Neil Thacker, CISO de Netskope, 7 conseils pratiques pour aider les RSSI à établir une relation de confiance zéro

Alors que nous terminons la saison 2 de Le segment : un podcast sur le leadership Zero Trust, c'est passionnant de revenir sur les conversations que j'ai eues avec certains des plus grands experts du secteur. Chacun a fourni une perspective unique sur la manière dont les entreprises peuvent s'adapter au paysage des menaces en constante évolution d'aujourd'hui.

Pour ce dernier épisode, j'ai eu le privilège de m'entretenir avec Neil Thacker, responsable de la sécurité informatique (CISO) pour la zone EMEA chez Netskope. Neil possède une vaste expérience sur la manière de créer un cadre Zero Trust résilient. Au cours de notre discussion, il a partagé sept conseils qui peuvent aider les responsables de la sécurité et les RSSI à s'orienter vers le Zero Trust.

1. Regardez au-delà du périmètre traditionnel

Neil a débuté dans le secteur de la cybersécurité dans les années 1990 en travaillant pour un centre de services qui aidait les gens à se connecter à Internet en toute sécurité. Il a rapidement occupé des postes techniques et de consultant avant de passer à la direction exécutive.

Neil s'est souvenu des premiers jours de sa carrière, lorsque la sécurisation du périmètre était au cœur des préoccupations de chaque équipe de sécurité. À l'époque, l'objectif était de protéger le réseau et les actifs de l'organisation contre les menaces externes.

Mais les temps ont changé. Aujourd'hui, s'appuyer sur un tel périmètre donne un faux sentiment de sécurité.

« Le périmètre s'est dissous », a déclaré Neil. « Nous avons vu cela se produire avant même de l'appeler cloud. Les entreprises transféraient les données et les opérations vers des serveurs externes, et la sécurisation de ces connexions est devenue plus importante que jamais. »

Aujourd'hui, dans un monde où les employés travaillent à distance et où les données sont dispersées dans des environnements hybrides et multicloud, l'idée d'un périmètre de réseau traditionnel est obsolète. Ce nouveau mode de mise en réseau a accru la complexité, ce qui s'est traduit par une augmentation exponentielle des violations et des attaques de rançongiciels.

Neil a déclaré que les RSSI devraient s'adapter à cette nouvelle réalité en mettant l'accent sur la protection des frontières fixes plutôt que sur la sécurisation des points d'accès, où qu'ils se trouvent. Ne vous contentez pas de verrouiller les portes du réseau : verrouillez tous les appareils, toutes les applications et tous les flux de trafic qui ne sont pas nécessaires à l'entreprise. Plus vite votre équipe abordera le monde sans frontières, plus vite vous serez prête à faire face aux cybermenaces modernes.

2. Faites de la gestion des risques votre étoile polaire

Plutôt que de disperser vos ressources, Neil a insisté sur le fait de se concentrer sur les risques. Dans le contexte actuel des menaces, tout protéger de manière égale n'est pas seulement irréalisable, c'est impossible. L'essentiel est de comprendre ce qui compte le plus pour votre organisation.

« Dans un monde idéal, vous pouvez protéger toutes les données avec lesquelles votre organisation effectue des transactions au quotidien. Mais ce n'est pas réaliste », a-t-il dit. « Tout est une question de priorisation des risques. D'où viennent vos plus grands risques ? »

Selon Neil, les stratégies de sécurité les plus efficaces se concentrent sur les actifs critiques et les zones à haut risque. Il a encouragé les RSSI à se poser des questions difficiles : quelles sont les données les plus critiques pour l'entreprise ? Que se passe-t-il si vous perdez l'accès ? Quel en est l'impact financier ou sur la réputation ? Ces réponses devraient orienter les efforts de sécurité.

3. Ne laissez pas votre stratégie Zero Trust se concentrer uniquement sur l'identité

Bien que la vérification de l'identité des utilisateurs soit cruciale, Confiance zéro L'approche devrait aller beaucoup plus loin, a expliqué Neil. Il a mis en garde contre une trop grande importance accordée à la seule identité, ce que de nombreux RSSI ont tendance à faire selon lui.

Neil a plutôt suggéré une vision plus large qui intègre des signaux tels que la posture, la localisation et les modèles d'activité de l'appareil.

« L'identité n'est qu'une partie de l'équation », a-t-il expliqué. « Vous devez également prendre en compte l'appareil, l'emplacement et le contexte de la demande d'accès. »

Pour améliorer votre modèle Zero Trust, il a recommandé d'adopter une approche à plusieurs niveaux. Assurez-vous que vos décisions en matière de sécurité sont basées sur de multiples signaux, plutôt que sur une simple identité. L'état de santé d'un appareil, sa localisation et la sensibilité des données consultées sont tout aussi importants pour déterminer s'il convient d'accorder l'accès.

4. Laissez la sécurité suivre les données

Neil a insisté sur le fait que les données devraient toujours rester la priorité de tout modèle Zero Trust. Les utilisateurs, les appareils et les applications se connectant de n'importe où, la sécurité doit suivre les données. Cela garantit qu'il est protégé où qu'il aille.

« Vous ne pouvez plus vous contenter de sécuriser le réseau », explique Neil. « Vous devez protéger les données quel que soit l'endroit où elles circulent. » Cela implique d'appliquer des contrôles de sécurité qui accompagnent les données dans tous les environnements.

Il ne s'agit pas seulement de surveiller qui accède aux données, mais aussi de savoir comment ces données sont utilisées et où elles circulent. La sécurité centrée sur les données garantit que, quel que soit l'endroit où elles se trouvent, que ce soit dans le cloud, sur un terminal ou sur le réseau d'un partenaire, elles sont couvertes par des politiques de sécurité cohérentes.

5. Consolidez votre système de sécurité pour plus d'efficacité

Neil pense que l'un des principaux défis pour de nombreux RSSI ne consiste pas seulement à se défendre contre les menaces, mais aussi à gérer la complexité. Trop d'outils de sécurité peuvent créer plus de problèmes que de solutions. Neil a conseillé aux responsables de la sécurité de rationaliser leurs dispositifs de sécurité en consolidant les outils dans la mesure du possible.

« En ce qui concerne le nombre d'outils de sécurité, il y a un équilibre », a-t-il noté. « Si vous pouvez réduire votre stack à moins de 10, vous êtes dans une situation beaucoup plus facile à gérer. »

Jongler avec des dizaines de systèmes peut entraîner des lacunes visibilité et des fonctionnalités de sécurité ou qui se chevauchent. Neil a mis l'accent sur l'intégration d'outils moins nombreux et plus efficaces qui permettent de faire plus sur une seule plateforme. En simplifiant votre infrastructure, vous réduirez la complexité, réduirez les coûts et aurez une vision plus claire de la posture de sécurité de votre entreprise.

6. Ajoutez du temps à vos calculs de sécurité

Neil pense qu'un aspect souvent négligé de Zero Trust est le temps. Compréhension quand l'accès aux données peut être tout aussi important que la compréhension qui y accède.

« Lorsque vous développez Zero Trust, vous devez tenir compte du temps, car les données ont leur propre cycle de vie », a-t-il expliqué.

Neil a cité l'exemple des activités de fusions et acquisitions (M&A) qui rendent certaines données hautement confidentielles à un moment donné. Après un certain temps, ces données ne sont plus aussi confidentielles.

« Comprendre comment le temps affecte les données et leurs besoins en matière de sécurité doit faire partie de votre stratégie Zero Trust », a-t-il déclaré.

En d'autres termes, considérez le temps comme un autre signal de sécurité. Par exemple, définissez des contrôles qui bloquent l'accès aux données sensibles en dehors des heures de bureau, ou signalez les demandes d'accès qui ne correspondent pas aux habitudes d'utilisation habituelles. Les anomalies temporelles peuvent être un indicateur fort d'une activité malveillante ou d'un compte compromis.

7. Aligner Zero Trust sur les objectifs de l'entreprise

Une stratégie Zero Trust doit être au service de l'entreprise, et pas seulement du service informatique. Neil a souligné l'importance de communiquer avec les chefs d'entreprise dans leur langue. Cela signifie que vous devez vous concentrer sur la manière dont la sécurité soutient la croissance et la continuité des activités, et pas seulement sur les détails techniques de votre plan de sécurité.

« J'ai trouvé utile d'avoir des discussions qui se concentrent moins sur l'aspect technique », a déclaré Neil. « Pour le conseil d'administration, il ne s'agit pas du nombre de systèmes que nous utilisons ou du nombre d'incidents que nous avons rencontrés. En fin de compte, il s'agissait de savoir comment nous soutenions l'entreprise et l'aidions à aller de l'avant. »

Lorsque vous présentez des stratégies Zero Trust au conseil d'administration ou aux dirigeants, définissez-les en termes de valeur commerciale. Comment Zero Trust protégera-t-il les principales sources de revenus ? Comment sécurisera-t-il la propriété intellectuelle et les données des clients ? En alignant vos efforts en matière de sécurité sur les priorités de l'entreprise, vous obtiendrez l'adhésion de la direction dont vous avez besoin pour réussir à instaurer Zero Trust au sein de l'entreprise.

Écoutez, abonnez-vous et révisez Le segment : un podcast sur le leadership Zero Trust

Comme le montre l'expérience de Neil en matière de création de Zero Trust chez Netskope, Zero Trust n'est pas une approche « installez-le et oubliez-le ». Il s'agit d'un état d'esprit et d'un processus continu d'apprentissage, d'amélioration et de mise à l'échelle.

Vous voulez en savoir plus ? Écoutez l'épisode complet sur notre site, Podcasts Apple, Spotify, ou partout où vous pouvez accéder à vos podcasts. Vous pouvez également lire la transcription complète de l'épisode.