Principes fondamentaux du Zero Trust – NIST

Remarque : cet article est le 3e d'une série en 5 parties sur les origines et les principes du Zero Trust. 

Deux organismes ont contribué à la définition du Zero Trust et encouragé son adoption de manière étendue. Dans cet article, nous revenons sur les principes fondamentaux tels que définis par le NIST dans le document mentionné précédemment.

Le NIST (National Institute of Standards and Technology ou Institut national américain des normes et des technologies) est une agence gouvernementale et un laboratoire créé en vue de promouvoir l'innovation américaine et sa compétitivité industrielle. Selon le droit fédéral, le NIST a la charge de développer des normes et des directives sur la sécurité de l'information. Ces normes et ces directives sont volontaires pour la plupart des organisations.

Les sept principes du NIST sur le Zero Trust

La publication spéciale du NIST n°800-207 a été créée pour « décrire le zero trust pour les architectes en sécurité au sein des entreprises » et comprend sept principes fondamentaux. Ceux-ci sont décrits ci-dessous et résumés de manière non officielle :

1. Toutes les sources de données et les services de calcul sont considérés comme des ressources. L'Internet des Objets (IoT), les applications SaaS, les imprimantes et les autres objets et services connectés sont inclus ici.


2. Toutes les communications sont sécurisées, quelle que soit leur localisation sur le réseau. Les demandes internes de transaction provenant du réseau doivent respecter les mêmes exigences de sécurité que les demandes provenant de l'extérieur.


3. L'accès aux ressources individuelles de l'entreprise est accordé par session. La confiance n'est pas accordée automatiquement et ne doit pas dépasser le moindre privilège nécessaire pour effectuer la tâche en question.


4. L'accès aux ressources est déterminé par une politique dynamique — y compris l'état observable de l'identité du client, l'application/le service et l'actif du demandeur — et peut également prendre en compte d'autres attributs comportementaux et environnementaux. La politique constitue l'ensemble des règles d'accès basées sur les attributs qu'une organisation affecte à un sujet, une ressource de données ou une application. Ce principe décrit le concept de politique dynamique et les attributs utilisés dans une politique.


5. L'entreprise surveille et mesure l'intégrité et la posture de sécurité de tous les actifs détenus et associés. Aucun actif n'est considéré comme fiable par nature. Ceux qui sont peut-être moins sécurisés doivent être traités différemment de ceux qui sont très sécurisés.


6. L'authentification et l'autorisation de toutes les ressources se font de manière dynamique et sont strictement appliquées avant qu'un accès ne soit accordé. Le Zero Trust est un « cycle constant d'obtention des accès, d'analyse et d'évaluation des menaces, d'adaptation et de réévaluation permanente de la confiance dans une communication continue ».


7. L'entreprise recueille autant d'informations que possible sur l'état actuel des actifs, de l'infrastructure réseau et des communications et utilise ces informations pour améliorer sa posture de sécurité. Le recueil continu de données fournit des insights pour améliorer la création et l’application des politiques.

Ces principes décrivent ce qui est nécessaire pour atteindre la définition NIST du Zero Trust. Ils définissent les ressources, les attributs et les autres composants nécessaires du modèle Zero Trust. Ils insistent également sur le fait que chaque requête doit être vérifiée et que le concept du moindre privilège s'applique à toutes les requêtes. Vous retrouverez le document du NIST ici. C'est une lecture recommandée pour quiconque souhaite comprendre les tenants et les aboutissants du Zero Trust.

Le prochain article de cette série passera en revue le livre blanc de The Open Group sur les principes fondamentaux du Zero Trust et Boundaryless Information Flow™. Vous pouvez lire tous les articles de la série ici.