Régler le problème du périmètre
Aller au-delà de la sécurité traditionnelle avec le Zero Trust
L'époque de la sécurité périmétrique traditionnelle est révolue pour l'entreprise moderne. C'est en partie dû à l'évolution des méthodes de travail traditionnelles. Au cours d'une même semaine, les employés modernes peuvent travailler depuis une petite succursale, un avion, un bureau à domicile, un café et le bureau d'un client.
La plupart des leaders technologiques reconnaissent que la sécurité Zero Trust est la meilleure solution pour remplacer la méthode traditionnelle de protection d'une entreprise. La vérification continue de la sécurité Zero Trust, centrée sur l'identité, permet aux organisations de protéger leurs ressources, quels que soient l'endroit où se trouvent les utilisateurs et les appareils qu'ils utilisent. En adoptant un modèle Zero Trust, les organisations peuvent remédier aux limitations intrinsèques de la sécurité périmétrique.
Cependant, de nombreuses entreprises n'en sont pas encore là. En fait, beaucoup ne sont pas très avancés dans leur parcours Zero Trust. Sur une échelle de un à dix ? « Je dirais quatre », a déclaré Menny Barzilay, PDG et cofondateur de la plateforme de cybersécurité Milestone, et partenaire chez Cytactic. Personnellement, je dirais six au mieux.
J’ai récemment discuté du problème de la sécurité périmétrique avec Menny Barzilay et Khalid Kark, le DSI de Cloudflare pour les Amériques. Nous avons évoqué les vulnérabilités traditionnelles de la sécurité périmétrique mises en lumière dans le Rapport 2025 Cloudflare Signals, et nous avons étudié la manière dont la transition vers un modèle Zero Trust peut contribuer à résoudre ces problèmes.
Nous sommes tous d'accord : il est impératif de progresser dans un parcours Zero Trust pour protéger les organisations dans l'environnement actuel des menaces. Mais parvenir, il ne suffira pas de se contenter d'acheter une solution unique.
Remplacer le périmètre par une sécurité fondée sur l'identité
Avant que les organisations puissent passer à un nouveau modèle de sécurité, il est important de comprendre d'où elles viennent. Pendant des années, les organisations ont concentré leurs efforts de cybersécurité sur la protection de leur périmètre de réseau, qui coïncidait fortement avec le périmètre physique des bureaux d'entreprise. Ils ont protégé ce périmètre du réseau derrière un pare-feu dans leur datacenter sur site.
Aujourd'hui, les organisations se sont étendues bien au-delà de leurs bureaux physiques. Les employés travaillent de partout, en utilisant des applications basées sur le cloud. Comme l’a dit Menny Barzilay, « le périmètre est difficile à définir dans la réalité d’aujourd’hui ».
Au lieu de défendre les organisations comme si elles étaient des châteaux avec des douves, les responsables de la cybersécurité ont besoin d'un modèle entièrement nouveau. La plupart d'entre eux s'accordent à dire que l'identité constituera un élément essentiel de ce modèle. Bien sûr, ce n'est pas aussi simple que la simple vérification de l'identité d'un utilisateur. Les organisations doivent intégrer un contexte supplémentaire pour chaque demande d'accès ainsi que le niveau de sécurité des appareils de l’utilisateur.
Si elles font les choses correctement, les gains en matière de sécurité sont énormes. « Il existe une théorie selon laquelle si vous parvenez à résoudre le problème de l'identité, vous pouvez résoudre la cybersécurité », explique Menny Barzilay. « Si vous savez que la bonne personne utilise les bonnes données avec le bon appareil… vous n'avez pas de problème de cybersécurité. »
Résoudre le problème de l'identité est un objectif principal de la mise en œuvre d'un modèle de sécurité Zero Trust. Le principe fondateur de ce modèle est le suivant : ne jamais faire confiance, toujours vérifier. Plutôt que de faire confiance à tous ceux qui parviennent à traverser les « douves » entourant votre château (et leur donner accès à toutes les ressources), l'approche Zero Trust part du principe qu'il existe des risques aussi bien à l'intérieur qu'à l'extérieur de votre réseau. Les outils Zero Trust vérifient l'utilisateur, le contexte et l'appareil avant d'accorder l'accès à des données et applications spécifiques.
Comme l'a fait remarquer Khalid Kark lors de notre récente discussion, le Zero Trust n'est pas une solution unique et spécifique : « C'est en fait un état d'esprit. » Menny Barzilay le rejoint sur ce point : « Il s'agit de comprendre et de reconnaître que personne ne doit faire confiance par défaut à quoi que ce soit. » « Il faut tout vérifier. »
Je considère également le Zero Trust comme un voyage ; et le point de départ importe peu. Toutefois, la plupart des organisations commencent par identifier leurs scénarios les plus problématiques.
« Si vous parvenez à résoudre le problème de l'identité, vous parvenez à résoudre la cybersécurité. »
Menny Barzilay, directeur général et cofondateur de Milestone, et cofondateur et partenaire chez Cytactic
Identifier une première destination : trouver un cas d'utilisation clé pour Zero Trust
Un modèle de sécurité Zero Trust peut vous aider à faire face à certaines des menaces les plus pressantes créées par l'explosion du travail hybride et des ressources basées sur le cloud. Par exemple, vous pouvez remplacer les solutions d'accès à distance obsolètes, contrôler l'informatique fantôme (Shadow IT) et simplifier la sécurité pour les utilisateurs.
1. Remplacez les VPN traditionnels
Les attaquants savent que s'ils parviennent à voler les identifiants VPN d'un seul utilisateur, ils peuvent obtenir un accès étendu au réseau d'une entreprise. La transition vers une sécurité Zero Trust centrée sur l'identité peut contribuer à régler ce grave problème. Avec Zero Trust, vous pouvez appliquer une vérification continue des utilisateurs et mettre en œuvre une authentification contextuelle sur les charges de travail cloud et les applications SaaS (Software-as-a-Service). Si des attaquants parviennent encore à accéder à distance à votre réseau, le principe d'accès au moindre privilège limite l'importance de l'infiltration, empêchant le mouvement latéral.
Le remplacement d'un VPN par la sécurité Zero Trust présente des avantages supplémentaires : les utilisateurs bénéficient d'une expérience plus fluide et à plus faible latence lorsqu'ils se connectent aux ressources. Vous pouvez également faire évoluer l'accès Zero Trust plus rapidement et de manière plus économique que dans le cas d'une solution VPN. Votre équipe informatique peut réduire la complexité administrative de la gestion des accès à distance et hybrides.
2. Contrôlez l'informatique fantôme (Shadow IT)
Les fournisseurs de cloud rendent l'adoption de nouveaux services incroyablement facile, y compris des services d'IA. En conséquence, les employés individuels et les équipes s'inscrivent souvent à ces services sans consulter le service informatique. Ce type d'informatique fantôme (ou IA fantôme) rend de plus en plus difficiles la surveillance et la sécurisation des applications cloud et des environnements cloud. L'utilisation même des outils de collaboration basés sur le cloud, même les plus simples, peut mettre en péril les données sensibles.
La mise en œuvre de courtiers de sécurité d'accès au cloud (CASB), d'outils de découverte basés sur l'IA et de l'application automatisée des politiques dans le cadre de la sécurité Zero Trust peut vous faire gagner une visibilité et un contrôle en temps réel sur l'utilisation des services cloud non autorisés.
3. Mettez fin à l'ère des mots de passe.Même si les acteurs malveillants utilisent l'IA pour élaborer des tactiques plus sophistiquées, l'identité reste un vecteur d'attaque principal. Comme l'indique le rapport, au cours du premier trimestre 2024,25 % des engagements de Cisco en matière de réponse aux incidents étaient liés à l'acceptation par des utilisateurs de notifications push d'authentification multifactorielle (MFA) frauduleuses. Les pirates informatiques détournent également les sessions actives et volent les informations d'identification par d'autres moyens, exposant ainsi les entreprises à des violations généralisées et à des usurpations de comptes.
En particulier, les organisations sont confrontées à plusieurs difficultés liées à l'identité :
Réutilisation des identifiants : selon le rapport, l'analyse des identifiants compromis a révélé que 46 % de toutes les tentatives de connexion humaines (et 60 % des tentatives de connexion d'entreprise) impliquaient des identifiants compromis.
Attaques automatisées par les identifiants : l'analyse des identifiants compromis a montré que 94 % des tentatives de connexion utilisent des identifiants divulgués provenant de bots, capables de tester des milliers de mots de passe volés par seconde.
Mots de passe trop faibles : les mots de passe statiques et même les méthodes MFA basiques sont souvent inefficaces contre les menaces modernes, y compris le détournement de session et le vol d'identifiants résistants au phishing.
Il est temps de laisser derrière nous la sécurité traditionnelle basée sur les mots de passe. La mise en œuvre de contrôles d'accès Zero Trust avec authentification sans mot de passe, analyse comportementale, révocation automatisée des identifiants et autres fonctionnalités peut contribuer à atténuer les risques potentiels liés aux mots de passe statiques simples et à l'AMF basique.
Identifiez votre point de départ pour le parcours Zero Trust
Une fois que vous avez identifié le bon cas d'utilisation, vous devez inventorier et auditer vos applications. L'objectif est de déterminer qui a déjà accès à chaque application et qui ne devrait pas y avoir accès. De nombreux parcours Zero Trust échouent parce que les organisations négligent ces audits.
À ce stade, vous pouvez choisir une solution de sécurité Zero Trust. Il est vrai que le Zero Trust est davantage un modèle ou une philosophie qu'une solution unique. Cependant, choisir la solution Zero Trust adéquate vous permet d'appliquer les principes et politiques Zero Trust que vous établissez.
Bien que les solutions Zero Trust soient importantes, trop d'organisations commencent par acheter la solution, sans aller plus loin dans leur parcours. En effectuant toute la préparation au préalable, y compris le choix d'un cas d'utilisation et la réalisation d'audits, vous vous assurez d'investir votre temps et votre énergie de manière à obtenir les résultats escomptés.
Le parcours sera plus facile pour certaines organisations que pour d'autres. Comme l’a précisé Menny Barzilay, les start-ups peuvent mettre en œuvre la sécurité Zero Trust dès le premier jour et éviter les obstacles potentiels liés au remplacement des solutions héritées. Mais pour d'autres organisations, cibler un cas d'utilisation spécifique, tel que la sécurisation de l'accès à distance, vous aidera à obtenir un succès relativement rapide qui peut dynamiser la progression de votre organisation.
Malheureusement, la plupart des entreprises ne sont pas encore très avancées dans leur parcours au sein de l'univers Zero Trust. En attendant, elles doivent faire face à la fois à grande promesse et aux craintes de l'IA. Si l'IA fait naître de nouveaux obstacles, comme la nécessité de gérer l'identité non humaine, elle permettra de détecter plus efficacement les menaces et d'améliorer automatiquement le niveau de sécurité d'une organisation.
Néanmoins, Khalid Kark, Menny Barzilay et moi-même sommes tous d'accord sur le fait qu'il est essentiel de progresser dans le parcours Zero Trust. La sécurité Zero Trust permet de combler les lacunes des solutions périmétriques. Parallèlement, elle réduit de manière significative la complexité et les coûts liés à la sécurité. Au lieu de gérer plusieurs outils, vous pouvez adopter une approche unifiée pour protéger les ressources en vous concentrant sur l'identité.
Passer au Zero Trust
Le cloud de connectivité de Cloudflare est une plateforme de services cloud-native qui peut simplifier la transition d'une sécurité périmétrique traditionnelle vers un modèle de sécurité Zero Trust. Avec l'accès réseau Zero Trust de Cloudflare, par exemple, vous pouvez remplacer votre VPN tout en élevant votre niveau de sécurité et en offrant de meilleures expériences utilisateur, le tout avec une gestion simplifiée. La plateforme de Cloudflare propose également des services pour regagner de la visibilité et du contrôle sur l'informatique et bloquer les attaques d'identité basées sur des bots. Ensemble, ces services vous permettent de progresser dans votre parcours Zero Trust et de laisser derrière vous les anciens modèles de sécurité périmétrique.
Cet article fait partie de notre série consacrée aux nouvelles tendances et évolutions qui intéressent les décideurs en matière de technologies aujourd'hui.
Approfondir le sujet
Découvrez comment la sécurité Zero Trust peut vous aider à bâtir une organisation plus résiliente et découvrez d'autres tendances essentielles en matière de sécurité dans le rapport Cloudflare Signals 2025 : la résilience à grande échelle.
Auteur
Steve Pascucci — @StevePascucci Responsable du Zero Trust, Cloudflare
Conclusions essentielles
Cet article vous permettra de mieux comprendre les aspects suivants :
Les raisons pour lesquelles la sécurité périmétrique traditionnelle ne suffit plus
Comment le modèle Zero Trust s'est imposé comme un impératif en matière de sécurité moderne
Où commencer votre parcours Zero Trust
Ressources associées
Rapport Cloudflare Signals Report 2025 : la résilience à grande échelle
Relever le défi de la modernisation numérique : perspectives de dirigeants