Par Jerry Hoff
Compte tenu des changements continus du paysage de la sécurité des entreprises depuis le début de 2020, tels que l'augmentation massive de la main-d'œuvre distante et la poussée continue vers les services et l'infrastructure basés sur le cloud, de nombreux dirigeants d'entreprise repensent et réorganisent leurs entreprises pour répondre à ces défis. Le travail à distance est désormais généralement accepté comme un élément permanent. Par conséquent, 2022 nécessitera des défenses de cybersécurité très différentes pour correspondre à la nature des nouvelles menaces et à ce qui doit être protégé. Cela dit, de nombreuses entreprises se demandent comment passer au niveau supérieur de sécurité et comment préparer leurs environnements à tant de changements majeurs ? Une grande partie de la réponse pour de nombreuses organisations est Zero Trust.
La mise en œuvre de Zero Trust n'est pas une tâche simple. La meilleure façon de commencer à vous préparer est de décider quelles fonctionnalités vous souhaitez/devez ajouter, quelles fonctionnalités vous devez simplement améliorer et comment vous assurer que ces données sont accessibles à tous avec des privilèges aussi facilement et en toute sécurité que possible.
Voici cinq éléments à considérer comme étapes préparatoires de ce voyage.
1—Standardiser sur Zero Trust, définir Zero Trust, sélectionner Zero Trust
Adopter Zero Trust est très populaire aujourd'hui, mais Zero Trust est plus proche d'une philosophie, ou d'un état d'esprit, plus qu'autre chose. Différentes entreprises mettront en œuvre une approche Zero Trust différemment, compte tenu de leurs paysages de menaces particuliers, de la nature de leurs activités, de leurs zones géographiques, de leurs secteurs verticaux, de leurs attentes dans 18 mois, de leurs obligations de conformité, de leurs clients et de dizaines d'autres variables.
Mais tous les déploiements d'entreprise Zero Trust auront une authentification très forte comme contrôle de sécurité central. L'authentification forte va bien au-delà des conseils de sécurité passés tels que les mots de passe longs, mais devrait être un processus continu impliquant l'analyse comportementale, la biométrie, la localisation, une MFA plus sécurisée et évoluant finalement vers un monde sans mot de passe et sans code PIN. Cela signifie surveiller tous les utilisateurs tout le temps pendant toutes les sessions, alors bonjour l'authentification continue et finalement l'apprentissage automatique pour déterminer quand un nouveau comportement est probablement malveillant.
Une fois que les RSSI d'entreprise ont trouvé la meilleure définition Zero Trust de haut niveau. pour leur entreprise, la haute direction, la gestion des métiers et l'informatique doivent être à bord, ainsi qu'un engagement du groupe à la mise en œuvre. Idéalement, tous les participants doivent intérioriser les implications de cette nouvelle réalité de la sécurité. Zero Trust va changer la façon dont les systèmes sont budgétisés, conçus et déployés, et tous les niveaux de l'entreprise doivent se coordonner pour atteindre les résultats souhaités.
Zero Trust est vraiment un élément fondamental en ce qui concerne la sécurité dès la conception, la clé pour réduire les risques dans le domaine de l'authentification et du contrôle d'accès. À terme, cela réduira probablement la complexité des opérations de sécurité manuelles, automatisant beaucoup dans le domaine de l'authentification et du contrôle d'accès, et une sécurité bien meilleure. Et cela à son tour facilitera la conformité, surtout si la même approche de Zero Trust est exécutée de manière cohérente dans l'environnement global de l'entreprise.
De façon réaliste, cependant, ne minimisons pas que Zero Trust va nécessiter de grands changements dans la façon dont les applications et les systèmes sont définis, architecturés, construits, exploités et maintenus. Cela inclut les applications sur site, héritées et les applications locales (y compris celles héritées d'une myriade d'acquisitions au cours de la vie de l'entreprise). Pour certaines entreprises, cela offre un bon bonus sous la forme de frais de licence réduits, car des applications redondantes sont découvertes et éliminées.
Zero Trust forcera probablement également de nouvelles stratégies pour la gestion des données par les appareils mobiles, l'IoT et l'IIoT, comme ainsi que des données échangées avec des partenaires et des clients dans le monde.
2—Identifiez et exploitez les capacités Zero Trust existantes
Considérez quelques bonnes nouvelles. Il existe presque certainement des fonctionnalités Zero Trust déjà intégrées dans l'infrastructure de sécurité et informatique de la plupart des entreprises. L'astuce consiste à identifier ces capacités de sécurité Zero Trust existantes et à déterminer si cela a été pris en compte et ajouté à votre déploiement Zero Trust prévu.
Zero Trust ne nécessite généralement pas un changement complet des contrôles de sécurité, étant donné que vous en avez peut-être déjà certains. des éléments clés en place. Par exemple, de nombreux environnements cloud modernes, tels que Microsoft Azure, ont été créés avec Zero Trust à l'esprit. Mais il faudra presque certainement un rééquilibrage des contrôles de sécurité. L'identité/IAM, par exemple, prend généralement une importance beaucoup plus grande avec une approche Zero Trust. Les tâches/responsabilités devront peut-être être rééquilibrées entre la sécurité et l'informatique.
Bien qu'une évaluation des écarts soit courante dans ces situations, une meilleure approche pourrait consister à effectuer une évaluation des écarts inversée, ce qui signifie que l'équipe du RSSI identifiera toutes les fonctionnalités Zero Trust existantes. .
3—Arrêtez le « lift and shift » des applications et des serveurs hérités vers le cloud
Depuis des décennies, les entreprises se tournent davantage vers le cloud chaque année, une tendance qui s'est fortement accélérée avec l'apparition de COVID vers mars 2020. Pour de nombreuses entreprises, un passage sérieux à Zero Trust pourrait accélérer encore plus ce changement.
Fait : les environnements cloud sont presque toujours très différents de l'environnement sur site d'une entreprise, ce qui signifie le mouvement de gros des applications du centre de données traditionnel à un environnement cloud – sans examen pour voir si elle peut ou doit être repensée pour être plus « cloud native » – peut retarder ou entraver la mise en œuvre de Zero Trust. Prendre des images de serveur de centre de données et les déplacer simplement vers le cloud, parfois appelé « lift-and-shift », manque une occasion de tirer parti des contrôles de sécurité inhérents intégrés aux principales plates-formes cloud. Cela est particulièrement problématique pour les applications héritées et les applications locales, car elles n'ont jamais été conçues pour exister dans un environnement différent.
Si possible, prenez le temps d'examiner les systèmes et de déterminer s'ils peuvent être reconfigurés pour tirer parti de la sécurité native du cloud. architecture et contrôles de sécurité. C'est pourquoi Zero Trust peut nécessiter une refonte du mécanisme d'authentification pour les applications existantes. En déplaçant simplement les serveurs traditionnels vers le cloud à la recherche de réductions de coûts, vous risquez de perdre une opportunité de reconcevoir, de réévaluer et peut-être de réorganiser pour un environnement Zero Trust.
4—Évaluez l'interconnectivité des outils, au lieu des fonctionnalités individuelles.
C'est un domaine clé et c'est un excellent exemple de la façon dont la conception de contrôle de sécurité existante doit être explorée dans un environnement Zero Trust. Les solutions ponctuelles individuelles qui fonctionnent indépendamment les unes des autres ne suffisent généralement plus. Les contrôles et processus d'authentification, par exemple, doivent tirer parti des informations sur l'appareil, des informations anti-malware, etc. L'authentification peut être autorisée uniquement en conjonction avec ces données, et en conséquence peut être révoquée ou limitée en fonction des données de ces contrôles de sécurité après que l'authentification a été initialement accordée.
Lorsque le nouvel objectif est de permettre une circulation sécurisée et sans effort – nous devrions souligner sans effort, comme dans le cas d'un manque de friction – toutes les données devraient circuler à travers tous les appareils, les actifs de données et entre tous les utilisateurs, partenaires, consultants et clients. En bref, la stratégie doit protéger, suivre, analyser, stocker et surveiller chaque flux de données depuis et vers n'importe qui ou n'importe quoi avec des privilèges d'accès.
La capacité de tous les outils de sécurité à communiquer entre eux devient essentielle, contrairement à aujourd'hui. quand il est souvent considéré comme un bon à avoir. La gestion des identités et des accès (IdAM) peut avoir besoin de communiquer avec la SASE, etc. L'interconnectivité des outils doit désormais devenir un critère d'achat de premier niveau.
Si vous ne voulez pas que les outils de sécurité manquent de reconnaissance et de sensibilisation aux autres outils, la communication entre eux doit être une priorité. Si vous ne voulez pas d'une vague de faux négatifs et de faux positifs en raison de ce manque de communication, cela doit être un facteur.
5 : n'essayez pas d'acheter votre chemin vers Zero Trust.
Il existe de nombreux fournisseurs qui sont plus que disposés à vendre toutes sortes de produits avec la promesse implicite ou (parfois) explicite que ces achats fourniront automatiquement un environnement Zero Trust. Malheureusement, comme nous le savons tous, ce n'est tout simplement pas si facile.
L'achat d'outils en tant qu'action initiale sans examen des contrôles existants, de l'infrastructure, des besoins et d'un plan cohérent est presque garanti à l'échec, et entraîne généralement des étagères et du temps perdu. Concentrez-vous et comprenez parfaitement comment IdAM est actuellement utilisé, comprenez comment IdAM est utilisé dans un environnement Zero Trust et utilisez-le comme point de départ.
Commencez par comprendre ce que vous déjà utilisez pour tirer parti de ces ressources. . Enfin, déterminez ce que vous n'avez pas et ce qui est vraiment nécessaire. Évaluez divers fournisseurs de cloud et déterminez ce qu'ils ont. Effectuez une évaluation inversée des écarts et déterminez ce qui manque encore. Alors, et seulement alors, vous êtes prêt à parler avec ces fournisseurs.
Adopter une véritable approche Zero Trust va offrir un paysage d'entreprise beaucoup plus sécurisé et efficace. Mais cela n'arrivera pas tant que les préparatifs appropriés ne seront pas faits. Les avantages qui nous attendent en valent largement la peine.
Pour en savoir plus sur les capacités de sécurité de NTT Ltd., veuillez nous rendre visite ici.
Source link