F5 collabore avec le National Cybersecurity Center of Excellence (NCCoE) du NIST sur le projet « Mise en œuvre d’une architecture Zero Trust »

Joe Scherer

À une époque plus simple, sécuriser l’infrastructure d’une organisation était relativement facile : la plupart, voire la totalité, des applications, services et ressources nécessaires à la productivité d’un utilisateur — généralement un employé — étaient disponibles sur le réseau. Munis des bons identifiants, le plus souvent un nom d’utilisateur et un mot de passe, les utilisateurs étaient considérés comme autorisés et dignes de confiance. Ils pouvaient accéder au réseau et utiliser toutes les applications, tous les services et toutes les ressources auxquels ils étaient autorisés à accéder, tout en ayant une visibilité sur la plupart des autres applications, services et ressources du réseau. Les organisations renforçaient la sécurité de leur périmètre et se sentaient à l’abri des attaques et des menaces, car tout était protégé derrière les murs fortifiés du « château » que constituait le réseau.

Au fil du temps, toutefois, la sécurisation des applications, des services et des ressources d’une organisation est devenue extrêmement complexe et difficile. Aujourd’hui, le périmètre du réseau n’est plus facile à définir ni à délimiter, notamment en raison du recours toujours croissant au cloud, de l’essor du travail depuis n’importe où, de l’utilisation des appareils mobiles et de l’explosion de l’Internet des objets (IoT). Le personnel peut comprendre des salariés, des prestataires, des consultants, des fournisseurs de la chaîne d’approvisionnement, entre autres. La complexité même des infrastructures organisationnelles actuelles a rapidement dépassé les capacités de la sécurité réseau fondée sur le périmètre.

C’est là qu’intervient le Zero Trust. Le Zero Trust n’est pas une idée nouvelle, mais ce concept de sécurité est aujourd’hui plus pertinent et plus important que jamais. Une architecture Zero Trust élimine le modèle d’un réseau de confiance au sein d’un périmètre défini. Le Zero Trust part du principe qu’un attaquant est déjà présent dans l’environnement. Il considère également qu’un environnement appartenant à une organisation n’est ni différent ni plus digne de confiance qu’un environnement ne lui appartenant pas. En outre, une organisation ne doit jamais présumer d’une confiance implicite. La maxime du Zero Trust est : « Ne jamais faire confiance, toujours vérifier. »

À mesure que le concept d’architecture Zero Trust gagnait du terrain et que la volonté de l’adopter se renforçait, la confusion quant à ce qu’elle recouvrait exactement augmentait elle aussi.

Afin de faciliter la compréhension de l’architecture Zero Trust, le National Institute of Standards and Technology (NIST) a élaboré la publication spéciale (SP) 800-207 du NIST, intitulée « Architecture Zero Trust ». Sans constituer pour autant un guide ou un plan de déploiement, la SP 800-207 décrit le modèle Zero Trust à l’intention des architectes de sécurité et fournit une feuille de route pour la migration et la mise en œuvre des exigences de sécurité propres à une architecture Zero Trust.

F5 a été désigné comme l’un des 18 fournisseurs appelés à collaborer avec le NCCoE du NIST dans le cadre du projet « Mise en œuvre d’une architecture Zero Trust », afin de développer des approches pratiques et interopérables pour concevoir et élaborer des architectures Zero Trust conformes aux préceptes et principes énoncés dans la publication NIST SP 800-207, Zero Trust Architecture. Les exemples de solutions proposés associeront des produits commerciaux et open source s’appuyant sur des normes et des pratiques recommandées en matière de cybersécurité, afin de mettre en évidence les solides fonctionnalités de sécurité d’une architecture Zero Trust appliquée à plusieurs cas d’usage courants des systèmes informatiques d’entreprise. (Veuillez noter que, dans le cadre de ce consortium, le NIST n’évalue pas les produits commerciaux et ne cautionne aucun des produits ou services utilisés.)

De plus amples informations sur ce consortium sont disponibles à l’adresse suivante : https://www.nccoe.nist.gov/zerotrust.

« F5 est honorée et ravie d’annoncer sa collaboration avec le National Cybersecurity Center of Excellence (NCCoE) du National Institute of Standards and Technology (NIST) dans le cadre de son projet “Implementing a Zero Trust Architecture”, déclare Peter Kersten, vice-président des ventes pour le secteur fédéral. Nous nous réjouissons à l’idée de collaborer étroitement avec nos partenaires et d’autres acteurs majeurs de la sécurité afin d’aboutir à des architectures de référence et à des démonstrations présentant diverses approches de conception interactives et intégrées pour une architecture Zero Trust, dans le respect des principes et préceptes énoncés dans la publication NIST SP 800-207, Zero Trust Architecture. »

F5 est accompagné dans ce projet par les partenaires Amazon Web Services (AWS), AppGate, Cisco, FireEye, Forescout, IBM, Ivanti, McAfee, Microsoft, Okta, Palo Alto Networks, PC Matic, Radiant Logic, SailPoint Technologies, Symantec (Broadcom), Tenable et Zscaler.

Ce projet aboutira à la publication d’un guide pratique de cybersécurité du NIST, qui décrira publiquement les étapes concrètes nécessaires à la mise en œuvre de modèles de référence en matière de cybersécurité pour une architecture Zero Trust.

Pour plus d’informations sur le projet « Implementing a Zero Trust Architecture », veuillez cliquer ici. Pour plus d’informations sur F5 BIG-IP Access Policy Manager (APM), veuillez cliquer ici.

À propos de l’auteur

Joe Scherer

Autres articles de Joe Scherer