Le Zero Trust, un modèle à explorer

« Ce concept du Zero Trust est ancien, il date des années 90, souvenons-nous de ce que disait le président américain Reagan au dirigeant russe Gorbatchev lors d’une discussion sur le désarmement nucléaire : Faites confiance, mais vérifiez, c’est d’ailleurs un proverbe russe. Le principe du Zero Trust, c’est ça, vérifier tous les composants et se donner les moyens pour garantir leur approbation en termes de sécurité », lance en analogie Nicolas Arpagian, directeur de la stratégie cybersécurité chez Trend Micro. Ne faire confiance à personne, c'est l'interprétation première d'une approche Zero Trust, terme inventé par Forrester en 2010. Bref, se méfier de l'individu qui se cache derrière son terminal. Et pour le Zero Trust Network Access (ZTNA), on fait surtout référence à l’accès aux applications, le ZTNA fournit un accès à distance sécurisé aux applications et aux services sur la base de politiques de contrôle d'accès définies. « Le ZTNA est un sous-ensemble du Zero Trust qui concerne l’accès conditionnel aux applications (emplacement, niveau de mise à jour du poste, heure de connexion, etc.) », précise ainsi Giuliano Ippoliti, directeur de la cybersécurité chez le MSSP et fournisseur de services Cloud Temple (dont la plate-forme Secure Temple a été certifiée SecNumCloud par l’Anssi en mars dernier). Contrairement aux VPN qui accordent un accès complet à un réseau local, les solutions ZTNA le refusent par défaut, ne fournissant que l'accès aux services auxquels l'utilisateur a été explicitement accordé. L’intérêt du ZTNA est d’ailleurs grandissant, les organisations cherchant aussi à remplacer le VPN comme principal mécanisme d'accès à distance à leurs réseaux et à leurs données. Zero Trust ou ZTNA, les entreprises cherchent, de toute façon, à renforcer la sécurité dans un environnement où les données d'entreprise sont dispersées dans des environnements sur site et multicloud, et sont accessibles de multiples façons.

Et par rapport au modèle SASE ?

Le Zero Trust vient en frontal avec le modèle Sase (Secure Access Service Edge), inventé lui plus récemment par le cabinet Gartner. À ce titre, les éditeurs sont partagés, certains indiquent que le Sase est une composante du Zero Trust alors que d’autres pensent que c’est l’inverse. « Personnellement, je pense que le Zero Trust donne une vision plus holistique que le SASE, lequel avance une convergence entre le réseau as a service et la sécurité as a service comme un Proxy Cloud par exemple. Dans le Sase, la focalisation sur le réseau est plus forte. Gartner recommande aussi d’avoir un seul fournisseur autour du SASE, c’est sûr que c’est toujours plus simple avec une console unique, mais c’est rarement le cas sur le terrain… », explique Giuliano Ippoliti.

Mais au-delà de la sémantique et du nom du concept, c’est une réalité opérationnelle d’une politique de sécurité que prennent désormais en compte les décideurs IT et les RSSI. « Sur le terrain, ça prend… La prise de conscience pour s’assurer de l’intégralité du SI de l’entreprise est réelle, la définition du périmètre a évolué surtout avec une ouverture massive vers l’extérieur », précise Nicolas Arpagian qui ajoute néanmoins trois points qui participent à cette prise de conscience générale. Le premier consiste à nommer un donneur d’ordre qui énumère les gages de sécurité, le deuxième est d’engager les métiers avec les équipes Cyber. Enfin, la réglementation est souvent considérée, dans le domaine de la cyber, comme un vecteur d’encouragement. « La hausse des obligations juridiques fait bouger les choses », précise à ce titre le porte-parole de Trend Micro. Pour Julien Cassignol, directeur avant-vente chez Wallix, il y a encore un travail important d’évangélisation même si les gens y sont de plus en plus sensibles, la sécurité est toujours vécue comme un frein à la différence de la sûreté et de la production. De plus, les entreprises ne sont pas toutes au même stade de maturité, elles ont un historique à prendre en compte, c’est aux fournisseurs et à leurs partenaires de les amener à ce niveau supérieur de maturité. C’est surtout vrai pour les TPE/PME et ETI qui n’ont pas forcément des compétences en interne. Pour Benoit Grunemwald, expert cybersécurité chez ESET France, c’est parfois compliqué de faire comprendre à ces petites structures que les données ont de la valeur et, pour le prestataire ou partenaire, c’est difficile de vendre dans ces mêmes PME une analyse de risques, d’où l’importance du modèle MSSP qui facilite ainsi l’approche avec un certain niveau de résultat.

Selon une étude réalisée par Fortinet en début d’année 2022 (Global State of Zero Trust), 50 % des entreprises ont indiqué qu'elles n'étaient pas en mesure de mettre en œuvre les principales fonctionnalités du concept Zero Trust pour plusieurs raisons. Déjà, les entreprises (pour 60 % d’entre elles) ont du mal à identifier les utilisateurs et les terminaux (postes de travail, smartphones, etc.) de manière continue, et 54 % avaient du mal à surveiller les utilisateurs après l'authentification. Plus généralement, les entreprises font également face à un manque de ressources qualifiées et une complexité de déploiements des solutions dédiées. Comme le mentionnent nos interlocuteurs, avant tout, il est primordial d’établir une stratégie avec une vision globale et un agenda pour le déploiement. Mais cela ne se décrète pas du jour au lendemain. « Dans les entreprises, il y a des contraintes quotidiennes (priorités, budgets, disponibilités des équipes, formations, ressources, etc.). Il faut se poser la question par où commencer ? », rappelle à juste titre Nicolas Arpagian, directeur de la stratégie cybersécurité chez Trend Micro, et d’ajouter : « Déjà par un travail d’évaluation pour lister l’état des besoins et le faire de manière progressive en fonction de la criticité des enjeux, puis de l’étendre. » Un avis que partage Julien Cassignol, directeur avant-vente chez Wallix : « L’entreprise qui commence par un audit va tout de suite percevoir un gain, cet audit lui servant aussi de preuve. »

De l’état des lieux à une politique d’accès

Un état des lieux permet aussi d’avoir une description des technologies utilisées dans les entreprises, c’est d’autant plus important que ces dernières sont parfois dissimulées par les métiers et parfois vulnérables de par leur obsolescence tout simplement. Ensuite, l’entreprise doit mettre en place une politique d’accès à distance (gestion des identités, des privilèges, etc.). « Je vais commencer par mettre un mot de passe comme point d’entrée au système, il faut aussi autoriser la personne à rentrer par des solutions d’authentification multifacteurs puis opérer de l’élévation de privilège pour que l’utilisateur en question puisse faire ce que je lui autorise dans un cadre précis. À chaque étape, nous apportons de la valeur », détaille Julien Cassignol.

Ce schéma détaillé des éditeurs, les prestataires de services en cyber le partage aussi à l’instar de Cloud Temple. « La bonne façon de débuter est de s’interroger sur les actifs de l’entreprise qui ont de la valeur, et cela nécessite d’avoir une vue claire des éléments du SI. La modélisation du SI est importante pour identifier les utilisateurs, les équipements et inventorier les ressources. Ensuite, dans cette politique, il faut établir des règles, tel utilisateur a le droit d’accéder à des applications », indique Giuliano Ippoliti, directeur de la cybersécurité chez le MSSP et fournisseur de services Cloud Temple.

Un processus en continu

La mise en place du Zero Trust ne s’arrête jamais, c’est un processus en continu sur les équipements (nouvelles infrastructures), les individus (départs, arrivées, mouvements internes) et sur l’évaluation de la connaissance permettant de mieux identifier les menaces. Dans ces conditions, le choix des outils est essentiel. Pour cela, la pérennité de l’éditeur et/ou de l’infogéreur compte énormément. De manière générale, de nombreuses entreprises ont déjà mis en place des pièces du puzzle Zero Trust et/ou ZTNA, qu'il s'agisse de la gestion des identités, du contrôle d'accès, de l'authentification à deux facteurs, de la segmentation du réseau ou de la gestion des politiques. Mais en réalité, peu d’entre elles ont une maîtrise totale de tous les aspects de Zero Trust (complète, intégrée, évolutive et axée sur des politiques de gouvernance).

Le concept Zero Trust implique de nombreux composants d’où l’importance de faire de la segmentation. « Comme je le répète souvent aux dirigeants, le Zero Trust est un tableau impressionniste avec plusieurs couches qui à la fin ressemble à quelque chose », souligne Nicolas Arpagian, directeur de la stratégie cybersécurité chez Trend Micro. À ce titre, l’éditeur plaide pour des consoles unifiées, quelle que soit la diversité des outils. En effet, les entreprises font face à un empilement des solutions avec à chaque fois des alertes et des matrices différentes. Trend Micro est aussi très ouvert vers le patching. « Grâce à notre brique Virtual Patching (ndlr : ou correction virtuelle par patch), nous pouvons assurer les mises à jour dans les meilleures conditions. C’est compliqué pour les entreprises, comme les hôpitaux par exemple, confrontées aux éditeurs qui leur annoncent parfois la fin du support d’une application, elles ne peuvent pas arrêter comme cela en fonction des déclarations des éditeurs », constate Nicolas Arpagian. Plus généralement, Trend Micro rend concrète cette démarche Zero Trust par sa plate-forme XDR Vision One et les services Zero Trust Risk Insights, l’idée sous-jacente est d’obtenir une photographie complète de l’entreprise pour voir ce qu’il s’y passe, et surtout de fournir des informations lisibles et exploitables par les équipes SOC et les RSSI. En fournissant un scoring des risques dans l’organisation des entreprises, Vision One donne donc aux responsables une appréciation de la situation pour faciliter les arbitrages et les aider à prioriser les actions de remédiation. Chez ESET qui cible les TPE/PME et ETI, la technologie EDR (via Inspect) fait partie de la panoplie d’outils que l’éditeur propose dans le concept Zero Trust, l’objectif étant d’analyser les menaces, d’avoir une visibilité et d’apporter des réponses au niveau des terminaux. « Nous nous apprêtons d’ailleurs à lancer une offre XDR tout-en-un pour les MSP et MSSP avec un cycle de formations associé », révèle Benoit Grunemwald, d'Eset France. Cet éditeur propose aussi en parallèle des outils MFA et bien sûr la console d’administration Protect.

Une vue globale des environnements pour dévoiler les failles

De même, le programme Zero Day Initiative de Trend Micro permet de révéler un très grand nombre de vulnérabilités logicielles. À noter que ce programme, depuis ses débuts en 2005, a signalé plus de 7 500 failles aux éditeurs concernés. Ainsi, disposer de cette vue globale des environnements constitue une étape primordiale, surtout à l’heure du télétravail, où les employés distants se connectent directement à leurs services dans le cloud sans passer par l'informatique de l'entreprise, de quoi réduire d’autant la visibilité. Chez Wallix, toute sa stratégie est en totale adéquation avec le modèle Zero Trust. « Nous protégeons l’intérieur du périmètre de l’entreprise et les accès à l’extérieur de ce même périmètre. Et quand on est à l’intérieur, on limite les accès suivant les droits autorisés », indique Julien Cassignol, directeur avant-vente chez Wallix. En termes d’offres, cela se traduit chez Wallix par la suite unifiée de gestion des privilèges et des accès Wallix PAM4ALL comprenant la traçabilité des sessions, la protection des mots de passe, la sécurisation des accès à distance, l’authentification forte, sans oublier la gestion du moindre privilège. De son côté, Cisco revendique une vision assez complète de la chaîne, du Zero Trust/ZTNA au SASE. Concernant les offres, figurent entre autres Cisco Secure qui agrège un ensemble de solutions dont les pare-feux, la passerelle web sécurisée Umbrella, l’authentification multifacteur avec Duo, sans oublier la gestion des identités avec ISE. « L’ensemble de notre backend de solutions étant unifié et automatisé permet aussi aux équipes de Talos (centre de Threat Intelligence) de mettre en place les patchs de sécurité », indique Bruno Caille, CTO de Cisco France qui met aussi en perspective la plate-forme cloud ouverte et centrale XDR SecureX. Quant à la partie Sase plus orientée réseau, la réponse de Cisco est en partie apportée par l’offre Meraki.

Le Zero Trust vu par Parsec (((Parsec.png)))

Développée par l’éditeur Scille, en collaboration avec la DGA (ministère des armées) et le Laboratoire bordelais de Recherche en Informatique (LaBRI), la solution de partage des données hautement sécurisée Parsec pousse à l’extrême le principe du Zero Trust. En effet, comme le mentionne Thierry Leblond, CEO de Parsec, le seul tiers de confiance est l’utilisateur final qui possède la clé. Parsec se démarque donc pas son approche open source cryptographique de distribution décentralisée de la confiance. Aujourd’hui, dans sa version de base, la solution Parsec est opérationnelle. À cela, l’éditeur opère aussi des développements spécifiques à la demande d’entreprises qui agissent dans les secteurs sensibles, des développements qui peuvent, par la suite, tomber dans cette version de base. Par exemple, l’éditeur devrait adosser la solution à un antivirus tiers basé sur le comportement ou ajouter un mécanisme de séquestre. En outre, l’éditeur va migrer pour la partie transfert de clé et chiffrement du langage Python vers Rust, moins gourmand en ressources. À noter enfin que Parsec a obtenu la certification CSPN délivrée par l’ANSSI. L’éditeur est aussi membre du pôle Systematic et de l’écosystème de l’association La Place Stratégique.

En matière de cyber, l’expertise est le nerf de la guerre, à en croire les spécialistes. En 2022, il est toujours aussi difficile de trouver des compétences sur ce marché. Selon l’Apec, 7 000 offres d’emploi-cadre ont été publiées sur le site apec.fr dans la cybersécurité en 2021, ce chiffre a doublé depuis 2017. Dans la grande diversité des profils recherchés, 46 % sont des spécialistes de la conception d’architectures sécurisées, du développement de solutions sécurisées et de l’administration. L’Apec admet bien sûr la pénurie de profils disponibles sur ce marché qui oblige les entreprises à se tourner vers la chasse des cadres déjà en poste et à multiplier les partenariats avec les écoles d’ingénieurs et d’autres organismes de formation. Dans ces écoles, les formations dispensées ne se focalisent pas forcément sur la sémantique liée à la cyber comme le concept Zero Trust ou le SASE, les cours se concentrant d’abord sur la sécurité des composants et c’est une bonne chose pour Nicolas Arpagian, directeur de la stratégie cybersécurité chez Trend Micro. « Personnellement, je pense que cette approche par brique est la bonne, je préfère un candidat qui maîtrise la sécurité des composants qu’un cours de sémantique. Même s’il faut le reconnaître, la notion de Zero Trust permet aussi de vulgariser sans utiliser des termes techniques pour les non-techniciens justement, c’est aussi ce que je m’efforce de faire lorsque je dispense mes cours à l’école nationale de la magistrature et à l’école nationale supérieure de Police. »

Plus de pragmatisme aussi !

De son côté, Julien Cassignol, directeur avant-vente chez Wallix, admet que les écoles s’attardent encore trop sur la théorie et ne sont pas encore assez pragmatiques. « Si je prends mon parcours personnel en école d’ingénieur, la problématique de gestion des identités n’était pas abordée », donne-t-il en exemple. « Dans des écoles comme SUPINFO, les étudiants ont accès à des labs où ils mettent les mains dans le cambouis. C’est important de toucher du doigt, pour comprendre, il faut aussi pratiquer. Chez Cloud Temple, nous travaillons avec des alternants et nous leurs confions aussi des tâches à haut niveau de technicité », ajoute de son côté Giuliano Ippoliti, directeur de la cybersécurité chez le MSSP et fournisseur de services Cloud Temple. Face à la pénurie qui s’installe, il existe aussi des formations reconnues sur le marché comme HS2 (Hervé Schauer Sécurité) par exemple dont le centre est installé au Campus Cyber. Autre exemple, l’AFPA qui dispense notamment des formations de reconversion dans la Cyber. De nouvelles écoles qui répondent aux besoins actuels émergent aussi comme le mentionne Benoit Grunemwald, expert cybersécurité chez ESET France : « Je pense à ces deux écoles récemment créées, dont Guardia School à Paris et à Lyon et à l’école 2600 située à Saint-Quentin-en-Yvelines. » Pour accompagner au mieux les écoles et les centres, certains éditeurs mettent à leur disposition des ressources et outils, c’est notamment le cas de Cisco avec Cisco Networking Academy. « Nous imaginons des programmes de formation et mettons à la disposition de nos partenaires une plate-forme d’e-learning, nous travaillons avec les écoles d’ingénieurs, les universités, les centres de formation et même les prisons », conclut Bruno Caille, CTO de Cisco France.

La planification rigoureuse d’une politique Zero Trust permet indirectement de négocier les primes liées à une cyber assurance. Car l’assureur, de son côté, perçoit l’effort consenti par l’entreprise pour protéger son SI des ransomwares et d’en restaurer les données sans avoir à payer une rançon auprès des pirates. « Si vous ne faites rien, aucun audit préalable, quel assureur prendra des risques », s’interroge à juste titre Bruno Caille, CTO de Cisco France et d’ajouter : « Quelque part, cela oblige parfois certaines entreprises à mettre en place leur premier audit de sécurité et certains outils. » Dans ce contexte de menaces en constante évolution et en croissance, les assureurs sont de plus en plus exigeants et imposent des garanties comme la mise en place d’une solution MFA par exemple. Pour certaines cyberassurances, il faut aller plus loin dans la couverture du risque, comme le dit Benoit Grunemwald, d'Eset France, il ne suffit pas d’apporter une réponse cosmétique : « Est-ce que le remboursement d’un device couvre les données qui sont à l’intérieur ? » C’est dans ce contexte que l’éditeur ESET a signé aux Pays-Bas avec le cabinet Northwave qui intervient directement sur le sinistre à la demande des assureurs. D’une manière globale, les assureurs durcissent leurs garanties et les conditions de souscription face à des risques parfois systémiques. Axa et Generali avaient même cessé de proposer des contrats couvrant les dommages liés à des rançongiciels. Ce durcissement pénalise en premier lieu les PME qui n’auront pas les moyens de souscrire à une cyberassurance dans l’avenir. Selon l’Amrae (Management des Risques et des Assurances de l’Entreprise), si la plupart des grandes entreprises sont aujourd’hui couvertes en France, à peine 1 % des PME le serait alors que ces mêmes PME sont de plus en plus attaquées selon la plate-forme Cybermalveillance. Face à ce constat, les pouvoirs publics ont pris les choses en mains, un projet de loi devrait même voir le jour d’ici peu ; ce projet faisant suite à un rapport remis début septembre. Il prévoit à ce titre la possibilité d'être indemnisé en cas d'attaque par rançongiciel sous condition que l’entreprise dépose une plainte.

C’est la raison pour laquelle elles sont de plus en plus nombreuses à se tourner vers une approche SASE. Mais de quoi parle-t-on ? Par où commencer ? Quelles technologies utiliser ? L’approche SASE est une stratégie long terme qui exige de se poser les bonnes questions, sans quoi l’entreprise ne saurait être protégée.

Tour d’horizon des bonnes pratiques.

Être dynamique, à l’image de l’organisation des entreprises

L’approche SASE permet de répondre à la pluralité des défis que doivent relever les équipes IT.

98% des entreprises utilisent des services du cloud public (IaaS comme SaaS)

62% des employés travaillent à distance ou en mode hybride

71% des organisations comptent au moins 25 branches ou bureaux à distance

Cette diversité demande aujourd’hui d’adopter de nouvelles méthodes de sécurité, qui soient dynamiques sans être pénalisantes pour la conduite des activités. L’entreprise est partout : la sécurité doit y être aussi.

Miser sur la visibilité unifiée

L’approche SASE, composée chez Trend Micro de solutions comme Secure Access Service Edge (SASE) et Zero Trust Network Access (ZTNA), se fonde sur l’évaluation du risque en temps réel Zero Trust Risk Insight (ZTRI).

Un manque de visibilité sur les actifs de l’entreprise rendrait donc l’évaluation partielle, entravant la prise de décision pour la partie opérationnelle. L’enjeu est donc d’avoir une visibilité complète, aussi bien sur l’environnement Cloud que sur la partie datacenters, en propre. Bien souvent, on a tendance à penser que la démarche SASE ne s’applique qu’aux services Cloud. La réalité du terrain nous montre qu’on est aujourd’hui dans un mode hybride, que les migrations sont en cours et que le Cloud se partage entre le public et le privé. Ainsi, il est nécessaire d’avoir une vision exhaustive de ces différents éléments. En associant la détection des menaces via l’XDR à l’approche SASE, les organisations peuvent encore raccourcir leurs délais de réponse face à une cyber-attaque en bénéficiant d’une visibilité sur différents niveaux : le réseau, les applicatifs, jusqu’à l’utilisateur.

Partir de la notion utilisateur

L’approche traditionnelle des éditeurs est fondée sur le principe périmétrique des accès. Pour Trend Micro, cette notion de périmétrie est obsolète. A contrario, il est plus pertinent de se positionner sur les terminaux - postes de travail, serveurs, utilisateurs- car c’est là que se joue l’enjeu de sécurité. Ces endpoints sont la frontière entre les services et l’accès au système d’information : se concentrer sur ceux-ci permet de gérer le risque de manière beaucoup plus fine et granulaire.

Choisir le bon partenaire

L’approche SASE s’appuie sur tous les services en edge du système d’information et se fonde donc sur la notion de périmétrie. Le Zero Trust vient ensuite compléter cette notion en stipulant que quel que soit l’environnement, on réévalue sans cesse le risque avant de donner accès à la ressource. Choisir une solution qui s’intègre à l’existant est fondamental dans sa stratégie SASE pour maîtriser sa politique d’investissement. Nombreux acteurs du marché s’appuient sur des alliances avec des partenaires pour mettre en place une solution SASE : les utilisateurs sont donc dépendants de la bonne relation entre les éditeurs. Pour pallier ce risque, Trend Micro développe toute sa solution en interne, bénéficiant du contrôle absolu de toute la chaîne. Pour l’utilisateur, c’est la garantie du support et de l'agilité.

Cas n°1 : A quel moment choisir son éditeur de solution ?

“Un de nos clients, un grand groupe du tourisme, avait retenu une offre sans valider la complémentarité de solutions retenues. De ce fait, la vision qu’il avait de son système d’information était partielle, et par conséquent, la stratégie qui avait été développée était fondée sur une vue tronquée de son infrastructure. Pour résoudre ce manque de visibilité dont leur système d’information était victime, la société a opté pour la solution XDR de Trend Micro. A présent, en adoptant l’XDR de Trend Micro, ils disposent de toute la visisibilité nécessaire pour raccourcir leurs délais de réponse et s’assurer de prendre les bonnes décisions” explique Nurfedin Zejnulahi.

Une erreur de ce type coûte énormément à une entreprise, tant en temps qu’en ressources déployées. La leçon à tirer est que la réflexion doit se faire en interne et en amont du choix de l’éditeur qui va venir déployer sa politique SASE.

Ce cas de figure illustre également le fait que la centralisation des identités est un pilier majeur de la stratégie SASE : “L’objet du SASE est d’avoir un principe dynamique de validation des accès à des ressources proposées par l’entreprise. Aussi le contrôle de l’IoT pose-t-il le problème de la cybersécurité. Le Zéro Trust permet d’y répondre, mais il faut pour cela avoir une visibilité exhaustive de ses objets connectés. Un casino de Las Vegas s’est fait pirater au moyen d’un thermomètre d’aquarium !” rappelle Nicolas Arpagian.

Cas de figure n°2 : Comment assurer la sécurité d’un groupe présent à l’international ?

Prenons le cas d’une entreprise en quête d’une solution de sécurité qui lui permettrait de bénéficier de la simplification de ses processus de sécurité et de l’automatisation de ses droits d’accès, deux éléments très chronophages. Problème : cette entreprise étant un grand groupe déployé à l’international, elle est perpétuellement contrainte de prendre en compte les changements amenés par les fusions et acquisitions. La solution choisie doit ainsi être souple et s’adapter aux dynamiques de la société.

“Un de nos clients, un très gros industriel du BTP présent à l’international, a choisi d’adopter notre stratégie endpoint : le contrôle se joue sur la maîtrise et la surveillance de l’élément qui permet de se connecter au service. C’est la raison du succès croissant de nos stratégies XDR, Zero Trust et SASE. Cette approche permet d’assurer la sécurité avec dynamisme, or c’est tout le principe du SASE : répondre à la réalité d’une entreprise. En prenant le problème à la source, soit au endpoint, on s’assure qu’aucun élément ne soit laissé de côté. C’est bien plus efficace et réaliste que d’essayer de calquer une solution sur l’ensemble d’un groupe.” résume Nurfedin Zejnulahi.

Cas client 3 : Dans quel contexte mon entreprise doit-elle adopter une stratégie SASE ?

Les petites ou moyennes entreprises sont-elles dispensées d’adopter une démarche SASE ? La réponse est… non. En raison de leur taille, les PME ont tendance à se sentir exemptées de ce genre de démarche. Toutefois, les grands comptes exigent de plus en plus de leurs fournisseurs qu’ils soient en cours d’avancée vers le SASE et soient capables de documenter leurs démarches. De plus en plus, cette exigence devient un impératif pour répondre aux appels d’offres et rester présent dans les chaînes de production ou de commercialisation.

“Une PME du secteur des services a fait appel à nous pour déployer une approche SASE. En effet, les grands donneurs d’ordres avec qui elles travaillaient devenaient particulièrement exigeants sur leurs processus de sécurité. Ce qui est logique : la faille peut venir d’un fournisseur ou d’un partenaire, demandant de redoubler de vigilance. Aussi cette petite entreprise cherchait à sécuriser ces processus, afin de ne pas être écartée des futurs appels d’offres” résume Nicolas Arpagian.

Où en sont aujourd’hui les entreprises dans leur approche SASE ?

Nurfedin : Combinée à l’adoption du Cloud, la pandémie a accéléré la mobilité, ce qui amène aujourd’hui les entreprises à réfléchir à la sécurisation des accès. Ces deux éléments les conduisent à s’orienter vers une approche SASE.

Nicolas : Ce qui caractérise cette approche SASE, c’est que dès lors qu’une entreprise appartient à un groupe international, elle a le souci de ne pas être le maillon faible du dispositif. On retrouve aujourd’hui ce souci de sécurisation dans une dynamique collective. Si, en termes de sécurité, c’est tout à fait positif, je rappellerais qu’adopter cette démarche SASE demande de respecter un certain formalisme, car se hâter conduit à des erreurs. La cybersécurité demande du temps et du travail sur la durée pour conduire des aménagements dans l’organisation.

Quelles sont les nouvelles contraintes et comment les prendre en compte ?

Nicolas : La première contrainte est de comprendre qui fait quoi dans l’entreprise. Pour cela, il faut évaluer et classer ses actifs numériques, à travers un audit ou un élément d’appréciation de sa situation. C’est un exercice très exigeant à faire sur serveurs, réseaux, messagerie, qui doit respecter les réglementations. Seulement ensuite, on peut procéder à la mise en place d’outils.

Nurfedin : La deuxième contrainte que j'identifie est de bien choisir le partenaire de cybersécurité avec qui construire sa stratégie SASE. Aujourd’hui, le choix d’éditeur est de plus en plus lourd et complexe : il faut un niveau d’interaction entre toutes les briques d'intégration de l’entreprise, ce qui pose beaucoup d’interrogations. Le succès d’une approche SASE repose sur la légitimité et la pérennité du partenaire. Cette stratégie s’inscrit dans le temps, il faut que le partenaire aussi ! C’est une nouvelle approche d’où l’importance de s’assurer des partenariats dans le temps. Trend Micro répond à l’ensemble des briques nécessaires pour le SASE, mais nous sommes également pérennes et avons une vraie vision.

Quels points de vigilance constatez-vous chez vos clients ?

Nicolas : Avant de se lancer, il est impératif d’être conscient de la surface que représente un projet SASE en termes de périmètre et de profondeur. Il convient donc d’identifier tout ce qui est numérisé et qui pourrait fragiliser l’organisation en cas d’atteinte à l’intégrité ou à la disponibilité des systèmes. Il faut donc y associer les métiers car ce sont eux qui connaissent les priorités, et prendre en compte le cadre juridique.

Nurfedin : Le SASE a pour vocation de résoudre cette problématique de communication entre les départements et d’assurer un certain niveau d’automatisation d’un point de vue sécuritaire. Les différentes entités doivent se mettre d’accord sur les processus et le niveau des indicateurs d’alerte. Ce n’est pas forcément évident et le dialogue est essentiel.

Enfin, comment envisagez-vous l’avenir de la sécurité des accès ?

Nurfedin : On se rend compte à présent que pour mettre le pied à l’étrier du SASE, le XDR est l’étape fondamentale, car il amène une partie visibilité sans laquelle on ne peut rien faire. Le XDR apporte de la visibilité sur le réseau, le système, les applications, les mails, les utilisateurs, ce qui permet de savoir comment envisager le Zéro Trust. Ceux qui sont déjà dans le XDR ont un temps d’avance : ils ont déjà connaissance des problématiques, des niveaux de sécurité qu’ils peuvent exiger, tout ça avec un système centralisé qui permet de bénéficier d’un point de vue unique. C’est donc une approche prometteuse qui, à nos yeux, constitue l’avenir de la sécurité.