Soyez prudent lorsque vous abordez le sujet des VPN (réseaux privés virtuels) avec Anton Chuvakin, responsable de la stratégie de solution de sécurité chez Google Cloud. Il ne les aime pas beaucoup. « Ils se cassent », dit-il. « Ils se brisent beaucoup. Et aux pires moments. »
Le scepticisme de Chuvakin est bien fondé. Au cours des dix derniers mois, il a été témoin d’une expérience imprévue en temps réel. Un collègue de Google ayant accédé aux ressources de travail Google avec un accès Zero Trust (qui, dans la plupart des scénarios, nécessite l’authentification de chaque appareil et de chaque utilisateur avant l’octroi de l’accès réseau) n’avait aucun problème de connexion. Pendant ce temps, la femme de l’homme, qui utilisait un VPN pour son accès professionnel, s’est battue contre des problèmes de connexion réseau au moins une fois par jour. La frustration d’essayer de travailler de cette manière, déclare Chuvakin, « est votre cerveau sur VPN ».
Les tracas liés à l’utilisation des VPN et les problèmes de sécurité qu’ils présentent pour la main-d’œuvre à distance — les VPN sont excellents s’ils sont maintenus et configurés correctement, mais ne protègent pas contre les menaces transmises via un réseau domestique — sont très à l’esprit de Chuvakin, tout comme les autres défis auxquels la technologie d’entreprise est confrontée l’année dernière. Alors que les travailleurs dépassaient soudainement leurs pare-feux, les équipes de sécurité se sont efforcées de les protéger avec le logiciel anti-programme malveillant et les systèmes de surveillance que le réseau de bureau fournissait.
Alors que le travail à distance continue de se consolider dans la nouvelle normalité mondiale, ces équipes doivent désormais s’assurer que l’authentification est informée, sécurisée et facile à utiliser dans l’ensemble de l’entreprise. Beaucoup doivent le faire dans des environnements de cloud hybride complexes, ou avoir des difficultés avec les systèmes existants et les anciennes applications.
[Lire également : Pourquoi la complexité n’est pas l’ennemi de la sécurité]
Chuvakin a pour tâche de répondre au besoin en temps opportun d’un accès distant sécurisé. Il apporte au poste un formidable parcours. En plus d’occuper auparavant le poste de responsable de la stratégie de sécurité de Google Chronicle, il a été vice-président de recherche et analyste distingué au sein de la société d’études de marché Gartner. Là, il a couvert la gestion des informations et des événements de sécurité, la gestion des journaux, la surveillance de la sécurité, les centres d’opérations de sécurité, l’analyse de la sécurité et l’analyse du comportement des utilisateurs et des entités, entre autres disciplines. Chuvakin, un physicien, a également construit un suivi en ligne impressionnant grâce à son compte Twitter et à sa rédaction en ligne.
Chuvakin a récemment parlé avec Endpoint pour discuter des problèmes de sécurité auxquels les entreprises sont confrontées alors qu’elles adoptent un avenir avec une main-d’œuvre qui continuera à travailler à distance, et comment les équipes de sécurité se tournent vers la confiance zéro pour sécuriser les travailleurs et les réseaux.
Comment un modèle de sécurité Zero Trust s’aligne-t-il sur les priorités actuelles du RSSI ?
Lorsque les entreprises ont changé de télétravail l’année dernière, beaucoup se sont appuyées sur leurs serveurs VPN pour permettre un accès à distance. Mais cela s’est avéré gênant lorsqu’ils ont dû passer de 1 000 employés à distance à 50 000. C’était une position délicate, car non seulement ils devaient payer pour plus d’accès VPN, mais ils devaient également faire évoluer ces systèmes différemment.
L’ objectif de Zero Trust est de sécuriser les réseaux informatiques contre les intrusions malveillantes. Cela se fait en traitant chaque appareil qui tente de se connecter comme une menace potentielle. Le Zero Trust est une réponse plus simple au problème d’accès à distance que les VPN.
C’est pourquoi c’est le bon moment pour cela. Il s’agit d’une époque où l’accès à distance efficace, facile, sécurisé, stable et Zero Trust est très nécessaire. C’est la raison principale. Mais il y en a d’autres.
De quoi s’agit-il ?
Elles comprennent le nombre d’applications et de services auxquels les entreprises accèdent via des navigateurs, qui est déjà relativement élevé et de plus en plus élevé. Par le passé, si vous aviez besoin d’un accès réseau direct, vous utilisiez le VPN, et une fois que vous étiez dans, vous étiez dans, et vous pouviez accéder à de nombreuses choses. Aujourd’hui, dans le monde des applications de navigateur et de l’accès API [interface de programmation d’applications], il est beaucoup plus facile pour les équipes de sécurité de fournir un accès sécurisé à ces applications, et il est beaucoup plus facile pour les employés d’accéder à ces applications.
[Lire également : des experts partagent des conseils pour démarrer avec Zero Trust]
Il s’agit de l’un de ces rares cas où vous pouvez avoir un équilibre facile mais sécurisé. Et c’est un point crucial. Je sais qu’il semble que le marché des fournisseurs se propage : « Oh, c’est sûr et facile. » Mais nous pouvons le prouver. C’est plus sécurisé car vous obtenez des contrôles d’accès plus granulaires et les personnes n’obtiennent pas d’autorisations générales pour faire les choses. C’est facile, car les utilisateurs n’ont pas besoin de penser à lancer un client VPN ou à configurer des certificats numériques ou tout autre élément comme celui-ci. Tout cela est pris en charge.
Comment le Zero Trust aide-t-il les entreprises à gérer des environnements hybrides complexes ?
« Cloud hybride » signifie qu’il existe certaines applications sur site, et certaines applications dans le cloud privé, et certaines applications dans plusieurs clouds. J’insère le concept de « multicloud » dans le cloud hybride, même si ce n’est pas toujours l’attente.
Cela fait partie d’un défi important. L’informatique d’entreprise d’aujourd’hui superpose des éléments datant d’il y a des années, avec des technologies superposées. Presque aucune technologie ne meurt. Pensez-y : les mainframes ne sont pas morts. Les clients nous parlent de la complexité de leur environnement global. Ils ont des serveurs Unix, des serveurs Windows, des centres de données et des clouds Amazon et Google. Ils veulent savoir quoi faire pour les gérer mieux.
À l’époque de Gartner, j’ai vu de nombreux clients qui étaient très effrayés de gérer et de sécuriser les environnements où ils ont des choses construites dans les 1970s, 1980s, 1990s, 2000s, 2010s, et maintenant c’est 2020s , des mainframes aux conteneurs.
Pour moi, le défi du cloud hybride est un sous-ensemble de ce défi plus large.
Le Zero Trust, et plus particulièrement notre produit BeyondCorp Enterprise , est utile dans ces environnements car nous couvrons les applications dans Google Cloud. Et dans les clouds en général et sur site. BeyondCorp Enterprise vous permet de passer au cloud ou d’utiliser des environnements hybrides. C’est ce qui compte le plus.
Au fur et à mesure que vous avez développé cela, vous avez travaillé avec les clients pour passer à la confiance zéro. Quelles leçons en avez-vous tirées ?
Les organisations nous disent souvent : « Eh bien, vous avez ce système incroyable qui fonctionne bien. C’est tout en douceur. C’est sécurisé. Cela vous donne toute la télémétrie dont vous avez besoin. » Ce qu’ils oublient, c’est qu’il a fallu à Google, avec quelques-uns des meilleurs ingénieurs de la planète, environ dix ans pour parvenir à ce système ultra fluide, super sécurisé et super facile.
Les clients affirment également que Google n’a jamais eu à se battre avec beaucoup de technologies existantes. C’est exact. Personne chez Google n’a de mainframe.
Mais si vous êtes une compagnie d’assurance dans le Midwest, vous auriez un environnement informatique d’entreprise assez complexe, y compris quelques technologies vraiment anciennes.
La question est donc : l’accès Zero Trust peut-il y fonctionner ? Je dis que ça va être difficile, mais la motivation pour le faire est encore plus forte, encore plus importante. Parce que s’ils ne le font pas, la pyramide de complexité les enfouira.
Quels conseils lui donnez-vous ?
Ce truc est vraiment difficile. C’est le thème récurrent avec beaucoup de clients que je rencontre. Mais, en fin de compte, ils doivent passer à ce modèle. Si ce n’est pas le cas, il est très probable que toutes les couches informatiques, avec toutes les méthodes d’accès d’authentification individuelles, s’écraseraient dessus.
Vous devez faire en sorte que ces environnements à haut risque se déroulent de la manière moderne, grâce à Zero Trust. Il n’est pas possible d’avoir un VPN ici et un autre VPN là-bas. Finalement, la complexité vous tuerait.
