Lorsque la pandémie a frappé, PPG Industries, un fabricant de revêtements et de peintures industriels de 137 ans, était prêt à poursuivre ses opérations. Une décennie plus tôt, lorsque le Sommet G8 est venu à Pittsburgh, les responsables de la ville, citant des préoccupations de sécurité, ont demandé à l’entreprise de faire travailler les 12 000 employés de son bureau du centre-ville à domicile.
« Nous étions vraiment nerveux par rapport à notre capacité à soutenir toutes les personnes qui ne pouvaient pas travailler depuis le bureau », déclare Dan Connelly, cadre en charge des efforts d’accès à distance de l’entreprise.
Cela a poussé l’entreprise à se demander : que ferait-elle si un autre événement soudain obligeait à passer encore plus au télétravail ? Suite à cet exercice, l’entreprise a acheté sept fois plus de capacité d’accès à distance qu’elle n’en avait besoin à l’époque. Et elle a renforcé ses pratiques de sécurité pour limiter l’accès réseau aux personnes qui pouvaient prouver leur identité et l’intégrité de leur appareil, chaque fois qu’elles se connectaient.
Lorsque la COVID-19 a frappé, « nous avions une longueur d’avance et n’avions pas besoin de sauter à travers beaucoup de cerceaux », déclare Connelly.
Aujourd’hui, PPG se rapproche de cette approche de la sécurité sans risque. Le modèle, connu sous le nom de Zero Trust, émerge rapidement en tant que meilleure pratique pandémique. Son objectif est de protéger les réseaux informatiques contre les intrusions malveillantes en traitant chaque appareil qui tente de se connecter comme une menace potentielle.
Avec des millions de travailleurs à distance accédant chaque jour aux réseaux organisationnels, et avec des équipes informatiques submergées par la quantité de trafic et une myriade d’appareils inconnus, le Zero Trust est soudainement un problème urgent de la direction.
« Dans le monde actuel du télétravail, la confiance zéro est essentielle », déclare John Pescatore, directeur des tendances émergentes en matière de sécurité à l’Institut SANS. « C’est comme porter un masque en public. Le non-respect de cette consigne expose à un risque de décès ou de décès d’une autre personne. Plus que jamais, une mauvaise hygiène de sécurité peut être désastreuse. »
De nombreux dirigeants d’entreprise et équipes informatiques ont déjà reçu ce message. Selon une enquête de septembre 2020 Deloitte, environ 37 % des dirigeants d’organisations ayant des initiatives de sécurité Zero Trust accélèrent leurs efforts. Parmi les raisons : 60 % des personnes interrogées par Enterprise Management Associates (EMA) ont également déclaré avoir vu une augmentation du nombre de problèmes de sécurité pendant la pandémie.
Aujourd’hui, la possibilité de travailler à distance n’est plus un privilège rare accordé à certains cadres et employés sur le terrain. Aujourd’hui, presque tout le monde a besoin d’un accès à distance au réseau pour fonctionner. Selon l’enquête de l’EMA, le pourcentage d’employés qui se connectent principalement au travail à distance a doublé depuis le début de la pandémie, pour atteindre 62 %. Et les deux tiers des entreprises interrogées ont déclaré avoir autorisé plus d’appareils appartenant aux employés sur le réseau d’entreprise.
Cet univers croissant d’appareils donne aux acteurs malveillants des cibles potentiellement plus vulnérables. Depuis le début de la pandémie, 63 % des experts en cybersécurité interrogés par le groupe Enterprise Strategy ont signalé une augmentation des tentatives de cyberattaques. Historiquement, plus de 90 % de toutes les attaques impliquent l’hameçonnage, dans lequel les employés cliquent sur un e-mail écrit avec art qui permet à l’expéditeur de voler des informations d’identification ou pire. Mais travailler à domicile aux côtés des conjoints, des enfants et des animaux domestiques, parfois via des réseaux Wi-Fi non sécurisés, complique le problème. « Toutes sortes de choses peuvent arriver », déclare Gus Hunt, ancien directeur technique de la Central Intelligence Agency, « y compris le téléchargement par mon enfant d’une application non sécurisée sur mon PC. »
Créer un modèle Zero Trust
Même dans les meilleures circonstances, il est difficile de créer un environnement Zero Trust. Cela nécessite une planification préalable auprès d’un large éventail de personnes. Il s’agit notamment de cadres supérieurs qui comprennent ce que les employés toléreront, ainsi que de développeurs de logiciels qui savent écrire du code qui automatise ces informations managériales dans des processus infaillibles pour s’assurer que tout le monde suit les règles de sécurité, sans ralentir trop le travail.
Pour ce faire, le Zero Trust exige également que les entreprises prennent un autre mot à la mode tout aussi au sérieux : DevSecOps. Plutôt que d’opérer comme des équipes distinctes avec leurs propres traditions et pratiques, ces développeurs doivent travailler continuellement avec le personnel informatique qui exécute le réseau et les applications qui s’exécutent dessus, et les experts en sécurité qui savent comment repérer et répondre aux nouvelles menaces.
Bien que la sécurité Zero Trust soit difficile, le concept de base de son fonctionnement est assez simple.
- Ne faites jamais confiance, vérifiez toujours : le service informatique doit travailler avec tous les secteurs d’activité pour s’assurer que chaque travailleur et sous-traitant est correctement pris en compte, y compris le niveau d’accès qu’il doit avoir à quelles parties de l’entreprise et quelles applications. Ce n’est qu’alors que leur identité peut être authentifiée, chaque fois qu’ils se connectent. Sans authentification, personne n’a accès à un réseau Zero Trust.
- Connaître ses appareils : la sécurité Zero Trust signifie identifier non seulement qui essaie d’obtenir un accès, mais également sur quel appareil. Dans le cadre de ce modèle, seuls les appareils précédemment vérifiés bénéficient d’un accès. Mais avant que cela ne se produise, le système doit affirmer plusieurs choses : l’appareil est-il correctement configuré ? Est-ce la propriété de l’entreprise ou de l’employé ? S’il s’agit de ce dernier, dispose-t-il du bon logiciel de partitionnement pour sécuriser l’activité liée au travail tout en préservant la confidentialité des données personnelles ? Le système d’exploitation et les applications sont-ils mis à jour ? Disposent-ils de tous les derniers correctifs de sécurité ? Exécute-t-il des applications non autorisées ou a-t-il été utilisé pour accéder à des sites Web non autorisés ?
Étonnamment, peu d’entreprises prennent ces précautions, en particulier celles qui se précipitent pour s’adapter au télétravail après la pandémie. Plus de la moitié des employés utilisent désormais leurs ordinateurs portables et PC personnels pour le travail, mais seuls 39 % ont reçu une technologie de la part de leurs employeurs pour s’assurer qu’ils sont correctement sécurisés, selon une étude sur le télétravail d’IBM.
« Vous devez toujours connaître le statut de chaque appareil, y compris ce qui a été téléchargé sur celui-ci et qui est l’utilisateur », déclare M. Hunt. « Ce n’est qu’alors que vous pouvez créer un système capable de prendre de bonnes décisions automatisées sur qui peut faire quoi. »
- Agissez : une architecture Zero Trust ne se contente pas de détecter les menaces potentielles. Il peut y répondre en déclenchant, par exemple, une mise à jour automatique du logiciel, en informant un membre du personnel de sécurité d’un logiciel malveillant ou en mettant en quarantaine un système pour couper l’appareil des données sensibles.
Commencez par une bonne gouvernance
Hunt déclare que la tâche la plus difficile dans la mise en œuvre d’un modèle Zero Trust est de définir les politiques autour de qui accède, quand et pourquoi. Cette première étape, ajoute-t-il, est celle qui est le plus souvent mal gérée. En effet, les entreprises ne prennent pas suffisamment de temps pour comprendre comment leurs employés utilisent la technologie. Par exemple, dit Hunt, si un utilisateur se connecte à partir d’un emplacement inhabituel ou avec un appareil inconnu, cela ne signifie pas que l’utilisateur est une menace. Les règles sont simplement nécessaires pour s’adapter à ce travailleur.
« S’il est vraiment bizarre que Gus se connecte à partir d’un Starbucks un dimanche matin, peut-être que le système devrait me laisser entrer, mais seulement me laisser remplir ma feuille de temps et ne pas me donner accès au système RH ou à toute autre donnée sensible », déclare Hunt à titre d’exemple.
[Lire également : Construire un avenir Zero Trust]
En d’autres termes, le contexte est crucial. Par conséquent, si un appareil a un lien vers un site Web inconnu, mais que l’utilisateur est vérifié en tant que PDG de l’entreprise, vous pouvez définir des règles qui lui permettent toujours d’accéder au système CRM. Pendant ce temps, un sous-traitant avec peu d’antécédents d’entreprise pourrait passer directement à la quarantaine.
La définition de ces politiques détaillées nécessite plus de collaboration que les entreprises ne l’attendent. Généralement, pour démarrer le chemin Zero Trust, les entreprises créent un tableau de gouvernance des données, mais elles ne parviennent trop souvent pas à affecter les personnes qui savent comment les travailleurs fonctionnent. Cela signifie qu’en plus des responsables informatiques et du développement logiciel, vous devez inclure des responsables de secteur d’activité qui connaissent leurs équipes.
« C’est la partie la plus difficile », déclare Hunt. « Les politiques et les problèmes de gouvernance doivent être réfléchis bien à l’avance. Vous ne pouvez pas simplement décider que vous allez faire Zero Trust et le frapper ensemble. »
Rendre Zero Trust sans friction
Bien qu’ayant travaillé sur le problème pendant des années, même le Pittsburgh Plate Glass a beaucoup à faire, déclare Connelly de PPG. D’une certaine manière, son service a pris la peine de n’autoriser que les ordinateurs portables d’entreprise, préchargés avec des logiciels de sécurité, sur le réseau d’entreprise. Cela signifie que les employés ne peuvent pas utiliser leurs propres PC, Mac ou smartphones.
Mais d’autres manières, cela n’a pas été suffisamment prudent. Par exemple, une fois que les employés de PPG se connectent au réseau, ils disposent d’un accès libre pour utiliser la plupart des applications et voir la plupart des données. Un système Zero Trust perfectionné fournirait un accès uniquement à ce qu’ils sont approuvés pour être utilisés.
À l’avenir, Connelly déclare que les employés s’attendront à disposer de nombreuses options d’appareils, et que les entreprises doivent maintenir un contrôle plus fin sur la manière, le moment et l’endroit où ils sont utilisés.
« Nous ne pensons pas que le désir des gens de travailler à domicile ne cesse de disparaître », déclare Connelly, dont l’entreprise passe progressivement de ses propres centres de données à une infrastructure et des services basés sur le cloud. « Alors que nous passons au cloud, le Zero Trust sera une priorité absolue pour nous », déclare-t-il.
Étant donné la complexité accrue de la sécurité dans un monde de télétravail, les entreprises devront prêter une attention particulière à l’équilibre entre la sécurité et l’expérience des employés. L’informatique perturbe-t-elle la façon dont les gens travaillent en mettant trop d’obstacles en place ? Tout comme une cliente peut ne pas vouloir se rendre dans un restaurant qui l’a testée pour la COVID-19 chaque fois qu’elle a franchi la porte, les travailleurs ne veulent pas trop de tracas de connexion ou attendre trop longtemps pour vérifier leur statut avant de pouvoir effectuer un travail.
Si les problèmes de sécurité quotidiens liés à la simple connexion deviennent trop coûteux, les entreprises risquent de donner aux employés une raison de penser à sauter le pas, ou pire encore, les pousser à rechercher des raccourcis qui rouvrent les vulnérabilités. « Lorsque les gens sont frustrés, ils recherchent des solutions de contournement », déclare Hunt.
Cependant, les entreprises et les travailleurs ne peuvent plus mettre la Zero Trust en attente permanente. « Vous ne pouvez pas simplement espérer que les violations ne vous arriveront pas. Ce n’est pas un moyen de vivre », déclare Pescatore, analyste du SANS Institute. « La confiance zéro peut empêcher les attaques qui peuvent dénaturer l’ensemble de votre entreprise. Elle ne peut plus être considérée comme facultative. »
