Pendant longtemps, je me suis représenté la sécurité comme un château fort. Un mur épais, un pont-levis, et derrière, tout le monde est ami. L’image est confortable. Elle est aussi fausse.
Le périmètre n’existe plus
Le modèle classique suppose que ce qui est à l’intérieur du réseau mérite la confiance. Mais l’intérieur s’est dissous : télétravail, cloud, prestataires, terminaux personnels. Le château a maintenant des portes partout.
Le NIST formalise une autre approche dans la publication SP 800-207 (2020). La règle tient en une phrase.
Never trust, always verify.
Ne faire confiance à rien par défaut, ni au réseau, ni à la machine, ni à l’utilisateur déjà connecté. Vérifier à chaque demande d’accès.
Trois déplacements que je retiens
- L’identité devient le périmètre. La décision ne dépend plus de l’adresse IP source, mais de qui demande l’accès et dans quel état se trouve son appareil.
- Le moindre privilège, appliqué pour de vrai. Chaque accès reste aussi étroit que possible, et il est réévalué en continu, pas une fois à la connexion.
- On suppose la brèche. L’architecture ne cherche pas à empêcher toute intrusion, mais à contenir celle qui finira par arriver.
Ce qui me reste à comprendre
La théorie est nette. La mise en œuvre l’est moins. Segmenter, instrumenter, authentifier en continu sans rendre le quotidien des équipes insupportable, c’est l’équilibre que je ne maîtrise pas encore. La prochaine note partira de là, sur un cas concret de micro-segmentation.