La confiance zéro, une utopie?
L'évangéliste en chef André Koot se concentre sur le domaine de la gestion des identités et des accès (IAM) depuis 20 ans. Initialement l'un des rares, mais entre-temps l'IAM suscite un vif intérêt dans les organisations. Depuis lors, l'IAM n'est plus une innovation en soi, mais il existe de nombreuses possibilités d'innovation pour les organisations en la mettant en place de manière optimale. Dans cet article, il pose des questions critiques sur les innovations qui ont un impact potentiel sur l'IAM, voire qui offrent des opportunités. Ce faisant, il examine de plus près la question de la confiance zéro.
Qu'est-ce que la confiance zéro?
La confiance zéro signifie que l'accès n'est accordé qu'après une validation continue et explicite d'une demande d'accès par rapport à la politique d'accès. Cela vous permet, par exemple, de faire en sorte que les utilisateurs inconnus et peut-être même les utilisateurs peu familiers puissent, dans certaines conditions et dans une certaine mesure, accéder à certaines informations. Et donc, la sécurité est également accrue.
C'est une utopie, non?
Dans le domaine de la sécurité, l'architecture de confiance zéro est un nouveau paradigme de sécurité assez dominant. Et en pensant à la confiance zéro, on se demande: s'il n'y a pas de confiance, comment peut-on y avoir accès?
La confiance est un vieux principe de sécurité: vous pouvez avoir accès à toutes mes ressources si je vous fais confiance. Donc, pas de confiance signifie pas d'accès. Je suis le seul à pouvoir accéder à mes ressources car elles m'appartiennent. Je suis le propriétaire et je peux accorder l'accès. L'accès est sous mon contrôle. Je peux vous donner accès si et aussi longtemps que je vous fais confiance.
S'il n'y a pas de confiance, comment pouvez-vous y avoir accès?
Mais c'est une façon très restrictive de gérer l'accès. En fait, elle bloque l'accès et limite donc la collaboration et le partage des données. Si je veux que d'autres coopèrent, soit je limite le groupe de partenaires potentiels, soit je définis la confiance de manière à ce que l'accès soit accordé. Un peu plus de confiance que pas de confiance; juste assez de confiance pour collaborer.
Comment obtenir un accès dans un environnement de confiance zéro?
Donc, une confiance zéro signifie un accès zéro. Cela signifie-t-il également que vous devez avoir une confiance totale pour obtenir un accès total? Ou le contrôle d'accès est-il une décision binaire?
"Faire confiance", c'est avoir confiance ou se fier à une personne ou à une qualité, tandis que l' assurance", c'est l'action qui consiste à assurer. Cette dernière est une déclaration qui tend à susciter une confiance totale; celle qui est destinée à donner confiance.
Cela implique que la confiance comporte un certain degré d'incertitude. Et le contrôle est mal adapté à l'incertitude. C'est pourquoi nous avons besoin de l'assurance de la fiabilité de la demande d'accès. C'est pourquoi nous devons nous assurer que l'accès n'est accordé que si le demandeur d'accès respecte la politique d'accès du propriétaire de la ressource. Donc, dans un sens, la confiance zéro est une idée intelligente.
comment gérer l'accès de manière moins binaire?
Dans la gestion des accès, il existe quelques concepts de base pour contrôler les accès. Les modèles de base sont les Access Control Lists (ACL, pensez aux systèmes de fichiers ou à SharePoint), Role-Based Access Control (RBAC, qui accorde l'accès à des fonctions d'application spécifiques aux personnes ayant un rôle spécifique) et Attribute-Based Access Control (ABAC, qui accorde l'accès lorsqu'un paramètre spécifique est spécifié par le demandeur d'accès).
Toute demande d'accès doit être plus que digne de confiance, elle doit être fiable
Mais tous ces contrôles accordent ou non l'accès; il s'agit d'une sorte de décision binaire. On ne donne donc pas "un peu" d'accès parce que l'infrastructure utilisée (application, middleware, systèmes d'exploitation) est constituée de systèmes de pensée binaires. Soit vous obtenez l'accès, soit vous ne l'obtenez pas, et dans RBAC, vous obtenez l'accès qui correspond à votre rôle.
Est-ce réalisable ou est-ce une utopie?
Retour à la confiance zéro: aucune confiance signifie aucun accès, et une confiance totale implique un accès total. Ou pas?
À mon avis, la confiance, même totale, ne suffit pas. Nous avons besoin d'assurance. L'assurance n'est pas seulement une forme plus forte de confiance, c'est aussi l'épine dorsale de la gestion de la continuité des activités. Toute demande d'accès doit être plus que digne de confiance, elle doit être fiable. Elle doit être cohérente avec les politiques d'accès applicables, de sorte que le propriétaire des données, le propriétaire du processus et le propriétaire du système puissent toujours garantir aux autres parties prenantes que tout accès est non pas digne de confiance, mais prouvé fiable. La confiance zéro est une question de preuve, de conformité totale avec les politiques d'accès.
Une utopie? Vraiment pas! Nous sommes déjà en train de la concevoir et de la construire. Nous ajoutons des capacités de confiance zéro aux environnements existants. Nous concevons des architectures et utilisons des solutions logicielles pour soutenir la méthode de travail. Cette utopie est déjà devant nous, mais il faut regarder devant soi!
À propos de l'auteur
André Koot est consultant principal IAM et cofondateur de SonicBee.
Il compte 25 ans d'expérience dans le domaine de la cybersécurité, dont les 20 dernières années ont été spécifiquement consacrées à la gestion des identités et des accès (IAM). Il est un expert de premier plan reconnu internationalement dans ce domaine.
Koot contribue activement au domaine de l'IAM, notamment en tant que membre du conseil d'administration de la Cloud Security Alliance NL Chapter, membre du comité IDpro et membre du conseil consultatif d'Identity.Next.
