L’identité est le nouveau périmètre

L'une des principales difficultés rencontrées par les entreprises dans leur parcours Zero Trust est de bien saisir le concept et le traduire en actions concrètes. Contrairement à une simple technologie ou solution logicielle, le Zero Trust est avant tout une approche architecturale visant à renforcer la sécurité des accès aux ressources et aux services. « Ce modèle découle d'une transformation profonde des infrastructures avec la montée en puissance du cloud, qui a bouleversé les approches traditionnelles de sécurité » rappelle Samir Bentaybi. Il y a encore quelques années, le datacenter constituait le cœur du système d'information, protégé par des défenses périmétriques telles que les pares-feux ou les VPN. Aujourd'hui, avec l’essor du télétravail, le recours aux applications SaaS et l'utilisation massive du cloud, Internet est devenu le nouveau réseau, le principal mode de transport d’une majorité des flux de données. Cette évolution a rendu obsolètes les anciennes stratégies de défense reposant sur une frontière claire et définie entre l'intérieur et l'extérieur du réseau de l'entreprise.

« Dans ce nouveau contexte, l’attitude la plus saine consiste à ne plus accorder de confiance implicite à aucune entité, qu’elle soit interne ou externe », poursuit Samir Bentaybi : « Chaque connexion doit être perçue comme potentiellement risquée tant que des critères d'identité, de fiabilité de la connexion et de sécurité des contenus n’ont pas été rigoureusement validés. »
Ce changement de paradigme implique une transformation profonde des mentalités, mais des résultats concrets peuvent être observés dès les premières phases de déploiement. 

Structurer son projet Zero Trust pour obtenir des bénéfices rapides

Pour maximiser les gains tout au long de la transition vers le Zero Trust, il est crucial de structurer le projet en étapes claires. Voici trois phases permettant de générer rapidement des résultats concrets.

Étape 1 : Adopter une nouvelle approche de la connectivité

La première étape consiste à repenser entièrement la manière dont la connectivité est gérée.
Le Zero Trust repose sur l'inspection systématique de tout le trafic sortant, qu'il soit destiné à l'intranet ou à Internet. Pour Samir Bentaybi, « l’inspection SSL est le premier challenge technique à relever, sous peine de rester aveugle face à une large palette de menaces cachées dans les flux chiffrés ». La démarche implique une approche globale, qui commence par la redirection de l’ensemble du trafic réseau de l'entreprise vers une plateforme sécurisée telle que Zscaler.

Avec Zscaler Client Connector, une application légère installée sur les terminaux des utilisateurs, tout le trafic est automatiquement acheminé vers le data center Zscaler le plus proche, parmi les 150 disponibles dans le monde. Ce processus garantit que les politiques de sécurité et d'accès sont appliquées uniformément, quels que soient l'appareil, l'emplacement ou l'application. Le Client Connector identifie automatiquement si l'utilisateur cherche à accéder à Internet, à une application SaaS ou à une ressource interne, et redirige le trafic vers le service Zscaler adéquat pour analyse et sécurisation.

Pour l'utilisateur final, cette solution offre une expérience fluide et transparente : il n'a pas à lancer manuellement un VPN à chaque connexion à un réseau. Le connecteur s’intègre parfaitement avec les systèmes d’authentification multi-facteurs (MFA) et les fournisseurs d’identité, permettant un accès sécurisé sans complications. Contrairement aux méthodes traditionnelles, il n'y a pas besoin de VPN IPsec ni d’autres processus supplémentaires, ce qui simplifie considérablement l’expérience utilisateur.

L’utilisation de Zscaler Client Connector permet ainsi de poser les bases d'une stratégie Zero Trust en sécurisant rapidement le trafic réseau grâce à une authentification forte des flux et une connectivité simple vers le Cloud Zscaler où s’effectuent les opérations sécurisantes tel que l'inspection du trafic (chiffré ou non) et l'application de politiques de sécurité.

Étape 2 : Réduire les infrastructures obsolètes et appliquer des politiques de sécurité adaptées

Une fois le trafic sécurisé, il est possible de supprimer ou de réduire les infrastructures obsolètes, telles que les appliances physiques, souvent coûteuses et inefficaces face aux menaces modernes.

L’introduction de politiques de sécurité adaptées permet ensuite de gérer plus efficacement les accès des utilisateurs. Fondées sur des règles claires, elles permettent de limiter les accès non essentiels, d’encadrer les comportements à risque, et d’assurer une conformité stricte avec les normes en vigueur.
Cette phase permet non seulement de renforcer la sécurité en réduisant considérablement, voire en éliminant la surface d’attaque et les mouvements latéraux, mais aussi de rationaliser les ressources technologiques de l’entreprise.

Etape 3 : Achever sa transformation et monter en maturité

La dernière étape du déploiement Zero Trust représente une transformation plus profonde des pratiques sur la durée, une véritable montée en compétences que Samir Bentaybi constate régulièrement sur le terrain : « le Zero Trust fait naître de nouvelles réflexions sur des pratiques à risque qui étaient peu, voire pas du tout évoquées il y a quelques années ». Prenons l’exemple des transferts de données sur des supports physiques tels que les clés USB, qui ne soulevaient pas de préoccupations majeures. Le cadre Zero Trust pousse à revoir ce type de pratiques, qui peuvent potentiellement exposer l’entreprise au vol de données sensibles ou à la propagation de malwares.
Les outils Zscaler viennent en support de ces initiatives en permettant la mise en place de politiques de Data Loss Prevention (DLP), avec notamment l’instauration de workflows d’approbation stricts avant tout transfert de données vers des périphériques externes.

Cette troisième phase n’est donc pas simplement une étape technique, mais un processus continu d’affinage des pratiques de sécurité, où chaque nouvelle réflexion, chaque nouvelle politique contribue à élever la maturité de l’organisation en matière de cybersécurité. Le Zero Trust devient ainsi un moteur de transformation profonde, non seulement pour la sécurité informatique, mais aussi pour la gestion globale des données.