Pourquoi le Zero Trust et la segmentation sont des échecs pour certaines entreprises

Les applications sont au cœur de toute entreprise moderne. Ils favorisent la création d'expériences clients innovantes et favorisent la productivité des employés. Mais à mesure que le trafic inter-applications a augmenté et que les environnements sont devenus plus distribués, la visibilité, le contrôle et la sécurité ont vacillé. C'est la nouvelle réalité pour laquelle les approches Zero Trust basées sur la segmentation ont été conçues. Pourtant, toutes les segmentations ne sont pas égales.

Un nouveau rapport de l'analyste Enterprise Strategy Group (ESG) propose des enseignements importants aux responsables de la sécurité informatique des entreprises. En résumé : ces outils devraient se concentrer sur le niveau de charge de travail et, pour éviter les limites de la segmentation traditionnelle basée sur le réseau, ils devraient également découpler la segmentation de l'infrastructure réseau.

Pourquoi Zero Trust ?

Cela fait dix ans que La célèbre tribune de Marc Andreesen prétendait que « le logiciel est en train de dévorer le monde ». Aujourd'hui, de nombreuses applications basées sur le cloud alimentent les organisations classiques, favorisant la collaboration entre les employés, la fidélité des clients et les profits. Selon ESG, 88 % des organisations prennent désormais en charge au moins 100 applications professionnelles. Mais si les plateformes cloud ont aidé ces entreprises à développer leurs propres logiciels, elles ont également introduit de la complexité et des cyberrisques potentiels.

Les outils de sécurité traditionnels se concentrent sur le trafic nord-sud ou sur la protection du périmètre. Dans le même temps, le volume du trafic d'application à application, ou d'est en ouest, a augmenté en flèche, ce qui a entraîné de dangereuses lacunes en matière de protection. C'est là qu'intervient Zero Trust.

Zero Trust repose fondamentalement sur le principe « ne jamais faire confiance, toujours vérifier ». Il existe deux hypothèses de base et sous-jacentes : une violation du réseau s'est déjà produite et il ne faut pas faire confiance aveuglément aux utilisateurs, aux ressources et aux appareils. Au lieu de cela, ils doivent être authentifiés en permanence et leur accès aux ressources doit être restreint via le principe du moindre privilège. Lorsque Zero Trust fonctionne comme prévu, il jette les bases d'une cybersécurité hautement efficace et adaptable adaptée à l'ère actuelle centrée sur les applications et le cloud.

Cependant, comme le révèlent également les recherches d'ESG, de nombreux responsables informatiques et de la sécurité pensent à tort que Zero Trust est coûteux et complexe à déployer, à la fois du point de vue organisationnel et technique. Bien que bon nombre de ces perceptions négatives trouvent leur origine dans la confusion du marché et dans des messages flous adressés aux fournisseurs, elles contiennent une part de vérité. Le sondage d'ESG révèle que pas moins de la moitié des personnes qui ont dû suspendre ou abandonner un projet Zero Trust dans le passé citent des « problèmes organisationnels » comme cause.

La voie vers une véritable segmentation

Comme l'explique ESG, la segmentation doit être un « élément fondamental » de tout projet Zero Trust. En effet, Zero Trust consiste essentiellement à isoler les entités en réseau afin qu'elles ne puissent communiquer avec les autres que lorsque la politique le permet.

Le problème est que toutes les approches de segmentation ne fournissent pas les attributs dont ont besoin les organisations d'aujourd'hui. Par exemple, les méthodes statiques telles que les listes de contrôle d'accès (ACL) et les VLAN n'ont généralement pas l'évolutivité requise par un environnement basé sur le cloud. Ils ne fournissent pas un moyen convivial de programmer et de gérer les milliers de règles ACL présentes sur les périphériques réseau. Ils peuvent également nécessiter la refonte de l'architecture des réseaux, ce qui pourrait être une entreprise majeure.

Selon ESG, l'essentiel est le suivant : les organisations doivent choisir des solutions qui extraient la segmentation du réseau et se concentrent sur le niveau de charge de travail. Pourquoi ? Parce que ce faisant, ils peuvent surmonter ces défis traditionnels et garantir que la segmentation est aussi dynamique et évolutive que l'environnement qu'elle protège.

Vous pouvez lire le rapport ESG complet ici.

Dans la deuxième partie de cette série en deux parties, nous examinerons les cinq caractéristiques clés que les entreprises exigent de leurs fournisseurs de segmentation, et comment l'offre d'Illumio se compare.