Mise en œuvre du décret exécutif sur la cybersécurité de l'administration Biden avec Zero Trust

La semaine dernière, l'administration Biden a adopté une position ferme sur les améliorations de cybersécurité nécessaires au niveau fédéral, et réellement dans toutes les organisations. Parmi les autres recommandations, il y avait une forte reconnaissance de la nécessité d'un Stratégie Zero Trust.

Zero Trust est une approche coordonnée de cybersécurité, un cadre de sécurité et une architecture qui éliminent la confiance implicite en empêchant l'accès automatique à toute source, interne ou externe, et qui suppose que le trafic réseau interne ne peut pas être fiable sans autorisation préalable et vérification continue basée sur des informations en temps réel provenant de sources multiples. Zero Trust élimine l'idée d'une confiance excessive entre les réseaux, les appareils, les utilisateurs ou les charges de travail et permet de mettre en place un contrôle d'accès granulaire basé sur le moindre privilège, ce qui réduit considérablement la surface d'attaque en limitant la portée et les mouvements des attaquants à l'intérieur du réseau.

Andrew Rubin et moi avons lancé Illumio en gardant ces mêmes principes à l'esprit pour aider les entreprises de toutes tailles à améliorer leur sécurité en leur permettant d'adopter plus facilement cet état d'esprit.

Permettez-moi de souligner un certain nombre de ces principes en les citant dans l'EO.

Présumer une violation

Discutons du concept de supposer une violation. « Les Modèle de sécurité Zero Trust Architecture suppose qu'une violation est inévitable ou qu'elle s'est probablement déjà produite. » Cela revient à adopter une position quelque peu inconfortable en supposant qu'un attaquant se trouve probablement déjà à l'intérieur de votre périmètre. Par conséquent, les organisations devraient mettre en place des contrôles de sécurité pour empêcher que de telles infiltrations ne se transforment en événements catastrophiques de grande envergure. Tout d'abord, les organisations doivent changer de mentalité et adopter des contrôles de sécurité qui vous permettent d'accéder aux modèles de moindre privilège, partout dans le monde.

Listes d'autorisations

L'EO déclare également : « En substance, une architecture Zero Trust permet aux utilisateurs un accès complet, mais uniquement au strict minimum dont ils ont besoin pour effectuer leur travail. » Il suggère que « ce modèle de sécurité centré sur les données permet d'appliquer le concept d'accès le moins privilégié à chaque décision d'accès ». Aider nos clients à créer et à maintenir des modèles de moindre privilège est au cœur de ce que nous faisons chez Illumio et de la manière dont nos produits sont conçus et architecturés. Et ce n'est pas facile. Nombreux sont ceux qui vantent les modèles Zero Trust, puis vous permettent de créer des listes de refus pour empêcher que de mauvaises choses ne se produisent. Ce n'est pas Zero Trust.

Adopter le Zero Trust, c'est créer un environnement minimal liste d'autorisations. Cela signifie comprendre ce à quoi les gens ont besoin d'accéder pour faire leur travail et ne leur fournir aucun accès supplémentaire. « Le modèle de sécurité Zero Trust élimine la confiance implicite dans un élément, un nœud ou un service en particulier. » Cela nécessite de supprimer toute la confiance implicite de votre réseau et de votre environnement à tous les niveaux. « Le modèle de sécurité Zero Trust élimine la confiance implicite dans un élément, un nœud ou un service en particulier. » Cela signifie que vous devez adopter une vision globale de votre environnement.

Visibilité unifiée

Comme indiqué dans l'EO, « l'architecture Zero Trust intègre une surveillance complète de la sécurité, des contrôles d'accès granulaires basés sur les risques et une automatisation de la sécurité des systèmes de manière coordonnée sur tous les aspects de l'infrastructure afin de se concentrer sur la protection des données en temps réel dans un environnement de menace dynamique ». Les entreprises ont besoin d'une visibilité unifiée pour voir et comprendre, avec un meilleur contexte, la communication entre les terminaux, les utilisateurs et les charges de travail dans des environnements hétérogènes sur site et multicloud.

Le parcours Zero Trust

Souvent, les utilisateurs commencent leur parcours Zero Trust avec une solution Zero Trust Network Access (ZTNA), pour appliquer certains principes entre les utilisateurs finaux et les applications et les systèmes, puis abandonnent un modèle de confiance implicite (différent de zéro) derrière la passerelle ZTNA. Bien que cela fasse partie de la stratégie Zero Trust, la ZTNA à elle seule ne suffit pas. Le récent Vents solaires L'attaque le prouve car la violation s'est produite entre les charges de travail.

Segmentation Zero Trust

L'autre pièce clé du puzzle est la segmentation Zero Trust, qui vous permet de définir une politique de moindre privilège entre les charges de travail pour toutes vos applications phares dans votre centre de données et vos clouds. Nous assistons à de plus en plus d'attaques, comme les récentes attaques contre la chaîne d'approvisionnement contre SolarWinds et Code COV qui n'exploitent pas l'accès des utilisateurs, mais exploitent plutôt la confiance implicite entre les charges de travail. La segmentation Zero Trust est fondamentale pour parvenir à une posture Zero Trust holistique.

Formulation d'une approche Zero Trust

Il est nécessaire d'adopter une approche globale qui permette à Zero Trust de fonctionner partout dans votre environnement : dans le centre de données, dans le cloud et à la périphérie.

Il est important de mettre en œuvre une architecture Zero Trust capable d'éliminer les silos de sécurité entre les outils informatiques, de réseau et de sécurité existants afin de vous aider à réduire les risques, à réduire les coûts et à gagner du temps lors du déploiement pour Zero Trust.

Pour vous aider dans votre transition vers le Zero Trust, vous devez développer et mettre en œuvre une stratégie, une architecture et un plan de mise en œuvre complets de Zero Trust.

Cherchez-vous à répondre plus rapidement aux exigences du décret exécutif de la Maison Blanche ? Découvrez comment ici ou rejoignez-nous pour atelier où vous apprendrez à concevoir une architecture Zero Trust pour votre agence fédérale.