Dans les deux premiers articles (Zero Trust from Zero to Hero, de la stratégie à la tactique & L’approche Zéro Trust ou comment renforcer sa posture cybersécurité face à la recrudescence des attaques ?), nous vous avons donné une vision globale de l’approche Zero Trust. Les deux prochains articles vont s’attacher à mettre en exergue l’identité. En effet, même si le Zero Trust s’appuie sur 6 piliers, l’identité est certainement un des plus importants, si ce n’est le plus important.
Ce nouvel (mini)épisode vous permettra de vous familiariser avec la notion d’identité numérique, pour ainsi mieux appréhender les enjeux cyber liés à celle-ci.
Rappel du concept d’identité numérique
Dans la vie réelle, nous avons tous une identité composée de divers éléments (nom, prénom, sexe, adresse…). Sur Internet, nous avons également une identité dite « numérique », qui elle est construite à partir de différents items, tels que l’adresse IP de notre ordinateur, de cookies, de nos coordonnées personnelles, administratives, bancaires, photos, vidéos…
Dans le cadre professionnel, notre identité numérique se compose d’identifiants nominatifs qui nous autorisent l’accès à un ensemble de services on-prem et/ou Cloud (applications, serveurs, documents).
L’identité numérique un risque pour l’entreprise ?
Dans un rapport* réalisé par IDSAI (Identity Defined Security Alliance) en 2020, 94% des entreprises interrogées déclaraient avoir eu une violation liée à l’identité et 99% estimaient que ces atteintes auraient pu être évitées. Ces chiffres démontrent bien que l’identité peut être un des maillons faibles de la chaîne cybersécurité des entreprises.
En effet, ce n’est pas parce qu’un utilisateur s’est authentifié avec succès qu’il est bien réellement le salarié de l’entreprise qu’il prétend être ; cette personne peut avoir dérobé (ou acheté sur le Darkweb) les identifiants d’un collaborateur et les utiliser pour pénétrer dans le système. Une fois à l’intérieur du système d’information (stratégie du « pied dans la porte »), il lui est alors beaucoup plus facile d’opérer des actions malveillantes comme dérober des données sensibles, compromettre un serveur…
Afin de se prémunir de tels scenarios, il peut être intéressant de se pencher sur l’approche Zero Trust qui s’attarde particulièrement sur la protection de l’identité.
L’identité au centre du Zero Trust
Comme nous l’avons vu dans les articles précédents, l’identité est le premier élément à prendre en compte dans cette approche de confiance zéro. Certains parlent même de faire de l’identité le nouveau rempart contre les menaces, mais cela implique nécessairement la mise en place au préalable d’une solide politique de gouvernance et d’administration des identités. Celle-ci aura pour objectif, via notamment la gestion des rôles à privilèges et la définition de règles des droits d’accès spécifiques aux utilisateurs & devices, de réduire au maximum les surfaces d’attaques et de minimiser l’impact des compromissions : Revue régulière des accès, Just enough / Just In Time Administration pour les comptes à privilèges, accès conditionnel, authentification multi facteurs, …
Pour en savoir plus sur la manière de renforcer la sécurité autour de l’identité dans une approche Zero Trust, retrouvez les équipes Microsoft, Metsys et Quest dans le webinar du 16 mars dernier : « En matière de cybersécurité, tous les chemins mènent à l’identité ».
