Le Zero Trust est une posture, pas un produit

L'expression Zero Trust a été presque entièrement digérée par le marché. On la retrouve sur les fiches produit des pare-feu, des sondes réseau, des plateformes d'identité, des outils de microsegmentation et des agents de terminaux, chaque éditeur sous-entendant qu'acheter sa solution fait avancer l'organisation vers l'état que l'expression désigne. Ce n'est pas ainsi que les choses se passent. Le Zero Trust désigne une posture, à la fois architecturale et organisationnelle. Il ne s'achète pas. Il se construit, lentement, d'une équipe à l'autre, à travers des choix sur le lieu où s'opère la vérification et sur le sens des frontières de confiance, à un coût qui ne figure sur aucune facture d'éditeur.

Les travaux menés par John Kindervag chez Forrester en 2010 décrivaient une philosophie, pas une famille de produits : ne jamais faire confiance, toujours vérifier. Faire reculer la frontière de confiance, depuis le périmètre réseau (poreux, réputé sûr par habitude et démenti par l'histoire) jusqu'à la transaction elle-même. Toute demande d'accès doit être authentifiée, autorisée et évaluée dans son contexte. La frontière de sécurité, ce n'est pas le réseau. Ce sont l'identité, la posture de l'appareil, le contexte de la requête et la sensibilité des données qui, ensemble, la dessinent, de façon dynamique, requête après requête. Ce modèle est solide, et il est exigeant. Il suppose de savoir ce que l'on protège, qui doit y accéder et à quoi ressemble un accès légitime. Peu d'organisations possèdent ce savoir sous une forme assez précise pour l'appliquer de bout en bout.

Déployer le Zero Trust dans un environnement réel révèle trois prérequis qu'aucun éditeur ne chiffre honnêtement dans son cycle de vente. D'abord, un inventaire des actifs complet et tenu à jour : des contrôles d'accès dynamiques appliqués à des actifs que vous n'avez jamais recensés ne produisent pas de la sécurité, mais des résultats imprévisibles. Ensuite, une infrastructure d'identité assez mature pour fournir un contexte exploitable au moment de l'accès (état de santé de l'appareil, emplacement réseau, heure, rôle, score de risque de la session) et pour en tirer les conséquences partout, sur tous les chemins d'accès, y compris les applications héritées incapables de prendre part aux flux d'authentification modernes. Enfin, une supervision capable de repérer les accès anormaux dans un modèle où tout est, par construction, potentiellement accessible, et où la notion d'anomalie se définit par rapport à votre référence, pas à un modèle de menace générique sorti d'un livre blanc sectoriel. Aucune de ces capacités ne se livre clé en main. Toutes reposent sur une maturité organisationnelle qui se gagne au fil des années.

C'est dans l'écart entre l'argumentaire commercial et le modèle de menace que se logent les compromissions. Les organisations qui ont acheté le produit et coché la case s'en sont en général tirées avec les hypothèses de confiance implicites de leur ancienne architecture réseau, augmentées de la complexité d'un nouveau plan de contrôle. Celles qui ont vraiment adopté la posture ne la présentent jamais comme un trophée. Elles en parlent comme d'une discipline qu'elles entretiennent en permanence : revoir les décisions d'accès, resserrer les identités trop dotées en privilèges, réinterroger ce que le modèle de confiance d'il y a six mois tenait pour acquis du monde réel. Le Zero Trust vu comme une ligne d'arrivée, c'est un récit qui arrange les éditeurs. Le Zero Trust vu comme une pratique, c'est un engagement tout autre, et bien plus exigeant.