Les politiques sur le lieu de travail continuent d’évoluer vers un travail plus flexible, avec plus de 58% des américains (s’ouvre dans un nouvel onglet) déclarant dans une enquête du printemps 2022 qu’ils avaient la possibilité de travailler à domicile au moins un jour par semaine. S’il s’agit d’une excellente nouvelle pour la liberté des employés, cela pose également des problèmes de sécurité accrus pour les entreprises.
Les travailleurs à distance sont souvent tenus d’accéder à des ressources professionnelles sensibles sur Internet, ce qui se fait traditionnellement avec réseaux privés virtuels (s’ouvre dans un nouvel onglet) (VPN). Ce modèle obsolète a du mal à répondre aux demandes d’une main-d’œuvre massive à distance et est de plus en plus remplacé par Solutions Zéro Confiance (s’ouvre dans un nouvel onglet)tel que Périmètre 81 (s’ouvre dans un nouvel onglet).
Dans cet article, nous examinons pourquoi votre entreprise peut souhaiter remplacer les VPN par un modèle Zero Trust.
Le problème avec le modèle de confiance VPN
Les VPN sont utilisés depuis longtemps pour permettre aux appareils de différents réseaux de communiquer comme s’ils étaient sur le même réseau. En utilisant un VPN sur Internet, les employés peuvent se connecter à l’intranet de l’entreprise et accéder à toutes les ressources comme si leur ordinateur y était branché.
Surtout, les VPN n’effectuent aucun contrôle de sécurité supplémentaire après l’authentification initiale, qui se résume généralement à un nom d’utilisateur et à un mot de passe. Une fois l’appareil distant authentifié, il reste fiable indéfiniment. C’est un risque pour la sécurité.
Les VPN permettent généralement un accès complet au réseau de l’entreprise pour l’utilisateur distant après vérification. Avec un accès aussi large à toutes les applications et ressources s’exécutant sur le réseau, une machine distante compromise pourrait causer des ravages à l’entreprise.
Un autre problème est que les entreprises utilisent de plus en plus des applications, du stockage et d’autres ressources basées sur le cloud. Vous voudrez peut-être tirer parti de la puissance d’énormes ressources basées sur le cloud à partir de AmazonAWS (s’ouvre dans un nouvel onglet), Microsoft Azure (s’ouvre dans un nouvel onglet)et Google Cloud (s’ouvre dans un nouvel onglet)mais les VPN n’offrent qu’une sécurité basée sur le périmètre, protégeant un réseau local.
Toute solution qui tente de combiner les VPN traditionnels avec la technologie cloud sera maladroite et difficile à maintenir.
Les employés trouvent souvent les VPN frustrants à utiliser. Les VPN ont des fonctionnalités d’autorisation limitées, ce qui signifie que la création et la gestion des noms d’utilisateur et des mots de passe pour un grand nombre d’employés peuvent être fastidieuses.
Des centaines de transactions réseau des employés doivent passer par le VPN, ce qui provoque souvent un goulot d’étranglement. Cela peut signifier que les applications semblent lentes à répondre et que les transferts de fichiers sont lents.
Solution : le modèle Zero Trust
Zero Trust est une philosophie selon laquelle aucun appareil ou utilisateur n’est automatiquement approuvé, où qu’il se trouve. Cela affecte la manière dont vos applications, votre infrastructure réseau et les politiques de sécurité de votre entreprise sont écrites et mises en œuvre.
Le premier changement frappant entre l’utilisation des VPN et Zero Trust est que les utilisateurs connectés au réseau local de l’entreprise sont soumis aux mêmes contrôles de sécurité que tout le monde. Les utilisateurs ou les appareils ne sont plus automatiquement considérés comme fiables simplement parce qu’ils sont physiquement situés dans le bâtiment.
Zero Trust abandonne la politique de une fois vérifié, toujours fiable et le remplace par ne jamais faire confiance, toujours vérifier. Cela signifie que les utilisateurs et les appareils sont constamment surveillés pour détecter tout comportement suspect pouvant suggérer que la connexion est compromise. Par exemple, si la solution Zero Trust détecte un logiciel malveillant sur un ordinateur portable distant, l’accès aux actifs de l’entreprise sera immédiatement révoqué jusqu’à ce que le problème soit résolu.
Les VPN ne peuvent pas offrir de contrôles précis sur ce à quoi chaque utilisateur peut accéder sur un réseau. Les solutions Zero Trust le peuvent. Au lieu d’offrir uniquement une sécurité générale au niveau du réseau, Zero Trust peut être utilisé pour une protection plus spécifique au niveau de l’application.
Avec Zero Trust, les utilisateurs peuvent se voir accorder et refuser l’accès à des applications particulières. C’est difficile à faire avec un VPN sans mettre les applications sur différents réseaux. Les solutions avancées peuvent accorder et refuser des demandes à des sections d’une application en fonction des informations d’identification de l’utilisateur. Un employé de bas niveau peut se voir accorder l’accès pour afficher certaines données, mais se voir refuser la possibilité de les modifier, par exemple.
Zero Trust et le cloud
Ci-dessus, nous avons expliqué comment l’utilisation accrue des ressources basées sur le cloud dans les entreprises ne cadre pas bien avec le modèle de sécurité basé sur le périmètre des VPN. Zero Trust établit une base solide de ne jamais faire confiance, toujours vérifier, donc ce n’est pas le même problème.
Avec Zero Trust, chaque demande d’accès à une ressource de l’entreprise passe par une application intermédiaire de sécurité, généralement appelée courtier. Ce courtier vérifie que la demande est valide avant de la transmettre à la ressource.
Notamment, cette ressource ne doit pas nécessairement se trouver sur l’intranet de l’entreprise. Le courtier pourrait plutôt être le gardien d’une application sur le cloud. Cela signifie que les entreprises peuvent mettre leurs ressources sur des serveurs cloud plutôt que sur l’intranet de l’entreprise tout en maintenant un haut niveau de sécurité.
Cela offre de nombreux avantages. Il devient beaucoup plus facile de faire évoluer les applications métier, car vous pouvez tirer parti de l’immense puissance des réseaux cloud publics et privés au fur et à mesure des besoins. Cela peut réduire les coûts d’exploitation, car vous n’avez plus besoin d’autant de matériel sur site et de personnel pour le maintenir. Et, bien sûr, cela signifie une meilleure sécurité pour vos actifs commerciaux vitaux.
C’est également idéal pour vos employés, car ils peuvent utiliser un seul système d’authentification et d’autorisation au lieu de suivre des dizaines de connexions. Les performances des applications peuvent être considérablement améliorées, car les employés ne sont plus tenus d’envoyer toutes les données dans les deux sens via un VPN qui agit souvent comme un goulot d’étranglement.
Conclusion
Une main-d’œuvre de plus en plus distante et une plus grande dépendance à l’infrastructure basée sur le cloud signifient que le modèle de sécurité purement périmétrique des VPN devient obsolète.
L’architecture Zero Trust offre une sécurité plus robuste et permet un contrôle plus précis sur ce à quoi les utilisateurs peuvent accéder. Avec la mise en œuvre appropriée de Zero Trust, les coûts peuvent être réduits, l’authentification est plus simple pour les employés et vos actifs commerciaux critiques seront sécurisés.
En savoir plus sur Accès réseau zéro confiance (s’ouvre dans un nouvel onglet) (ZTNA), comment sécurisez votre réseau avec Zero Trust (s’ouvre dans un nouvel onglet)et pourquoi l’armée américaine mise sur Zero Trust (s’ouvre dans un nouvel onglet).
