Au cours des huit années qui se sont écoulées depuis le lancement de notre étude annuelle, devenue depuis le rapport State of Application Strategy, nous avons vu la sécurité se hisser progressivement au sommet de la pile des services de sécurité et de mise à disposition des applications.
La disponibilité, en tant que catégorie générale englobant des technologies telles que l’équilibrage de charge, la mise en cache et les CDN, est restée la priorité absolue à peu près aussi longtemps qu’un serveur web nouvellement mis en ligne pouvait survivre sans subir d’attaque sur Internet en 2003. Autrement dit, pour ceux qui l’ignorent, pas très longtemps.
La sécurité s’est presque immédiatement hissée au sommet des priorités et y est restée incontestée depuis 2017 environ.
Jusqu’à présent.
Cette année, pour la première fois, nous avons vu un service de sécurité non essentiel se hisser en tête des services les plus déployés. Ce service est celui de la gestion des identités.
Mais il ne s’agit pas seulement du fait que les technologies de gestion des identités et des accès sont devenues les plus déployées. L’ensemble de nos recherches fournit de nombreux éléments attestant d’une évolution majeure vers une sécurité fondée sur l’identité.
Prenons la sécurité des API. Oui, elle est bel et bien déployée. Mais nous avons approfondi la question et interrogé les répondants sur les types de protections spécifiques qu’ils jugeaient utiles. Nous les avons regroupés, dans les grandes lignes, en trois catégories :
- Traditionnelles. Ces protections sont en grande partie issues des mécanismes de protection web intégrés depuis des années aux pare-feu d’applications web. Limitation du débit, Top 10 de l’OWASP et, bien sûr, chiffrement/déchiffrement.
- Modernes. Ces protections sont apparues ces dernières années et sont devenues un élément majeur de la sécurité des API. Cette catégorie comprend l’inspection des charges utiles (contenu), notamment la recherche de logiciels malveillants et de contenus malveillants, ainsi que l’authentification et l’autorisation. Petit indice : c’est là qu’intervient l’identité.
- Adaptatives. Les protections adaptatives constituent une nouvelle catégorie, rendue possible par l’exploitation de l’IA et de l’apprentissage automatique pour effectuer des analyses comportementales capables de distinguer les utilisateurs humains des utilisateurs non humains. Ces techniques servent généralement de base aux services de lutte contre la fraude et de protection contre les bots.
Nous avons demandé aux répondants quelles protections de cette liste ils considéraient comme les plus « précieuses ». Les résultats ont révélé un niveau élevé de maturité en matière de sécurité, en particulier chez ceux qui avaient effectivement mis en œuvre des protections d’API au cours de l’année écoulée. Comme pour le déploiement des services, l’identité arrivait en tête des protections jugées les plus précieuses pour les API.
L’importance accordée aux méthodes adaptatives est prometteuse. Cela n’a rien de vraiment surprenant compte tenu de l’adoption enthousiaste de l’IA et de l’apprentissage automatique pour renforcer les services de sécurité. Au vu du volume de données et des conséquences que pourrait avoir une attaque non détectée, il n’est pas étonnant que l’ensemble du secteur se tourne vers des méthodes de sécurité plus avancées et adaptatives afin de tout protéger, des infrastructures aux applications, en passant par l’entreprise elle-même.
L’analyse de l’identité et l’analyse comportementale sont toutes deux des composantes importantes d’une stratégie de sécurité globale, en particulier pour les API compte tenu du rôle croissant qu’elles jouent dans le fonctionnement de l’économie numérique. L’inspection reste également essentielle, car de nombreuses attaques — notamment les logiciels malveillants et les contenus malveillants — sont souvent facilement repérables grâce à une signature unique qui peut être comparée à la charge utile d’une transaction d’API. La rapidité de détection est aussi importante que le degré de certitude quant à l’identification d’une attaque potentielle, et l’inspection demeure une méthode rapide et fiable pour détecter les contenus malveillants.
Enfin, nous constatons que le déploiement de technologies liées à l’identité résulte de la transformation numérique accélérée par la COVID-19. Nous avons demandé aux personnes interrogées quels types de changements avaient été apportés à leurs stratégies de sécurité après la COVID-19. Plus d’un quart (26 %) ont mis en œuvre une solution de protection contre le bourrage d’identifiants et 34 % ont déployé des cadres de sécurité des API.
C’est le premier chiffre qui est pertinent dans ce contexte, car le credential stuffing consiste précisément à protéger l’identité (les identifiants) des personnes dans un monde numérique. Compte tenu de l’essor considérable des solutions numériques dans tous les secteurs d’activité au cours de la pandémie, il est encourageant de constater qu’au moins certaines entreprises prennent au sérieux leur responsabilité en matière de protection de l’identité.
Il s’agit d’une tendance qui évolue relativement vite dans le domaine de la sécurité, et nous pensons qu’elle continuera à se généraliser à mesure que les organisations renforceront leur présence dans l’économie numérique. L’importance des API laisse présager la nécessité d’identifier plus précisément leur « utilisateur », notamment compte tenu du rôle croissant qu’elles jouent dans l’automatisation, les architectures d’applications cloud natives, les écosystèmes numériques et, bien sûr, l’IoT. Dans une économie numérique, la protection des API n’est pas seulement un enjeu technologique, mais aussi commercial.
Mais cette tendance montre également à quel point l’identité est importante dans un monde numérique, et pourquoi il n’est finalement pas si surprenant de voir les services liés à l’identité se hisser en tête des technologies de sécurité et de mise à disposition des applications les plus déployées en 2022.
Cette évolution vers l’identité, mise en évidence par notre étude est également significative, car le marché adopte le modèle Zero Trust comme approche fondamentale de la sécurité. Le Zero Trust a été désigné par 40 % des personnes interrogées comme la tendance ou la technologie « la plus prometteuse ». En tant que modèle architectural, le Zero Trust vise à sécuriser et à protéger les applications et les infrastructures en concevant des réseaux dotés de micro-périmètres sécurisés et en limitant les risques grâce à la restriction des privilèges et des accès des utilisateurs.
Au cœur du modèle Zero Trust se trouve une question simple : qui doit avoir accès à une ressource ? Bien entendu, répondre à cette question et appliquer les politiques qui en découlent au niveau du cœur de réseau, du cloud et de la périphérie implique de nombreux autres aspects, mais sans gestion des identités, toute l’approche s’effondre.
Reste à savoir si l’identité demeurera au cœur des préoccupations, mais étant donné que les tendances émergentes telles que le Web3 accordent elles aussi une grande importance à l’identité en tant que concept fondamental, nous pensons que le recentrage de la sécurité sur l’identité ne fait probablement que commencer.
Consultez d’autres articles de blog pour approfondir certains sujets :
État de la stratégie applicative 2022 : analyse de 8 années de tendances ›
État de la stratégie applicative 2022 : la complexité du multicloud persiste ›
État de la stratégie applicative 2022 : tendances en matière de performances ›
État de la stratégie applicative 2022 : il est temps de moderniser les opérations ›
État de la stratégie applicative 2022 : l’avenir de l’entreprise repose sur l’adaptabilité ›
À propos de l’auteur
Lori MacVittie est ingénieure émérite et évangéliste en chef au sein du bureau du directeur technique de F5. Elle possède une expertise approfondie dans la fourniture d’applications, les stratégies d’automatisation et les infrastructures. Elle est réputée pour sa capacité à rendre la complexité intelligible, qu’elle définisse des garde-fous pour les agents d’IA, analyse des architectures multicloud fragiles ou explore les limites des systèmes évolutifs. Elle cumule plus de trente ans d’expérience dans le secteur, couvrant le développement d’applications, l’architecture informatique ainsi que l’exploitation des réseaux et des systèmes. Avant de rejoindre F5, elle a été rédactrice spécialisée dans les technologies et a reçu plusieurs distinctions. MacVittie est titulaire d’un master en informatique et est une autrice prolifique dont les publications couvrent la sécurité, le cloud et l’architecture d’entreprise. Elle est également une passionnée de jeux de société et de jeux vidéo, et assume pleinement ses avis bien tranchés sur le fromage.
Autres articles de Lori Mac VittieArticles de blog associés
Pourquoi devriez-vous vous intéresser à WebAssembly ?
WebAssembly (Wasm) est un jeu d’instructions binaires portable, rapide et sécurisé, qui permet d’exécuter des applications hautes performances sur n’importe quelle plateforme.
Trois choses à savoir sur les applications d’IA
Les applications d’IA sont des applications modernes, mais elles présentent certaines particularités. Découvrez les points essentiels à connaître sur les applications basées sur l’IA.
État des lieux de la stratégie applicative 2022 : il est temps de moderniser les opérations
Il est devenu évident que, pour maintenir la dynamique de leur transformation numérique, les organisations doivent recentrer leurs efforts sur les fonctions métier. Si les expériences destinées aux clients restent prioritaires, il est également indispensable de permettre la numérisation de fonctions telles que les services juridiques, les ressources humaines et la finance. Les DSI prennent donc les commandes, tandis que la transformation numérique passe de la modernisation des applications à celle des opérations.
Clouds multiples ou multicloud : faciliter la transition
La gestion et la sécurisation des charges de travail deviennent complexes à mesure que les entreprises adoptent une stratégie de cloud connecté. Découvrez comment F5 répond au besoin d’une nouvelle approche de la mise en réseau multicloud.
L’expérience client dépend de la visibilité
Une enquête menée par Dimensional Research auprès de plus de 3 000 utilisateurs d’applications mobiles a confirmé ce que beaucoup d’entre nous pensent des attentes actuelles des clients.
Transformation numérique et explosion du portefeuille d’applications
La transformation numérique stimule la croissance des portefeuilles d’applications et modifie la manière dont celles-ci sont développées, déployées, intégrées et, en définitive, utilisées.