dans le monde réel", a déclaré M. Kindervag. "Il ne s'agit pas de construire des murs plus hauts. Il s'agit de comprendre qui et quoi vous protégez, où ils vivent et comment ils interagissent avec tout ce qui les entoure".

La visibilité est la nouvelle norme

L'une des métaphores les plus fortes de la journée est venue de Bruce.

"Dans les opérations spéciales, la première chose à faire est de sécuriser le terrain le plus élevé", a-t-il déclaré. "Si vous ne le faites pas, votre adversaire le fera.

En matière de cybersécurité, la visibilité est le point culminant. Sans cela, les équipes de sécurité se retrouvent à réagir aux menaces au lieu de les contenir de manière proactive.

"Vous ne pouvez pas défendre ce que vous ne pouvez pas voir", a répété Kindervag. "La confiance zéro commence par la visibilité - comprendre votre terrain".

Luong est d'accord. "Les meilleurs commandants que j'ai connus n'étaient pas ceux qui parlaient le plus fort", a-t-il déclaré. "Ils étaient ceux qui connaissaient leur terrain et pouvaient prendre des décisions dans le brouillard de la guerre.

Il ajoute qu'il en va de même pour le leadership en matière de cybersécurité : "La visibilité et la compréhension sont des multiplicateurs de force. Vous gagnez lorsque vous pouvez prendre des décisions rapides et claires basées sur la réalité et non sur des suppositions".

Des champs de bataille physiques aux champs de bataille numériques, la mission est la même

Tout au long de la session, le fil conducteur a été le leadership. Il ne s'agit pas seulement du titre ou du grade, mais de l'état d'esprit.

"Vous n'êtes pas à la hauteur", dit Bruce. "Vous êtes par défaut à votre niveau de préparation".

Zero Trust offre cette préparation. Elle permet aux organisations de voir clair, de réagir de manière décisive et de contrôler ce qui se passe dans leur environnement, même après l'intrusion d'un pirate.

Vous n'êtes pas à la hauteur. Vous vous en remettez à votre niveau de préparation.

C'est ce à quoi Illumio s'attache chaque jour. Dans l'ère post-fraude, il ne suffit pas d'essayer d'empêcher les menaces d'entrer. Vous devez être prêt à les contenir dès qu'ils font une percée.

Prêt à revoir votre position ?

Si vous êtes un responsable de la cybersécurité, votre travail ne consiste pas seulement à acheter des outils et à bloquer les attaques. Il s'agit de comprendre votre terrain, de clarifier votre environnement et d'adopter un cadre qui suppose l'existence d'une brèche et permet le contrôle.

Et comme l'a souligné Kindervag, Zero Trust n'est pas un produit. Il s'agit d'un changement d'état d'esprit.

Tout comme au combat, ce changement commence par la compréhension de la mission et le maintien de votre position, quoi qu'il arrive.

Regardez le LinkedIn Live dans son intégralité pour apprendre comment la visibilité, la clarté et l'état d'esprit "Zero Trust" peuvent remodeler votre cyber-stratégie.