Les données stockées étant l’un des actifs les plus critiques d’une entreprise, les organisations devraient envisager de mettre en œuvre une architecture zero trust pour leurs systèmes de stockage et l’ensemble de leur infrastructure technologique.
L’approche zero trust des infrastructures informatiques d’entreprise ne présuppose ni confiance ni bonnes intentions de la part de quiconque se trouve sur un réseau. Contrairement aux approches technologiques précédentes, qui permettent aux utilisateurs de passer d’une application à l’autre sur le réseau dès lors qu’ils ont obtenu un accès initial, elle ne considère pas qu’un utilisateur est digne de confiance simplement parce qu’il a passé la vérification initiale. Loin d’être une approche excessivement suspicieuse pour une organisation, il s’agit toutefois d’une pratique qui améliore le contrôle des accès et la responsabilisation de toute l’équipe.
Le zero trust s’appuie sur des technologies comme la microsegmentation pour obtenir une granularité accrue au sein de l’infrastructure : les applications individuelles, notamment les logiciels de stockage, sont séparées par des barrières. Une telle barrière peut intégrer une technologie de sécurité traditionnelle, comme un pare-feu, ou des exigences plus avancées, comme l’authentification multifacteur (MFA).
Ce guide consacré à la mise en œuvre du zero trust dans l’ensemble d’une infrastructure de stockage d’entreprise fournit des recommandations aux organisations qui souhaitent inventorier leurs données et leurs contrôles d’accès :
Comment mettre en œuvre une approche zero trust appliquée au stockage
En tant que principaux dépôts de données de l’organisation, les solutions de stockage nécessitent tout particulièrement une protection renforcée. Une approche zero trust appliquée à tous les systèmes de stockage aidera votre entreprise à limiter l’accès aux données aux seules personnes qui en ont besoin et qui sont autorisées à y accéder. Le zero trust renforce également la responsabilisation au sein de l’organisation : tout le personnel, quels que soient son grade ou sa fonction, doit s’authentifier. Si quelqu’un accède à un système auquel il n’est pas autorisé à accéder, cela soulève alors des questions telles que :
- Comment cet utilisateur est-il entré sur le réseau ?
- La demande d’authentification a-t-elle fonctionné correctement ? Si ce n’est pas le cas, pourquoi ?
- Comment notre organisation peut-elle garantir que ce système restera protégé à l’avenir ?
L’accès réseau zero trust constitue un bon point de départ pour les systèmes de stockage d’entreprise. Pour accéder au réseau sur lequel se trouve la solution de stockage, tous les employés autorisés devraient être tenus de présenter au moins un moyen d’authentification. Ils devraient ensuite fournir leurs identifiants à chaque nouvelle session applicative sur le réseau.
Bien que le zero trust ne soit pas une pratique de sécurité parfaite, il est utile pour contrôler l’accès aux réseaux et aux systèmes et pour continuer à améliorer la responsabilisation de l’entreprise en matière d’accès aux applications. Si votre organisation envisage de mettre en œuvre une architecture zero trust pour ses systèmes de stockage, il est préférable d’identifier clairement tous les systèmes de stockage, de gérer tous les accès des employés et de tenir l’ensemble de l’organisation informée de votre approche de la sécurité.
Identifier toutes les données stockées et tous les points d’entrée
Pour développer une infrastructure fondée sur le zero trust, votre équipe de stockage doit connaître chaque emplacement où sont stockées les données de l’entreprise, ainsi que tous les points d’entrée vers ces données. Les emplacements de stockage comprennent les services cloud, comme AWS ou Google Cloud, mais peuvent aussi être aussi simples qu’une feuille Google Sheets ou une feuille de calcul Excel. N’oubliez pas les données essentielles, surtout si elles sont sensibles. Si cette feuille Google Sheets contient des données commerciales confidentielles, elle doit elle aussi être protégée.
L’identification des points d’entrée peut être un peu plus difficile. Le personnel chargé du stockage n’accède aux compartiments de stockage cloud qu’au moyen d’une connexion, et une solution logicielle de stockage nécessite également une connexion. En revanche, il peut être plus difficile de contrôler l’accès aux données stockées dans les feuilles, les documents et les dossiers de l’organisation. Si le membre de l’équipe commerciale qui a créé à l’origine la feuille Google Sheets mentionnée précédemment a choisi une autorisation de partage telle que « Toute personne disposant de ce lien peut consulter », toute personne pouvant voir la feuille dans son Google Drive peut consulter les données. Toute personne disposant d’autorisations de modification pourrait également les partager à l’extérieur de l’organisation. Dans une architecture zero trust, les utilisateurs doivent vérifier leur droit d’accès plutôt que bénéficier d’une confiance aveugle.
Identifier les points d’entrée vers les données est difficile, mais il s’agit de l’une des premières étapes les plus importantes pour les organisations qui souhaitent mettre en place une véritable infrastructure zero trust. Si les points d’entrée ne sont pas correctement identifiés, un utilisateur non autorisé, voire un acteur malveillant, pourrait trouver une porte dérobée — ou se voir ouvrir grand la porte — pour accéder aux données.
Bien connaître vos systèmes de stockage
De même, tout le personnel chargé du stockage doit parfaitement connaître chaque système de stockage de l’organisation. Cela comprend :
- Le matériel de stockage (baies tout-flash, anciens systèmes sur bande, disques externes hors ligne)
- Les logiciels de stockage (consoles de gestion du matériel, systèmes définis par logiciel, stockage objet cloud)
- Les réseaux de stockage (NAS, SAN)
Les systèmes nouveaux comme les systèmes existants doivent tous être pris en compte. Si les équipes de stockage connaissent bien le fonctionnement de leurs systèmes, elles sauront mieux qui a absolument besoin d’y accéder et comment les protéger.
Suivre et gérer tous les accès des employés aux données stockées
Si l’on résume le zero trust par « ne faire confiance à rien, tout vérifier », chaque point auquel les employés peuvent accéder aux données stockées doit faire l’objet d’une vérification. Parmi les exemples de vérification figurent un simple nom d’utilisateur et un mot de passe, l’authentification à deux facteurs (2FA), ou l’authentification unique (SSO). Les gestionnaires de mots de passe sont également des outils utiles pour gérer les accès : ils utilisent des clés de chiffrement pour protéger les informations de connexion, y compris celles des fournisseurs qui ont créé les logiciels.
Toutes les équipes doivent être soumises à ces exigences d’accès, notamment les équipes de stockage, d’informatique, de gestion des données et de data science. Personne ne doit en être exempté, pas même les cadres dirigeants. Tous les utilisateurs doivent être tenus de s’authentifier lorsqu’ils accèdent à une solution de stockage, que ce soit simplement au moyen d’un gestionnaire de mots de passe ou en présentant des données biométriques.
Mettez en œuvre le principe du moindre privilège au sein de votre organisation. Traditionnellement, les entreprises ont accordé à plusieurs employés l’accès aux réseaux, aux applications et aux systèmes de stockage, même lorsqu’ils n’en avaient pas strictement besoin pour accomplir leur travail. Mais cette approche est source de confusion et il est également difficile de respecter les normes réglementaires, comme le RGPD, lorsque l’entreprise ignore qui accède aux données stockées. Limiter l’accès au stockage aux seuls utilisateurs qui en ont absolument besoin pour leur travail réduit le risque de fuite, tout en améliorant la conformité de l’organisation.
Pour en savoir plus sur l’authentification, consultez Enterprise Networking Planet : Utiliser l’authentification pour sécuriser les réseaux
Informez toute l’entreprise, en particulier le personnel chargé du stockage et de la sécurité
Si le passage au zero trust est une nouvelle initiative au sein de l’organisation, veillez à ce que les équipes pilotes chargées de l’opération tiennent toute l’entreprise informée. Même si vos autres équipes, comme le marketing et les ressources humaines, ne toucheront jamais à un compartiment AWS et ne configureront jamais un pare-feu Fortinet, elles doivent au moins connaître le zero trust. Il peut être judicieux de s’appuyer sur ces informations pour lancer des sessions de formation destinées à toute l’entreprise. Plus le reste de l’organisation connaîtra les vulnérabilités et la manière dont une architecture zero trust les atténue, mieux les autres employés seront préparés à soutenir les efforts des équipes de stockage et de sécurité.
Adaptez une culture de transparence au sein des équipes de stockage
À première vue, cela peut sembler contradictoire : de la transparence ? Je croyais que nous étions censés ne faire confiance à personne. Même si le principe du zero trust consiste effectivement à ne faire confiance à aucun utilisateur tant qu’il n’a pas vérifié son droit d’accès, il reste préférable que les employés prennent l’habitude de parler ouvertement de la sécurité, de l’hameçonnage et des menaces internes. La transparence est différente du fait de transmettre aveuglément les mots de passe à tous ses collègues. La transparence consiste notamment à :
- Avoir des discussions ouvertes avec le personnel chargé du stockage, même le plus junior, au sujet des nouvelles attentes
- Présenter en détail l’ensemble du plan de mise en œuvre du zero trust et laisser suffisamment de temps aux employés pour poser leurs questions
- Créer un environnement dans lequel chacun se sent à l’aise pour poser des questions telles que : « J’ai vu des personnes faire cela dans mon service. Est-ce une idée judicieuse ou sûre ? »
La transparence favorise la visibilité. Elle révèle les domaines des équipes de stockage et de sécurité qui nécessitent davantage de travail et peut même aider les employés à découvrir des zones du réseau qui ne sont pas encore sécurisées. Si la transparence est valorisée, les employés sont davantage susceptibles d’en faire une priorité.
Continuez à surveiller et à améliorer l’architecture
Aucune infrastructure de sécurité ne peut être mise en place une fois pour toutes : elle doit être analysée en permanence afin que l’organisation sache si elle fonctionne réellement et quels sont les points à améliorer. En tant que méthode moderne de cybersécurité, le zero trust doit tout particulièrement être évalué pour mesurer ses réussites et ses échecs. Aux premières étapes de sa mise en œuvre et de son utilisation, les équipes de stockage et de sécurité doivent travailler ensemble pour déterminer si les procédures d’authentification des appareils, des réseaux et des systèmes de stockage constituent une passerelle fonctionnelle.
Les outils zero trust pour les entreprises
Si votre entreprise est en mesure d’investir dans un fournisseur zero trust de qualité capable de couvrir l’ensemble de l’infrastructure, faites-en un investissement à long terme. Vérifiez également que le fournisseur choisi utilise réellement une technologie zero trust. Zero trust est une expression à la mode, que les fournisseurs de solutions de sécurité utilisent facilement à toutes les sauces. Cela ne signifie toutefois pas nécessairement qu’une solution développera véritablement une architecture zero trust.
Les fournisseurs de solutions de sécurité suivants jouissent d’une excellente réputation et proposent des solutions destinées à protéger l’accès aux systèmes d’entreprise qui stockent des données.
Les solutions zero trust de Palo Alto Network couvrent son portefeuille de services de sécurité, qui comprend la gestion des identités et des accès (IAM), la détection et réponse étendues (XDR), ainsi que des services de sécurité fournis dans le cloud.
Check Point Software Technologies propose Infinity, une solution qui aide les entreprises à mettre en œuvre une sécurité zero trust. Ces technologies comprennent des politiques d’accès selon le principe du moindre privilège sur les passerelles de sécurité et le ZTNA en tant que service.
Le déploiement de CrowdStrike nécessite un seul agent. La solution zero trust de CrowdStrike protège les applications de stockage des identités, comme Microsoft Active Directory, et aide les entreprises à identifier les terminaux gérés et non gérés.
Forcepoint zero trust propose le ZTNA, la distinction entre appareils gérés et non gérés, ainsi que la segmentation des applications. Forcepoint permet aux entreprises de restreindre dynamiquement les droits de transfert de données des utilisateurs en fonction de leur propre comportement sur le réseau de l’entreprise.
Pour en savoir plus sur les solutions zero trust, consultez ce guide complet d’eSecurity Planet.