Un expert allemand en cybersécurité a décrit comment les organisations peuvent introduire le cadre de sécurité connu sous le nom de Zero Trust en utilisant une approche minimale viable en seulement 90 jours. La méthode, appelée Minimum Viable Zero Trust (MVZT), se concentre sur la réduction des risques dans les domaines les plus critiques de l'infrastructure d'une organisation sans tenter de réviser l'ensemble du système à la fois. Selon Marcel Küppers, un professionnel chevronné de la cybersécurité avec plus de deux décennies d'expérience, cette stratégie évite les pièges des implémentations traditionnelles de Zero Trust qui s'étendent souvent au-delà du contrôle et deviennent des projets tentaculaires et ingérables.
Küppers explique que de nombreuses entreprises tentent d'appliquer Zero Trust comme une architecture complète, visant à transformer simultanément les réseaux, les identités, les terminaux, les applications, les services cloud et les processus opérationnels. Cette large portée entraîne fréquemment des retards et des inefficacités, en particulier dans les grandes entreprises où les systèmes hérités, les fournisseurs d'identités multiples et les voies administratives complexes compliquent la mise en œuvre.
Sans mesures définies pour la réduction des risques et des repères clairs, les initiatives Zero Trust perdent souvent leur orientation. MVZT répond à ces défis en se concentrant sur les domaines à haut risque tels que les comptes privilégiés, l'administration du cloud, les pipelines d'intégration continue / déploiement continu (CI / CD), la gestion des secrets, les sauvegardes et les outils de sécurité centraux. Ces éléments représentent les principaux vecteurs d'attaque où l'accès non autorisé pourrait causer le plus de dommages. Au lieu de redessiner chaque application ou processus, MVZT traite Zero Trust comme un mécanisme de contrôle.
Les décisions d'accès sont basées sur des facteurs tels que l'identité de l'utilisateur, la force d'authentification, l'état de l'appareil, les signaux de risque et la sensibilité de la ressource cible. Par exemple, les politiques peuvent nécessiter une authentification plus forte pour les actions sensibles, la durée de la session de limite, ou bloquer l'accès entièrement dans certaines conditions. Cette approche garantit que le système reste fonctionnel tout en améliorant considérablement la posture de sécurité.
Ces éléments fournissent une visibilité immédiate sur les performances du système et permettent des ajustements rapides. À la fin de la période de 90 jours, les organisations devraient avoir une compréhension claire des risques qui ont été atténués et de la rapidité avec laquelle elles peuvent réagir aux violations potentielles. Le plan de 90 jours commence par la définition de la portée, l'identification des actifs critiques et des chemins administratifs et l'établissement de contrôles de sécurité de base. Au cours des deux premières semaines, les équipes inventent les rôles et les identités privilégiés, définissent les systèmes de niveau 0 et de niveau 1 et identifient les chemins essentiels de l'administrateur.
Simultanément, un enregistrement centralisé des tentatives d'authentification et des activités administratives est mis en place pour assurer la transparence et la traçabilité. Cette approche structurée mais flexible permet aux organisations de construire une base solide pour Zero Trust sans surcharger les ressources internes.
★
Gardons l’information honnête.
ObjectiveNews est financé par ses lecteurs et sans publicité : nous vous montrons le biais au lieu de le cacher. Soutenez un journalisme indépendant pour 4 €/mois.
Devenir soutien
Germany
