Faites preuve de prudence lorsque vous abordez le sujet des VPN (réseaux privés virtuels) avec Anton Chuvakin, responsable de la stratégie en matière de solutions de sécurité « » chez Google Cloud. Il ne les apprécie pas beaucoup. « Elles se cassent », dit-il. « Ils tombent souvent en panne. » « Et dans les moments les plus difficiles. »
Le scepticisme de Chuvakin est tout à fait justifié. Au cours des dix derniers mois, il a assisté en direct à une expérience imprévue. Un collègue de Google qui a accédé aux ressources professionnelles de Google via un système d'accès « zéro confiance » (qui, dans la plupart des cas, nécessite l'authentification de chaque appareil et de chaque utilisateur avant que l'accès au réseau ne soit accordé) n'a rencontré aucun problème de connexion. De son côté, l'épouse de cet homme, qui utilisait un VPN pour se connecter à son réseau professionnel, était confrontée à des problèmes de connexion au moins une fois par jour. La frustration que l'on ressent en essayant de travailler de cette manière, explique Chuvakin, « c'est comme si votre cerveau fonctionnait via un VPN ».
Les inconvénients liés à l’utilisation des VPN et les problèmes de sécurité qu’ils posent aux télétravailleurs — les VPN sont très efficaces s’ils sont correctement entretenus et configurés, mais ils ne protègent pas contre les menaces provenant du réseau domestique — préoccupent beaucoup M. Chuvakin, tout comme les autres défis auxquels les technologies d’entreprise ont été confrontées l’année dernière. Les employés se retrouvant soudainement hors de leurs pare-feu, les équipes de sécurité se sont empressées de les protéger à l'aide des logiciels anti-malware et des systèmes de surveillance que le réseau de l'entreprise leur fournissait auparavant.
Alors que le télétravail continue de s'imposer comme la nouvelle norme à l'échelle mondiale, ces équipes doivent désormais veiller à ce que l'authentification soit adaptée, sécurisée et facile à utiliser dans l'ensemble de l'entreprise. Beaucoup doivent le faire dans des environnements de cloud hybride complexes, de type « », ou sont confrontés à des systèmes hérités et à des applications obsolètes.
[À lire également : Pourquoi la complexité n'est pas l'ennemie de la sécurité]
C'est à M. Chuvakin qu'il revient de répondre au besoin urgent d'un accès à distance sécurisé. Il apporte à ce poste une expérience remarquable. Outre ses fonctions antérieures de responsable de la stratégie de sécurité chez Google Chronicle, il a occupé les postes de vice-président chargé de la recherche et d'analyste émérite au sein du cabinet d'études de marché Gartner. Dans ce cadre, il s'est occupé, entre autres, de la gestion des informations et des événements de sécurité, de la gestion des journaux, de la surveillance de la sécurité, des centres d'opérations de sécurité, de l'analyse de la sécurité, ainsi que de l'analyse du comportement des utilisateurs et des entités. M. Chuvakin, physicien, s'est également constitué une impressionnante communauté en ligne grâce à son compte Twitter « » ( ) et à ses articles publiés sur « » ().
M. Chuvakin s'est récemment entretenu avec M. , responsable des terminaux chez , afin d'évoquer les enjeux de sécurité auxquels sont confrontées les entreprises alors qu'elles se préparent à un avenir où leurs collaborateurs continueront à travailler à distance, ainsi que la manière dont les équipes de sécurité se tournent vers le modèle « zero trust » pour protéger les collaborateurs et les réseaux.
En quoi un modèle de sécurité « zero-trust » s'inscrit-il dans les priorités actuelles du RSSI ?
Lorsque les entreprises sont passées au télétravail l'année dernière, nombre d'entre elles se sont appuyées sur leurs serveurs VPN pour permettre l'accès à distance. Mais cela s'est avéré problématique lorsqu'ils ont dû passer de 1 000 employés en télétravail à 50 000. C'était une situation délicate, car non seulement ils devaient payer pour davantage d'accès VPN, mais ils devaient également adapter la capacité de ces systèmes de manière différente.
L'objectif du modèle « zero trust » est de protéger les réseaux informatiques contre les intrusions malveillantes. Pour ce faire, il considère chaque appareil qui tente de se connecter comme une menace potentielle. Le modèle « zero trust » constitue une solution plus simple au problème de l'accès à distance que les VPN.
C'est pourquoi c'est le bon moment pour le faire. Nous vivons à une époque où un accès à distance efficace, simple, sécurisé, stable et basé sur le modèle « zero-trust » est une nécessité absolue. C'est la raison principale. Mais il y en a d'autres.
De quoi s'agit-il ?
Parmi ceux-ci figurent le nombre d'applications et de services auxquels les entreprises accèdent via des navigateurs, un chiffre qui est déjà relativement élevé et qui ne cesse d'augmenter. Autrefois, si vous aviez besoin d'un accès direct au réseau, vous utilisiez le VPN, et une fois connecté, vous y étiez, et vous pouviez accéder à de nombreuses ressources. Aujourd'hui, nous pensons que, dans le monde des applications web et de l'accès aux API [interfaces de programmation d'applications], il est beaucoup plus facile pour les équipes de sécurité de garantir un accès sécurisé à ces applications, et il est beaucoup plus facile pour les employés d'y accéder.
[À lire également : Des experts vous donnent des conseils pour se lancer dans le « zero trust »]
C'est l'un de ces rares cas où l'on peut concilier simplicité et sécurité. Et c'est là un point essentiel. Je sais que cela ressemble à de la propagande commerciale : « Oh, c'est sûr et facile. » Mais nous pouvons le prouver. Ce système est plus sûr, car il offre des contrôles d'accès plus précis, et les utilisateurs ne bénéficient pas d'autorisations générales leur permettant d'effectuer n'importe quelle action. C'est simple, car les utilisateurs n'ont pas à se soucier de lancer un client VPN, de configurer des certificats numériques ou quoi que ce soit de ce genre. Tout est réglé.
En quoi le modèle « zero trust » aide-t-il les entreprises à gérer des environnements hybrides complexes ?
Le terme « cloud hybride » signifie que certaines applications sont hébergées sur site, d’autres dans le cloud privé et d’autres encore dans plusieurs clouds. J'intègre le concept de « multicloud » dans celui de cloud hybride, même si ce n'est pas toujours ce à quoi on s'attend.
Cela s'inscrit dans le cadre d'un défi de taille. Aujourd'hui, les systèmes informatiques des entreprises reposent sur des infrastructures datant de plusieurs années, auxquelles se superposent de nouvelles technologies. Presque aucune technologie ne disparaît jamais. Réfléchissez-y : les ordinateurs centraux n'ont pas disparu. Nos clients nous font part de la complexité de leurs environnements dans leur ensemble. Ils disposent de serveurs Unix, de serveurs Windows, de centres de données ainsi que des services cloud d'Amazon et de Google. Ils souhaitent savoir comment s'y prendre pour mieux les gérer tous.
À l'époque où je travaillais chez Gartner, j'ai rencontré de nombreux clients qui redoutaient énormément de devoir gérer et sécuriser les environnements dans lesquels ils avaient déployé des solutions issues des séries 1970s, 1980s, 1990s, 2000s, 2010s et, désormais, 2020s — des mainframes aux conteneurs.
À mes yeux, le défi du cloud hybride s'inscrit dans le cadre de ce défi plus large.
Le modèle « Zero Trust », et plus précisément notre produit « » BeyondCorp Enterprise , s'avère utile dans ces environnements, car il prend en charge les applications hébergées au sein de Google Cloud. Et dans le cloud en général, ainsi que sur site. BeyondCorp Enterprise vous permet soit de migrer vers le cloud, soit d'utiliser des environnements hybrides. C'est ce qui compte le plus.
Au fur et à mesure que vous avez développé ce projet, vous avez collaboré avec vos clients pour passer au modèle « zero trust ». Quels enseignements en avez-vous tirés ?
Les entreprises nous disent souvent : « Eh bien, vous disposez de ce système formidable qui fonctionne très bien. » C'est d'une onctuosité incroyable. C'est sécurisé. « Cela vous fournit toutes les données de télémétrie dont vous avez besoin. » Ce qu'ils oublient, c'est qu'il a fallu environ dix ans à Google — qui compte parmi ses rangs certains des meilleurs ingénieurs de la planète — pour mettre au point ce système d'une fluidité exceptionnelle, ultra-sécurisé et extrêmement simple d'utilisation.
Les clients indiquent également que Google n'a jamais eu à composer avec un grand nombre de technologies héritées. C'est exact. Personne chez Google ne possède de super-ordinateur.
Mais si vous êtes une compagnie d'assurance du Midwest, vous disposez sans doute d'un environnement informatique d'entreprise assez complexe, comprenant notamment des technologies vraiment anciennes.
La question est donc la suivante : le modèle d'accès « zero-trust » peut-il fonctionner dans ce contexte ? Je dis que cela va être difficile, mais la motivation pour y parvenir est encore plus forte, encore plus importante. Car s'ils ne le font pas, la pyramide de la complexité les écrasera.
Quels conseils leur donnez-vous ?
C'est vraiment difficile. C'est un thème récurrent chez bon nombre de clients que je rencontre. Mais, en fin de compte, ils devront adopter ce modèle. Si ce n'est pas le cas, il est très probable que toutes les couches informatiques, avec l'ensemble des méthodes d'authentification et d'accès individuelles, leur posent des problèmes.
Vous devez sécuriser ces environnements à haut risque selon une approche moderne, en adoptant le modèle « zero trust ». Il n'est pas gérable d'avoir un VPN d'un côté et un autre VPN de l'autre. À la fin, cette complexité finirait par vous tuer.
