Zero Trust : quelles démarches pour bien commencer ?

Antoine Paris et Quentin Guiget, consultants chez Linkbynet Cyber Security (partie d'Accenture), expliquent comment amorcer une démarche Zero Trust sans s'y perdre. Ils présentent d'abord le Zero Trust comme un état d'esprit plutôt qu'un produit : le modèle du château fort ne tient plus quand identités, terminaux et applications sont dispersés dans le SaaS et l'infonuagique, donc chaque demande d'accès doit être évaluée en temps réel à partir de signaux sur l'identité, l'appareil, la localisation et la sensibilité de la cible, avec des réponses automatisées comme une authentification renforcée ou des droits réduits. Ils exposent ensuite huit principes directeurs (un IAM consolidé, un catalogue d'authentification adapté à chaque population, la classification des données et des actifs, une segmentation réseau maintenue, l'analyse comportementale, l'automatisation, le moindre privilège et la conduite du changement) et une démarche en trois temps : définir la cible, comparer les stratégies avec un macrochiffrage, puis piloter le programme et ses nombreux sous-projets. La seconde moitié est un cas client : un grand groupe de transport international, 200 000 identités, 700 applications en SSO et cinq entités juridiquement indépendantes, dont ils pilotent la refonte de l'IAM. On y voit la gouvernance par lots, les protocoles standards, un service IAM multidomaine partagé et le concept d'« accédant », qui sépare l'identité unique d'une personne des objets d'accès par société qui portent les habilitations.