Pratiques de cybersécurité avec vérification systématique (Zero Trust)

Approche pour protéger les PME contre les cyber-incidents

Au sein de notre monde virtuel en constante évolution, pourquoi l’archétype du château et des fossés est-il désuet et pourquoi de nombreuses organisations – y compris les PME – évoluent-elles vers un modèle de sécurité avec vérification systématique (Zero Trust) pour mieux protéger leurs données dans les environnements réseaux complexes et distribués d’aujourd’hui? D’une part, l’archétype du château et des fossés en cybersécurité est un modèle de sécurité réseau traditionnel dans lequel le réseau est compris comme un château et les défenses du périmètre (pares-feux et systèmes de détection d’intrusion) sont les fossés[1]. Comment fonctionne l’archétype du château et des fossés¹? Dans l’archétype du château et des fossés, l’organisation se concentre sur la construction de solides défenses externes (les fossés) pour protéger tout ce qui se trouve à l’intérieur du réseau (le château). Cette approche suppose que tout ce qui se trouve à l’intérieur du réseau est digne de confiance, tandis que l’objectif principal est d’empêcher les cyberattaquants de pénétrer.

D’autre part, le modèle de sécurité avec vérification systématique est un cadre de sécurité robuste qui renverse les prémices de la sécurité réseau traditionnelle. Au lieu de supposer que tout ce qui se trouve à l’intérieur du réseau d’une organisation est sécuritaire, le modèle de sécurité avec vérification systématique prône l’état d’esprit suivant : « ne jamais faire confiance, toujours vérifier ». Cela signifie que chaque demande d’accès, qu’elle provienne de l’intérieur ou de l’extérieur du réseau, doit être authentifiée, autorisée et validée en permanence. L’objectif ultime du modèle de sécurité avec vérification systématique est d’aider les organisations, y compris les PME, à mieux protéger leurs données, à réduire les risques de cybermenaces dommageables, et à améliorer la résilience globale en matière de cybersécurité. Il s’agit davantage d’une approche proactive et intégrale pour protéger les informations confidentielles dans un paysage numérique de plus en plus complexe.

[1] Mark Buckwell, Stefaan Van Daele & Carsten Horst. Security Architecture for Hybrid Cloud: A Practical Method for Designing Security Using Zero Trust Principles. Paperback 1st Edition published on the 3rd of September 2024 by O’Reilly Media – American Publishing Company, Sebastopol, California, USA, 474 pages. Security Architecture for Hybrid Cloud [Book]

Origine de l’archétype du château et des fossés

L’archétype du château et des fossés est un modèle de sécurité réseau à l’ancienne qui trouve son origine dans le concept des châteaux médiévaux. Dans ce modèle, le « château » représente le réseau interne de l’organisation et le « fossé » symbolise le périmètre du réseau. L’idée est de construire de solides défenses autour du périmètre pour empêcher les menaces extérieures d’entrer, un peu comme les murailles et les fossés d’un château le protègent des envahisseurs. L’archétype du château et des fossés s’inspire des défenses des châteaux médiévaux. Imaginez un château entouré de fossés profonds et larges. Ces fossés servent de barrières contre les envahisseurs. De même, dans le contexte de la sécurité informatique préliminaire et de la cybersécurité contemporaine, le fossé incarne les défenses du périmètre – comme les pares-feux et les systèmes de détection d’intrusion – qui protègent le réseau des menaces externes. Un tel archétype est devenu populaire à mesure que les organisations ont cherché à protéger leurs réseaux internes contre des attaques potentielles. Le château symbolise le réseau interne et les systèmes fiables et protégés, tandis que les fossés symbolisent les mesures de sécurité mises en place pour empêcher les utilisateurs non autorisés de pénétrer à l’intérieur.

Au fil du temps, l’analogie a évolué pour s’adapter aux stratégies de sécurité du réseau, soulignant la nécessité de se protéger contre les menaces externes tout en préservant la confiance au sein du réseau protégé. Largement adopté au commencement de la sécurité informatique, cet archétype était efficace lorsque la plupart des données et applications d’entreprise étaient hébergées dans un centre de données physique, où les organisations utilisaient principalement des réseaux sur place et les employés y accédaient à partir d’emplacements fixes à l’aide d’appareils appartenant à l’entreprise. L’emphase était mise sur la protection du périmètre du réseau avec des pares-feux, des systèmes de détection d’intrusion et d’autres mesures de sécurité. Néanmoins, avec l’essor du télétravail, de la technologie de l’infonuagique et des appareils mobiles, l’archétype du château et des fossés est devenu progressivement moins efficace et finalement obsolète.

Quelques défaillances de l’archétype du château et des fossés

Les menaces internes : une fois qu’un attaquant franchit les fossés, il a toute la liberté pour agir à l’intérieur du château, car les défenses internes sont souvent plus faibles.
La mobilité accrue : avec l’essor du télétravail, des appareils mobiles et des services infonuagiques, le périmètre du réseau est devenu plus pénétrable, rendant le fossé moins efficace.
Les menaces rusées : les cybermenaces modernes, telles que les menaces persistantes rusées (MPR), peuvent contourner les défenses périmétriques traditionnelles.

Changement de paradigme : passage de l’archétype du château et des fossés au modèle de sécurité avec vérification systématique

Les limites de l’archétype du château et des fossés ont mené à l’adoption du modèle de sécurité avec vérification systématique, qui suppose que les menaces peuvent exister à l’intérieur et à l’extérieur du réseau. Le modèle de sécurité avec vérifications systématique se concentre sur la vérification continuelle de chaque utilisateur et de chaque appareil, quel que soit leur emplacement, et il garantit un accès aux ressources avec le moins de privilèges possible. Voici une illustration picturale de ce que nous avons décrit jusqu’à présent :

Illustration picturale de l’archétype du château et des fossés + Concept de défense en profondeur avec plusieurs murailles

[1] Source: Defense in Depth: A Castle Analogy – Atmosera

L’archétype du château et des fossés

Le château : représente le réseau interne. Par défaut, tout ce qui se trouve à l’intérieur du réseau est approuvé.
Le fossé : symbolise les défenses du périmètre du réseau. Ces défenses sont conçues pour empêcher les menaces extérieures de pénétrer à l’intérieur.
Le pont-levis : évoque les points d’accès au réseau. Une fois à l’intérieur, les utilisateurs peuvent accéder à toutes les ressources du réseau.

Caractéristiques clés de l’archétype du château et des fossés

Défenses du périmètre : elles se concentrent sur la protection du périmètre du réseau avec des pares-feux, un système de détection d’intrusion (SDI), un système de prévention des intrusions (SPI) et d’autres mesures de sécurité.
Confiance interne : elle suppose que tout ce qui se trouve à l’intérieur du réseau est sécuritaire et digne de confiance.
Point d’entrée unique : il s’appuie sur un point d’entrée unique et bien défendu vers le réseau.

Problèmes avec l’archétype du château et des fossés

Menaces internes : une fois que le cyberattaquant franchit le périmètre, il peut librement accéder à l’ensemble du réseau.
Modèle désuet : dans le sillage de l’essor de la technologie de l’infonuagique et du télétravail, les données ne sont plus confinées à un seul emplacement.
Flexibilité limitée : ne convient pas aux environnements modernes et distribués.

Quelle est l’alternative moderne à l’archétype désuet du château et des fossés?

L’alternative actuelle à l’archétype désuet du château et des fossés est le modèle de sécurité avec vérification systématique. En quelques mots, la sécurité avec vérification systématique est un modèle de cybersécurité qui fonctionne sur le principe selon lequel personne, que ce soit à l’intérieur ou à l’extérieur du réseau, ne doit être digne de confiance par défaut¹. Au lieu de cela, tout doit être vérifié en permanence pour assurer la sécurité.

[1] Avinash Naduvath, CCIE. In Zero Trust We Trust: A Practical Guide to Adopting Zero Trust Architectures. Paperback 1st Edition published on the 9th of April 2024 by Cisco Press, Hoboken, New Jersey, USA, 400 pages. In Zero Trust We Trust | Cisco Press

Origine du modèle de sécurité avec vérification systématique

Le modèle de sécurité avec vérification systématique a été introduit pour la première fois en 1994 par Stephen Paul Marsh[1] dans sa thèse de doctorat sur la sécurité informatique à l’Université de Stirling (Écosse). Les travaux de Marsh ont proposé que la confiance soit considérée comme limitée et mathématiquement descriptible, plutôt que de s’appuyer sur des facteurs humains comme la moralité ou l’éthique. Le concept a gagné en popularité au début des années 2000 jusqu’à nos jours, lorsque les organisations ont commencé à reconnaître les limites des modèles de sécurité traditionnels fondés sur le périmètre, en particulier avec l’essor du télétravail, des technologies d’infonuagique, des appareils mobiles et de la pratique AVAP (Apporter votre appareil personnel). L’idée était de vérifier en permanence l’identité et la fiabilité des utilisateurs et des appareils, quel que soit leur emplacement, et de fournir un accès aux ressources sur la base de principes stricts de vérification d’identité et de moindre privilège.

Principes clés du modèle de sécurité avec vérification systématique

Supposition d’une violation : fonctionne sous l’hypothèse que des menaces pourraient exister à la fois à l’intérieur et à l’extérieur du réseau.
Vérification continuelle : nécessite une vérification constante de chaque utilisateur et appareil tentant d’accéder aux ressources, quel que soit leur emplacement.
Accès au moindre privilège : accorde aux utilisateurs le niveau d’accès minimal nécessaire pour effectuer leurs tâches, réduisant ainsi le risque de mouvement latéral au sein du réseau.
Micro-segmentation : divise le réseau en segments plus petits et isolés pour limiter la propagation des violations potentielles.
Authentification forte : utilise l’authentification multifactorielle (AMF) pour s’assurer que les utilisateurs sont bien ceux qu’ils prétendent être.
Surveillance constante : surveillez en permanence le trafic réseau pour détecter toute activité suspecte et répondez rapidement aux menaces potentielles.

Composantes essentielles du modèle de sécurité avec vérification systématique

Vérification de l’identité : s’assure que seuls les utilisateurs authentifiés et autorisés peuvent accéder aux ressources.
Sécurité des appareils : surveille en permanence la conformité des appareils aux politiques de sécurité.
Segmentation du réseau : isole différentes parties du réseau pour contenir les violations potentielles.
Cryptage des données : crypte les données en transit et au repos pour les protéger contre tout accès non autorisé.
Surveillance continuelle : surveille en permanence le trafic réseau pour détecter toute activité suspecte.
Authentification forte : implémentez l’authentification multifactorielle (AMF) pour vous assurer que les utilisateurs sont bien ceux qu’ils prétendent être.

Quelques bénéfices du modèle de sécurité avec vérification systématique

Sécurité renforcée : offre une protection accrue contre les menaces internes et externes.
Évolutivité : s’adapte aux environnements modernes et distribués, y compris le nuage et le travail à distance.
Conformité : aide les organisations à répondre aux exigences réglementaires et de conformité.

En quelques mots, le modèle de sécurité avec vérification systématique est conçu pour combler les lacunes de l’archétype du château et des fossés, et il fournit des pratiques de cybersécurité plus robustes et plus flexibles pour protéger les données et les ressources confidentielles dans les environnements informatiques multiformes et dynamiques d’aujourd’hui. Vous trouverez ci-dessous un résumé de quelques fausses conceptions sur la vérification systématique et quelques explications sur la véritable nature de la vérification systématique[2].

Quelques fausses conceptions sur la vérification systématique

Les explications factuelles et la brève analyse suivantes ont été abrégées à partir de la monographie[3] référencée dans la note de bas de page ci-dessous :

Vérification systématique signifie zéro violation : bien que la vérification systématique réduise considérablement le risque des violations, elle ne rend pas une organisation à l’abri de celles-ci. Il s’agit de prévenir les cyber-incidents nuisibles et de minimiser les dommages en cas d’intrusion.
Vérification systématique concerne uniquement la technologie : la technologie joue un rôle crucial, mais la vérification systématique englobe également les politiques, les procédures et les changements culturels au sein d’une organisation. Il s’agit essentiellement d’une approche holistique de la cybersécurité.
Vérification systématique se rapporte uniquement à la vérification de l’identité : la vérification de l’identité est un élément clef, mais la vérification systématique inclut également la segmentation du réseau, la surveillance continuelle et l’application du principe du moindre privilège.
Vérification systématique est un projet ponctuel : la mise en œuvre de la vérification systématique est un processus continuel qui nécessite une évaluation, une adaptation, une correction et une amélioration constantes à mesure que les cybermenaces évoluent et que l’organisation change.
Vérification systématique est trop complexe et coûteux : bien que la mise en œuvre de la vérification systématique puisse nécessiter un investissement en temps et en ressources, elle peut être abordée de manière progressive. Les avantages à long terme d’une cybersécurité améliorée et d’une réduction des risques l’emportent souvent sur les coûts initiaux.

En comprenant et en résolvant ces fausses conceptions courantes, les organisations peuvent mettre en œuvre plus efficacement la vérification systématique et renforcer leur posture globale de cybersécurité.

En réalité, qu’est-ce que la vérification systématique?

La vérification systématique est une philosophie de cybersécurité ou un état d’esprit des opérations entrepreneuriales visant à créer un modèle de sécurité défendable, englobant une variété de mesures de sécurité, de capacités, de meilleures pratiques et de briques technologiques différentes.
La vérification systématique est un changement majeur dans l’approche de la sécurité afin d’établir, de manière dynamique et holistique, la confiance avec « un inconnu », qu’il s’agisse d’un être humain ou d’une machine.
La vérification systématique est un modèle axé sur les principes et centré sur les données, lequel modèle impose une vérification continuelle et une visibilité de la confiance en fonction du risque.
La vérification systématique n’est pas seulement un produit ou une technologie unique : c’est une approche intégrale qui implique l’intégration de diverses mesures et pratiques de sécurité pour créer une défense renforcée contre la montée des cybermenaces. Il s’agit de rendre la cybersécurité omniprésente et intrinsèque à l’ensemble de l’organisation.

[1] Stephen Paul Marsh. Formalising Trust as A Computational Concept: Doctoral Thesis on Computational Security. University of Sterling, Department of Computing Science and Mathematics, Scotland, 1994. Published in e-format by Google Books, 170 pages. Formalising Trust as a Computational Concept – Stephen Paul Marsh – Google Books

[2] World Economic Forum (WEF) – International Community Paper 2022. The “Zero Trust” Model in Cyber Security: Towards Understanding and Deployment. WEF Headquarters, Geneva, Switzerland, 19 pages. https://www3.weforum.org/docs/WEF_The_Zero_Trust_Model_in_Cybersecurity_2022.pdf

[3] Greyson Chesterfield. Zero Trust Architecture Implementation: Modern Security Models for Enhanced Protection. Published on the 27th of January 2025 by Amazon USA Publishing, Seattle, State of Washington, USA, 227 pages. Zero Trust Architecture Implementation: Modern Security Models for Enhanced Protection: Chesterfield, Greyson: 9798306487694: Books – Amazon.ca

Comparaison conceptuelle entre l’archétype du château et des fossés et le modèle de sécurité avec vérification systématique

Pour la rétention des connaissances destinées aux PME, entrepreneurs et lecteurs partout au Canada, faisons brièvement une comparaison conceptuelle entre l’archétype du château et des fossés, et le modèle de sécurité avec vérification systématique.

Comparaison conceptuelle pour la rétention des connaissances
Archétype du château et des fossés	Modèle de sécurité avec vérification systématique
Sécurité fondée sur le périmètre : cet archétype se concentre sur la protection du périmètre du réseau avec des pares-feux, des systèmes de détection d’intrusion et des logiciels antivirus.	Aucune confiance implicite : suppose que les menaces peuvent exister à l’intérieur et à l’extérieur du réseau. Chaque demande d’accès doit être vérifiée, quelle que soit son origine.
Confiance à l’intérieur du périmètre : une fois à l’intérieur du réseau, les utilisateurs et les appareils sont considérés comme fiables et ils ont librement accès aux ressources.	Micro-segmentation : divise le réseau en plus petits segments, et par conséquent, limite l’accès et réduit la surface de la cyberattaque.
Couche de défense unique : la défense principale est à la limite du réseau, l’accent étant moins mis sur les menaces internes.	Authentification robuste des utilisateurs et des appareils : nécessite une authentification à la fois à la périphérie du réseau et à l’intérieur du périmètre, en utilisant des outils tels que l’authentification multifactorielle (AMF) pour garantir l’identité de l’utilisateur via plusieurs méthodes de vérification.
Obsolète par rapport aux besoins modernes : cette approche est confrontée à des menaces modernes telles que les systèmes infonuagiques et l’accès à distance.	Surveillance continuelle : surveille, revérifie et évalue en permanence les demandes d’accès et le comportement des utilisateurs. Adaptable et évolutif : mieux adapté aux réseaux modernes et dispersés, et aux environnements technologiques de l’infonuagique.
Conceptualisé et comparé succinctement, l’archétype désuet du château et des fossés s’appuie sur une solide défense périmétrique et il fait confiance à tout ce qui se trouve à l’intérieur, tandis que le nouveau modèle de sécurité avec vérification systématique ne suppose aucune confiance implicite et il vérifie systématiquement chaque demande d’accès des utilisateurs, quels que soient leur emplacement et leur localisation.

8 étapes indispensables pour mettre en œuvre le modèle de vérification systématique dans les PME canadiennes

La mise en œuvre de la vérification systématique dans les petites ou moyennes entreprises (PME) canadiennes implique 8 étapes indispensables^1,2 pour améliorer les pratiques de cybersécurité. Pour les PME canadiennes, voici 8 directives, étape par étape, pour vous aider à démarrer :

Étape 1 – Identifiez les actifs essentiels de votre PME

Inventaire : créez un inventaire complet de tous les actifs numériques, y compris les réseaux, les données, les appareils, les charges de travail et les identités.
Priorisation : identifiez les actifs les plus essentiels qui nécessitent une protection, tels que les bases de données clients, les dossiers financiers et les renseignements d’identification des employés.

Directives générales

Commencez par identifier les données, les applications et les systèmes les plus importants de votre entreprise.
Demandez-vous : quelles informations ou quels outils perturberaient les opérations s’ils étaient compromis?
Quelques exemples de données importantes nécessitant une protection : bases de données clients, dossiers financiers, systèmes de courriel, identifiants des employés, etc.
Outils : Utilisez un outil de gestion d’actifs tel que le logiciel gratuit Spiceworks pour gagner en visibilité.

Étape 2 – Cartographiez l’accès des utilisateurs et des appareils

Audit/vérification : effectuez un audit ou une vérification de tous les utilisateurs, appareils et points de terminaison qui accèdent à votre réseau.
Contrôle d’accès : assurez-vous que des contrôles d’accès sont en place pour limiter les personnes pouvant accéder aux actifs essentiels.

Exemple : votre équipe de vente n’a pas besoin d’accéder aux fichiers des ressources humaines (RH).

Conseil : utilisez des outils de visibilité des points de terminaison comme Microsoft Endpoint Manager pour simplifier ce processus.

Étape 3 – Mettez en œuvre une authentification robuste

Authentification multifactorielle (AMF) : implémentez l’authentification multifactorielle pour vérifier les identités des utilisateurs.
Politiques de mot de passe : appliquez des politiques solides en matière de mot de passe.

L’authentification multifactorielle (AMF) garantit que même si les mots de passe sont compromis, les utilisateurs non autorisés ne peuvent pas accéder aux systèmes informatiques de votre PME. L’AMF exige que les utilisateurs vérifient leur identité en utilisant : un mot de passe et un facteur secondaire (c’est-à-dire un code envoyé dans leur téléphone ou leur courriel).

Quelques outils AMF peu coûteux pour les PME

Les principaux ensembles d’outils de productivité intègrent l’authentification multifactorielle et peuvent appliquer des politiques robustes de mots de passe.
Il existe également de nombreux outils abordables qui sont indépendants de ces environnements.

Étape 4 – Appliquez l’accès au moindre privilège

Le principe du moindre privilège signifie que les employés ont uniquement accès aux outils et aux données dont ils ont besoin pour faire leur travail – rien de moins, rien de plus.

Vérifiez les autorisations et supprimez tout accès inutile.
Utilisez le contrôle d’accès basé sur les rôles (CABR) pour définir des autorisations pour des groupes d’employés (comme les RH, les TI, les ventes).

Exemple : un stagiaire du service des ventes n’a pas besoin des droits d’administrateur pour les systèmes réseaux critiques.

Étape 5 – Segmentation du réseau

Segmentation du réseau : divisez votre réseau en segments plus petits et isolés pour limiter la propagation des violations. Par exemple : séparez votre zone de base de données clients de la zone des postes de travail des employés. Si les cyberattaquants compromettent une zone, ils ne peuvent pas facilement se déplacer vers d’autres.
Accès granulaire : mettez en œuvre des contrôles d’accès granulaires pour protéger les données et les systèmes confidentiels.

Outils pour les PME : pares-feux avec capacités de segmentation comme le logiciel libre et gratuit pfSense, ou de nombreux produits commerciaux disponibles sur le marché des pares-feux.

Étape 6 – Surveillance continuelle et détection des cybermenaces

Surveillance du trafic réseau : surveillez en permanence le trafic réseau pour détecter toute activité suspecte.
Détection des cybermenaces : mettre en œuvre des systèmes pour détecter et intervenir rapidement en cas de cybermenaces.

La vérification systématique nécessite une surveillance continuelle pour détecter les anomalies et les activités non autorisées. Utilisez des outils pour surveiller le comportement des utilisateurs, identifier les activités suspectes et réagir rapidement aux cybermenaces potentielles.

Outils pour les PME

Il existe de nombreux produits commerciaux sur le marché, ou il pourrait être intéressant d’envisager certaines versions gratuites ou en code source libre comme AlienVault OSSIM, Wazuh ou Snort qui pourraient valoir la peine d’être explorées.

Étape 7 – Accès sécurisé à distance et protection des terminaux

Accès à distance : assurez un accès sécurisé à distance pour les employés travaillant à partir de différents emplacements.
Protection des points de terminaison : protégez les appareils utilisés pour accéder au réseau avec des mesures de sécurité à jour.

Des outils abordables pour les PME

Pour l’amélioration des PME, voici quelques outils abordables pour l’accès sécurisé à distance et la protection des terminaux, lesquels peuvent vous aider à maintenir des pratiques de cybersécurité proactives sans vous ruiner :

Outils d’accès à distance : outils sécurisés et gratuits

TeamViewer : offre une version gratuite pour un usage personnel.
Apache Guacamole : une passerelle gratuite de bureau à distance sans client qui prend en charge les protocoles réglementaires tels que VNC, RDP et SSH.
TigerVNC : une mise en œuvre de code source libre IRV (Informatique en réseau virtuel) qui vous permet de contrôler un autre ordinateur à distance.

Solutions de protection des terminaux (SPT)

De nombreuses solutions de protection des terminaux (SPT) abordables sont offertes sur le marché. Certains fournisseurs d’organismes sans but lucratif (OBNL) offrent des licences d’utilisation personnelle gratuites. D’autres fournisseurs incluent cette fonctionnalité dans leurs ensembles d’outils de productivité.

Étape 8 – Cryptage/chiffrement des données et canaux de communication sécurisés

Cryptage des données : cryptez les données en transit et au repos pour les protéger contre tout accès non autorisé.
Canaux sécurisés : utilisez des canaux de communication sécurisés pour la transmission de données.

Des outils abordables pour les PME

Vous trouverez ci-dessous quelques outils abordables pour le cryptage des données et les canaux de communication sécurisés qui peuvent aider les PME à protéger leurs renseignements personnels :

Outils de cryptage/chiffrement des données

Microsoft Windows 11 Professionnel et Mac OS offrent une option gratuite pour crypter votre stockage.
L’outil de compression en code source libre 7Z offre une option de cryptage gratuite.
Cryptomator : un logiciel de cryptage gratuit et en code source libre, facile à utiliser avec Mac et Windows.
VeraCrypt : un logiciel de cryptage de disque en code source libre doté de nombreuses fonctionnalités avancées.

Canaux de communication sécurisés

ProtonMail : un service de messagerie sécurisé qui offre un plan de démarrage gratuit et fournit un chiffrement de bout en bout.
Signal : une application de messagerie gratuite avec chiffrement de bout en bout pour des messages texte et des appels sécurisés.
Threema : une application de messagerie texte sécurisée qui offre un chiffrement de bout en bout et elle est disponible moyennant des frais uniques d’environ 3.00 $.

Option suggérée : mettre en œuvre la vérification systématique avec l’aide d’un expert

Consultez des experts : envisagez de demander l’aide d’un expert pour vous aider à mettre en œuvre efficacement la vérification systématique.
Formation : formez les employés aux meilleures pratiques de sécurité et à l’importance de la vérification systématique.

[1] John Finney. Project Zero Trust: A Story about a Strategy for Aligning Security with the Business. Forward by John Kindervag. Paperback edition published on the 4th of August 2022 by John Wiley & Sons, Inc., Hoboken, New Jersey, USA, 224 pages. Project Zero Trust: A Story about a Strategy for Aligning Security and the Business | Wiley

[2] Mark Simos & Nikhil Kumar. Zero Trust Overview and Playbook Introduction: Guidance for Business, Security, and Technology Leaders and Practitioners. Published on the 30th of October 2023 by Packt Publishing, Birmingham, UK, 240 pages. Zero Trust Overview and Playbook Introduction | Cloud & Networking | eBook

Avantages pour les PME de mettre en œuvre la vérification systématique avec l’aide d’un expert

Solutions sur mesure : les experts peuvent fournir des solutions personnalisées qui correspondent à vos objectifs commerciaux spécifiques et à vos exigences de sécurité.
Mise en œuvre efficace : avec les conseils d’experts, le processus de mise en œuvre peut être plus efficace et moins perturbateur pour vos opérations.
Soutien continuel : le soutien continuel des experts garantit que votre environnement de vérification systématique demeure robuste et à jour.

En suivant les 8 étapes décrites ci-dessus pour mettre en œuvre le modèle de vérification systématique, les PME partout au Canada peuvent concevoir un cadre de sécurité robuste pour la vérification systématique qui protège leurs précieux clients et elles-mêmes contre les cybermenaces internes et externes.

Architecture de vérification systématique (AVS) pour les PME qui sont en expansion

Essentiellement une stratégie de conception et de mise en œuvre de systèmes et de réseaux informatiques, le concept d’architecture de vérification systématique (AVS) a été introduit pour la première fois en 2010 par John Kindervag¹, ancien Analyste en Informatique chez Forrester Research Inc. Les travaux de Kindervag ont mis l’accent sur l’élimination de la confiance implicite au sein des systèmes et des réseaux informatiques, et sur la vérification continuelle de l’identité et de la fiabilité des utilisateurs et des appareils à chaque étape de l’interaction numérique. Les principes² de l’architecture de vérification systématique (AVS) se concentrent principalement sur la vérification continuelle, l’accès au moindre privilège et la micro-segmentation pour protéger les environnements modernes et permettre la transformation numérique. À la base de ces principes d’AVS se trouve l’attitude fondamentale selon laquelle les utilisateurs et les appareils ne doivent pas être approuvés par défaut, même s’ils sont connectés à un réseau privilégié et fiable tel qu’un réseau local d’entreprise (RLE, en anglais = LAN), et même s’ils ont été préalablement vérifiés. De cette manière, le concept d’architecture de vérification systématique (AVS) contraste avec les anciens modèles de sécurité qui supposaient la confiance de tous les utilisateurs et appareils à l’intérieur du périmètre du réseau. L’architecture de vérification systématique (AVS) est particulièrement bénéfique pour les petites et moyennes entreprises (PME) qui se développent rapidement pour devenir des organisations plus grandes.

[1] John Kindervag. “Build Security into Your Network’s DNA: The Zero Trust Network Architecture”. 27-page paper published on the 5th of November 2010 by Forrester Research Inc., Cambridge, Massachusetts, USA. Forrester_zero_trust_DNA.pdf

[2] Nathan Howe, Sanjit Ganguli & Gerard Festa. Seven Elements of Highly Successful Zero Trust Architecture. Hardcover edition published on 22nd May 2023 by Zscaler Inc., American Cloud Security Company headquartered in San Jose, California, USA. 162 pages. Seven Elements of Highly Successful Zero Trust Architecture | Zscaler

Conseils AVS suggérés aux PME qui sont en expansion

Choisissez des solutions AVS qui peuvent évoluer avec la taille des PME respectives.
Automatisez les processus parce qu’une plus grande organisation signifie plus d’éléments à gérer.
Établissez votre cadre de cybersécurité avec des politiques et des procédures documentées et assurez-vous de consigner toutes les actions de cybersécurité.

La mise en œuvre de l’architecture de vérification systématique (AVS) peut améliorer considérablement la posture de cybersécurité de vos PME en expansion en garantissant que chaque demande d’accès est vérifiée et que les cybermenaces sont détectées et atténuées rapidement. Certains des principaux avantages AVS pour les PME en pleine croissance sont résumés comme suit : des pratiques de cybersécurité améliorées, une protection pour le télétravail, une compatibilité avec les services d’infonuagique, une évolutivité et une flexibilité adaptées aux besoins des PME en pleine expansion, la conformité aux exigences réglementaires et des bénéfices rentables à long terme.

Conclusion

Après notre exploration condensée des pratiques de cybersécurité avec vérification systématique protégeant les PME canadiennes contre les cyber-incidents nuisibles, il reste encore deux (2) questions auxquelles nous devons répondre en guise de conclusion à notre Infolettre du mois de février 2025?

Question conclusive 1 : comment le modèle de sécurité avec vérification systématique pour les PME évoluera-t-il dans un avenir rapproché?
Question conclusive 2 : comment les pratiques de cybersécurité avec vérification systématique seront-elles avantageuses pour les PME?

Réponse désignée à la question conclusive 1 : comment le modèle de sécurité avec vérification systématique pour les PME évoluera-t-il dans un avenir rapproché?

L’avenir de la vérification systématique pour les PME s’annonce prometteur et devrait évoluer de manière distinctive. Voici quelques tendances et perspectives notables^1,2,3 concernant les pratiques de cybersécurité avec vérification systématique pour l’amélioration des PME :

Tendances et perspectives notables relatives aux pratiques de cybersécurité avec vérification systématique pour les PME

Adoption généralisée : la vérification systématique devient le modèle de sécurité par défaut pour les entreprises. Au fur et à mesure que les PME continuent d’adopter des services technologiques d’infonuagique et des modèles de travail hybrides, la vérification systématique deviendra essentielle pour protéger leurs données et leurs systèmes.
Intégration avec SASE : le périphérique de Service d’accès sécurisé d’entreprise (SASE) jouera un rôle crucial dans l’évolution de la vérification systématique. SASE combine des fonctions de sécurité réseau avec des capacités de réseau étendu (RE, en anglais : Wide Area Network = WAN) pour prendre en charge les environnements informatiques dynamiques et faciliter les besoins d’accès sécurisé des PME.
Automatisation et IA : l’utilisation de l’automatisation et de l’intelligence artificielle (IA) améliorera les mises en œuvre de la vérification systématique. L’IA peut aider à la détection des cybermenaces en temps réel, à l’intervention face aux cyber-incidents, et à la vérification continue des utilisateurs et des appareils.
Concentration sur les menaces internes : à cause de l’essor du télétravail, les cybermenaces internes deviennent de plus en plus importantes. La vérification systématique se concentrera de plus en plus sur l’atténuation de ces cybermenaces en surveillant et en vérifiant en permanence toutes les tentatives d’accès.
Plateformes de sécurité unifiées : il y aura une évolution vers des plateformes de sécurité unifiées qui offrent une visibilité de bout en bout et des intégrations entre produits. Cela simplifiera les opérations et réduira les coûts pour les PME.
Formation de sensibilisation à la vérification systématique : en raison de la prolifération des cybermenaces complexes, notamment les attaques d’hameçonnage fondées sur l’IA, les PME vont prioriser la formation de sensibilisation à la vérification systématique pour leurs employés. Une formation régulière aide les employés à reconnaître et à résister aux tentatives d’hameçonnage et autres tactiques de manipulation psychologique.
Sécurité de la chaîne d’approvisionnement : les PME sont de plus en plus conscientes des risques reliés aux attaques de la chaîne d’approvisionnement. Il est essentiel de s’assurer que les fournisseurs réguliers et les fournisseurs de services tiers adhèrent aux principes de la vérification systématique pour mettre en œuvre, appliquer, gérer et maintenir des pratiques intégrales de saine cybersécurité.

Réponse désignée à la question conclusive 2 : comment les pratiques de cybersécurité avec vérification systématique seront-elles avantageuses pour les PME?

Avantages des pratiques de cybersécurité avec vérification systématique pour les PME

Posture de sécurité renforcée
En mettant en œuvre les principes de la vérification systématique, les PME peuvent réduire considérablement les risques de cyberattaques. L’authentification et l’autorisation continuelles garantissent que seuls les utilisateurs et les appareils de confiance peuvent accéder aux renseignements confidentiels.
Dommages minimisés causés par les violations
Grâce à la vérification systématique via micro-segmentation et accès au moindre privilège, même si une violation se produit, l’impact est limité et les dommages potentiels sont minimisés. Les cyberattaquants ne peuvent pas se déplacer latéralement à l’intérieur du réseau.
Amélioration de la conformité
Les pratiques de la vérification systématique aident les PME à répondre aux exigences réglementaires et de conformité en appliquant des contrôles d’accès stricts et une surveillance continuelle. Cela peut être particulièrement bénéfique pour les secteurs soumis à des réglementations strictes en matière de protection des données.
Évolutivité
La vérification systématique est évolutive et elle peut se transformer avec l’entreprise. Les PME peuvent commencer avec les composantes essentielles et étendre progressivement leur architecture de vérification systématique (AVS) à mesure que leurs besoins et leurs ressources évoluent.
Sécurité économique
Bien que la mise en œuvre initiale puisse nécessiter un investissement, la vérification systématique peut être rentable à long terme. En prévenant les violations et en minimisant les dommages, les PME peuvent économiser sur les coûts relatifs à la perte de données, aux temps d’arrêt et à la récupération après une cyber attaque.
Adaptabilité au travail à distance
Avec l’accroissement des environnements de travail à distance et hybrides, la vérification systématique fournit des mesures de sécurité robustes qui protègent les données et les systèmes, peu importe où se trouvent les employés. Une telle adaptabilité est vitale pour les PME modernes.
Protection contre les menaces internes
Les principes de la vérification systématique, tels que la surveillance continuelle et l’accès au moindre privilège, aident à détecter et à atténuer les menaces internes. En s’assurant que les employés n’ont que l’accès dont ils ont besoin, le risque d’actions internes malveillantes ou involontaires est réduit.
Renforcement de la confiance avec les partenaires et les clients
La mise en œuvre de la vérification systématique peut améliorer la réputation d’une PME et renforcer la confiance avec ses partenaires et ses clients. Faire preuve d’un engagement envers des mesures de cybersécurité robustes peut constituer un avantage concurrentiel et favoriser des relations d’affaires plus solides.

En conclusion, l’avenir des pratiques de cybersécurité avec vérification systématique pour les PME consistera à s’adapter à l’évolution du paysage de la cybersécurité et à profiter des technologies informatiques avancées pour garder une longueur d’avance sur les cybermenaces et les cyber-incidents nuisibles. Dans l’ensemble, la cybersécurité avec vérification systématique devrait devenir un élément fondamental des stratégies de cybersécurité⁴, aidant ainsi les organisations, y compris les PME, à garder une longueur d’avance sur les cybermenaces évolutives et nouvelles, et à assurer une protection résolue de leurs précieux actifs et clients.

[1] Jason Garbis and Jerry W. Chapman. Zero Trust Security: An Enterprise Guide. Softcover Edition published on the 27th of February 2021 by Springer Science + Business Media Publishing, 1 New York Plaza, New York City, USA, 300 pages. Zero Trust Security: An Enterprise Guide | SpringerLink

[2] Razi Rais, Christina Morillo, Evan Gilman & Doug Barth. Zero Trust Networks: Building Secure Systems in Untrusted Networks. 2nd Paperback Edition published on the 1st of February 2024 by O’Reilly Media – American Publishing Company, Sebastopol, California, USA, 240 pages. Zero Trust Networks, 2nd Edition [Book]

[3] Ravi Jay Gunnoo. Cybersecurity Education Compendium: Harnessing Digital Safety Best Practices Across the World. 1st Edition published in Paperback – Large Print Format and e-Book Version. Publication date: the 18th of September 2024. Publishing Company: Amazon Publishing, Seattle, State of Washington, USA, 728 pages. CYBERSECURITY EDUCATION COMPENDIUM: Harnessing Digital Safety Best Practices Across the World: Gunnoo, Ravi Jay: 9798336620344: Books – Amazon.ca

[4] SANS Institute – Escal Institute of Advanced Technologies. GIAC Certifications Cybersecurity Research & Development. Building a Zero Trust Framework: Key Strategies for 2024 and Beyond. SANS Institute, Rockville, Maryland, USA. Online publication dated the 22nd of July 2024. Building a Zero Trust Framework: Key Strategies for 2024 and Beyond

Ressources et références

Mark Buckwell, Stefaan Van Daele & Carsten Horst. Security Architecture for Hybrid Cloud: A Practical Method for Designing Security Using Zero Trust Principles. Paperback 1st Edition published on the 3rd of September 2024 by O’Reilly Media – American Publishing Company, Sebastopol, California, USA, 474 pages. Security Architecture for Hybrid Cloud [Book]

Avinash Naduvath, CCIE. In Zero Trust We Trust: A Practical Guide to Adopting Zero Trust Architectures. Paperback 1st Edition published on the 9th of April 2024 by Cisco Press, Hoboken, New Jersey, USA, 400 pages. In Zero Trust We Trust | Cisco Press

Stephen Paul Marsh. Formalising Trust as A Computational Concept: Doctoral Thesis on Computational Security. University of Sterling, Department of Computing Science and Mathematics, Scotland, 1994. Published in e-format by Google Books, 170 pages. Formalising Trust as a Computational Concept – Stephen Paul Marsh – Google Books

World Economic Forum (WEF) – International Community Paper 2022. The “Zero Trust” Model in Cyber Security: Towards Understanding and Deployment. WEF Headquarters, Geneva, Switzerland, 19 pages. https://www3.weforum.org/docs/WEF_The_Zero_Trust_Model_in_Cybersecurity_2022.pdf

Mark Simos & Nikhil Kumar. Zero Trust Overview and Playbook Introduction: Guidance for Business, Security, and Technology Leaders and Practitioners. Published on the 30th of October 2023 by Packt Publishing, Birmingham, UK, 240 pages. Zero Trust Overview and Playbook Introduction | Cloud & Networking | eBook

Greyson Chesterfield. Zero Trust Architecture Implementation: Modern Security Models for Enhanced Protection. Published on the 27th of January 2025 by Amazon USA Publishing, Seattle, State of Washington, USA, 227 pages. Zero Trust Architecture Implementation: Modern Security Models for Enhanced Protection: Chesterfield, Greyson: 9798306487694: Books – Amazon.ca

Jason Garbis and Jerry W. Chapman. Zero Trust Security: An Enterprise Guide. Softcover Edition published on the 27th of February 2021 by Springer Science + Business Media Publishing, 1 New York Plaza, New York City, USA, 300 pages. Zero Trust Security: An Enterprise Guide | SpringerLink

Razi Rais, Christina Morillo, Evan Gilman & Doug Barth. Zero Trust Networks: Building Secure Systems in Untrusted Networks. 2nd Paperback Edition published on the 1st of February 2024 by O’Reilly Media – American Publishing Company, Sebastopol, California, USA, 240 pages. Zero Trust Networks, 2nd Edition [Book]

Ravi Jay Gunnoo. Cybersecurity Education Compendium: Harnessing Digital Safety Best Practices Across the World. 1st Edition published in Paperback – Large Print Format and e-Book Version. Publication date: the 18th of September 2024. Publishing Company: Amazon Publishing, Seattle, State of Washington, USA, 728 pages. CYBERSECURITY EDUCATION COMPENDIUM: Harnessing Digital Safety Best Practices Across the World: Gunnoo, Ravi Jay: 9798336620344: Books – Amazon.ca

SANS Institute – Escal Institute of Advanced Technologies. GIAC Certifications Cybersecurity Research & Development. Building a Zero Trust Framework: Key Strategies for 2024 and Beyond. SANS Institute, Rockville, Maryland, USA. Online publication dated the 22nd of July 2024. Building a Zero Trust Framework: Key Strategies for 2024 and Beyond

Contributions

Nous remercions en particulier le Conseil national de recherches du Canada (CNRC) pour son soutien financier par le biais de son Programme d’aide à la recherche industrielle (PARI), lequel programme est bénéfique pour les organisations d’affaires et les PME des 10 provinces et 3 territoires du Canada.

Éditeur-en-chef de l’infolettre :

Alan Bernardi, SSCP, PMP, auditeur principal pour ISO 27001 et ISO 27701
B.Sc. Informatique et Mathématique, Université McGill, Canada
Diplôme d’études supérieures en gestion, Université McGill, Canada

Auteur-Amazon USA, informaticien, rédacteur & traducteur professionnel certifié :

Ravi Jay Gunnoo, C.P.W. ISO 24495-1:2023 & C.P.T. ISO 17100:2015
B.Sc. Informatique et Cybersécurité, Université McGill, Canada
B.Sc. & M.A. Traduction Professionnelle, Université de Montréal, Canada