Vue d’ensemble du framework d’adoption de confiance zéro

La transformation numérique façonne une nouvelle norme. Les organisations adoptent la transformation numérique pour gérer les changements continus de l’environnement métier en effectuant le suivi :

• Changement de modèles d’entreprise et de partenariats.
• Tendances technologiques.
• Forces réglementaires, géopolitiques et culturelles.

En outre, le travail à distance lié au COVID-19 a accéléré cette transformation et transforme la sécurité d'un centre de coûts en un moteur stratégique de croissance.

La confiance zéro est une sécurité pour l’entreprise numérique. La transformation numérique nécessite la mise à jour des modèles de sécurité traditionnels, car les approches de sécurité traditionnelles ne répondent pas aux exigences actuelles pour l’agilité de l’entreprise, les expériences utilisateur et les menaces en constante évolution. Les organisations implémentent la confiance zéro pour relever ces défis et permettre la nouvelle normale de travailler n’importe où, avec n’importe qui, à tout moment.

Toutefois, le passage d’un modèle de sécurité traditionnel à Confiance Zéro représente une transformation significative qui nécessite l’achat, l’adoption et la gestion des changements dans toute une organisation. Les chefs d’entreprise, les leaders technologiques, les responsables de la sécurité et les praticiens de la sécurité jouent tous des rôles essentiels dans la création d’une approche agile de sécurité Confiance Zéro.

De nombreux architectes de sécurité et équipes informatiques demandent de l’aide pour communiquer avec les dirigeants d’entreprise, suivre la progression et favoriser l’adoption. Ce guide aide les équipes de sécurité et de technologie à collaborer avec les chefs d’entreprise sur Zero Trust en fournissant :

• Objectifs de confiance zéro recommandés pour les chefs d’entreprise au sein des organisations.
• Approche méthode et progressive de l’implémentation d’une architecture Confiance Zéro.
• Un moyen systématique de suivre la progression, étendue aux dirigeants d’entreprise.
• Curation des ressources les plus pertinentes pour l’adoption de Zero Trust à partir de diapositives prêtes à présenter aux dirigeants d’entreprise des conseils d’implémentation techniques et des infographies utilisateur.

« Notre objectif est d’aider chaque organisation à renforcer ses fonctionnalités de sécurité par le biais d’une architecture Confiance Zéro basée sur nos solutions complètes qui couvrent l’identité, la sécurité, la conformité et la gestion des appareils sur tous les clouds et plateformes . » –Satya Nadella, président exécutif et pdg de Microsoft

En tant que partenaire Microsoft, NBConsult a contribué et fourni des commentaires matériels à ces conseils d’adoption.

L'approche Zero Trust nécessite une adhésion au niveau exécutif.

Zero Trust protège les ressources d'entreprise, quel que soit leur emplacement et où qu'elles aillent. Zero Trust est une approche proactive et intégrée de la sécurité qui nécessite de savoir quelles ressources et processus métier sont les plus importants à protéger, et à les sécuriser tout en préservant l’agilité de l’entreprise.

L’adoption d’une approche confiance zéro nécessite l’achat dans la suite C. À mesure que le paysage des menaces s’étend et que les attaques critiques deviennent plus courantes, les chefs d’entreprise dans les domaines fonctionnels sont de plus en plus préoccupés par l’approche de cybersécurité prise par leur organisation.

Zero Trust permet à l’ensemble de la suite C et de l’entreprise d’adopter un résultat métier mesurable qui est aligné sur la réduction des menaces et l’augmentation de la productivité.

La confiance zéro ajoute de la valeur à deux scénarios prédominants qui sont vus sur la Place de marché :

1. Stratégie de sécurité formelle alignée sur les résultats métier. Cette approche confiance zéro offre une vue holistique de la sécurité à l’ensemble de l’entreprise, par le biais de valeurs partagées entre l’entreprise et adoptées à chaque niveau du haut. Ce processus est souvent dirigé par le CISO, et les résultats commerciaux sont suivis dans le cadre de la fonction de rapport de la Zero Trust de manière continue.
2. Sécurité déléguée aux fonctions informatiques où la sécurité est traitée comme une autre technologie verticale avec une entrée et une intégration minimales de la suite C. Cela se concentre souvent sur l’optimisation des coûts à court terme pour la sécurité plutôt que de la gérer en tant que risque métier, souvent en séparant davantage la sécurité en solutions indépendantes non intégrées de « meilleure race ».

Zero Trust permet d’intégrer les solutions verticales dans une vision unique. Cette vision prend en charge des fonctionnalités et des résultats métier cohérents et fournit des métriques mesurables en continu sur l’état de la sécurité.

Traditionnellement, le CISO ou it/Security Manager définit la stratégie, ou au moins des choix de technologie de sécurité. Toutefois, l'adhésion des autres cadres dirigeants est nécessaire pour justifier des dépenses supplémentaires en matière de sécurité. Dans le cadre de la stratégie de sécurité Confiance Zéro, d’autres membres de la suite C doivent participer au parcours Confiance Zéro, en comprenant que la sécurité est une responsabilité commerciale partagée alignée sur les résultats métier.

Voici une vue généralisée des fonctions possibles prises par différentes fonctions au niveau C et de la façon dont elles s’alignent sur une vision intégrée de la sécurité à l’aide de La Confiance Zéro.

Principes de confiance zéro pour la suite C

Zero Trust est une stratégie et une architecture basées sur trois principes.

Zones fonctionnelles confiance zéro et architecture technique

Les trois principes de confiance zéro sont appliqués dans les domaines de défense. Il s’agit parfois de domaines fonctionnels ou de disciplines de la gestion informatique. De nombreuses organisations sont structurées autour de ces domaines avec des équipes de personnes spécialisées.

La stratégie Zero Trust requiert une approche intégrée à travers ces domaines et équipes, c’est pourquoi il est si important d'obtenir l'adhésion de la direction générale et d'élaborer une stratégie et un plan bien orchestrés pour l'ensemble de votre organisation.

Lors de l’application d’une stratégie Confiance Zéro dans un patrimoine numérique, il est moins utile de réfléchir à l’approche de chacun de ces domaines indépendamment. Ce n’est pas comme si l’équipe d’identité pouvait accomplir toutes les recommandations, et que le focus sur la Zero Trust puisse passer à l’équipe qui gère les points de terminaison. La stratégie confiance zéro applique ces zones fonctionnelles ensemble pour sécuriser une zone au sein d’un patrimoine numérique, puis élargir l’étendue de la protection à travers elle.

Par exemple, l’équipe d’identité ne peut progresser que jusqu'à un certain point dans l’utilisation des stratégies d’accès conditionnel Microsoft Entra avant de se coordonner avec l’équipe des points de terminaison afin de combiner leurs efforts de protection.

Le diagramme suivant intègre ces zones fonctionnelles dans une architecture de confiance zéro unifiée.

Comme le montre le diagramme :

• Chacune des zones fonctionnelles est représentée : identités, points de terminaison, réseau, données, applications, infrastructure
• La confiance zéro intègre la protection dans toutes les zones fonctionnelles par le biais de stratégies et d’optimisation des stratégies.
• La protection contre les menaces réunit des signaux au sein de l’organisation en temps réel pour fournir une visibilité sur les attaques et simplifier la correction par le biais d’actions automatisées et de suivi des réponses aux incidents.

La section suivante explique comment commencer à suivre le parcours Confiance Zéro. Nous allons utiliser la zone fonctionnelle Identités comme exemple.

Mouvement d’adoption de la confiance zéro

Les clients qui connaissent le Framework d’adoption du cloud pour Azure ont demandé : « Où est le framework d’adoption de confiance zéro ? »

Cloud Adoption Framework pour Azure est un processus méthodique pour introduire de nouvelles applications et services dans une organisation. Le focus est principalement sur un processus prouvé qu’une organisation peut suivre pour introduire une application ou un service dans l’environnement. Le mouvement de mise à l’échelle répète le processus pour chaque application ajoutée à un patrimoine numérique.

L’adoption d’une stratégie et d’une architecture confiance zéro nécessite une étendue différente. Il s’agit d’introduire de nouvelles configurations de sécurité dans l’ensemble d’un patrimoine numérique. Le mouvement d’échelle est en deux dimensions.

• En prenant une partie de l'architecture Confiance Zéro, telle que la protection des données, et en étendant cette protection à l'ensemble du patrimoine numérique.
• Répétez le processus avec chaque élément supplémentaire de l’architecture Confiance Zéro, en commençant par des gains rapides stratégiques et des éléments fondamentaux, puis en avançant vers des éléments plus complexes.

À l’instar du Cloud Adoption Framework pour Azure, ce guide d’adoption de Confiance Zéro traite du travail par le biais de scénarios d’adoption, comme décrit dans la section suivante.

Le diagramme suivant résume les différences entre ces deux types de motions d’adoption.

Ce guide d’adoption de confiance zéro utilise les mêmes phases de cycle de vie que le Framework d’adoption du cloud pour Azure, mais adapté à Zero Trust.

Le tableau suivant décrit les phases de cycle de vie.

Scénarios métier

Ce guide d’adoption de Confiance Zéro recommande de créer une stratégie et une architecture Confiance Zéro par le biais de ces scénarios métier :

• Moderniser rapidement votre posture de sécurité
• Sécuriser le travail distant et hybride
• Identifier et protéger les données métier sensibles
• Prévenir ou réduire les préjudices commerciaux causés par une violation
• Répondre aux exigences réglementaires et de conformité

Chaque scénario métier est décrit dans un article qui décrit comment progresser le travail technique à travers chacune des phases de cycle de vie, en commençant par la création du cas d’entreprise. Les ressources les plus appropriées sont fournies le long du chemin.

Chacun de ces scénarios métier décompose le travail de Confiance Zéro en éléments gérables qui peuvent être implémentés sur quatre phases d’implémentation. Cela vous aide à hiérarchiser, à avancer et à suivre le travail à mesure que vous parcourez les différentes couches d’implémentation d’une architecture Confiance Zéro.

Ce guide inclut un diaporama PowerPoint avec des diapositives de progression que vous pouvez utiliser pour présenter le travail et suivre votre progression à un niveau élevé pour les dirigeants d’entreprise et d’autres parties prenantes. Les diapositives incluent des fonctionnalités qui vous aident à suivre et présenter des progrès aux parties prenantes. Voici un exemple.

Ces conseils incluent également un classeur Excel avec des feuilles de calcul pour chaque scénario métier que vous pouvez utiliser pour affecter des propriétaires et suivre la progression de chaque étape, objectif et tâche. Voici un exemple.

Dans les scénarios métier, les phases d’implémentation sont à peu près alignées, de sorte qu’atteindre les objectifs de l’étape 1 à travers les scénarios permet de maintenir la progression de votre organisation sur tous les fronts.

Démarrage d’un parcours Confiance Zéro

Si vous vous engagez dans un parcours De Confiance Zéro aligné sur un scénario d’entreprise ou en cherchant à adopter Zero Trust comme doctrine de défense stratégique, le succès peut être difficile à mesurer. Cela est dû au fait que la sécurité ne passe pas un type d’évaluation de réussite/échec simple. Au lieu de cela, la sécurité est un engagement et un parcours vers lesquels Zero Trust fournit des principes directeurs.

En utilisant ces conseils d’adoption comme infrastructure de processus, commencez par établir et documenter notre stratégie de sécurité, très similaire à un document d’initiation de projet (PID). À l’aide des principes qui s’appliquent à la stratégie, au minimum, vous devez documenter :

• Qu’est-ce que vous faites?
• Pourquoi fais-tu ça ?
• Comment convenez-vous des critères et mesurez-vous le succès ?

Chaque scénario métier englobe un ensemble différent de ressources avec différents outils pour effectuer l’inventaire. De façon méthode, vous commencez par un inventaire et une classification des ressources pour chaque scénario métier :

1. Identification des ressources : Quelles ressources souhaitez-vous protéger, telles que les identités, les données, les applications, les services et l’infrastructure ? Vous pouvez utiliser les zones fonctionnelles appelées ci-dessus comme guide d’où commencer. L’identification des ressources fait partie de vos phases de cycle de vie Définir la stratégie et Planifier. La phase Définir une stratégie peut articuler un scénario spécifique, tandis que la phase Plan documente le patrimoine numérique.
2. Classification des ressources : Quelle est l’importance de chacune des ressources identifiées, telles que les identités, les données critiques pour l’entreprise et les données de ressources humaines ? La classification des ressources fait partie de la phase Ready où vous commencez à identifier la stratégie de protection pour chaque ressource.
3. Gestion des ressources : Comment choisir de protéger (gouverner) et d’administrer (gérer) ces ressources ?
4. Récupération d'actifs : Comment récupérer après la compromission ou la perte de contrôle d’un actif (gouvernance) ?

Chaque scénario métier recommande de prendre l’inventaire, ainsi que de protéger les ressources et de signaler la progression. Bien qu’il y ait inévitablement un chevauchement entre les scénarios métier, ces conseils d’adoption tentent de simplifier autant que possible en traitant les types d’actifs dans un scénario métier principalement.

Suivi de la progression

Le suivi de vos progrès tout au long du processus d’adoption de confiance zéro est crucial, car il permet à votre organisation de surveiller et de mesurer les objectifs stratégiques et les objectifs.

Que suivre et mesurer

Microsoft recommande d’adopter deux approches pour suivre votre progression :

1. Mesurez votre progression par rapport à l’atténuation des risques pour votre entreprise.
2. Mesurez vos progrès en vue d’atteindre des objectifs stratégiques dans l’architecture Confiance Zéro.

De nombreuses organisations utilisent des ressources et des outils de normes iso (Organisation internationale de normalisation) pour évaluer le risque d’une organisation. Spécifiquement:

• ISO/IEC 27001:2022

  • Sécurité des informations, cybersécurité et protection de la confidentialité
  • Systèmes de gestion de la sécurité des informations
  • Spécifications

• ISO 31000

  • Gestion des risques

Les exigences et les directives de ces normes sont génériques et peuvent s’appliquer à n’importe quelle organisation. Ils fournissent un moyen structuré et complet pour vous d’examiner et de mesurer les risques qui s’appliquent à votre organisation, ainsi que les atténuations.

L’identification et la compréhension des risques spécifiques qui s’appliquent à votre organisation vous aideront à hiérarchiser vos objectifs stratégiques dans l’architecture Confiance Zéro.

Comment suivre et mesurer

Une fois que votre organisation a identifié et hiérarchisé vos objectifs techniques les plus stratégiques, vous pouvez mapper une feuille de route intermédiaire pour l’implémentation. Vous pouvez ensuite suivre votre progression à l’aide de différents outils.

Rapports de suivi personnalisables

Microsoft fournit des outils de suivi PowerPoint et Excel personnalisables. Celles-ci sont préremplies avec des objectifs et des tâches, organisées par des scénarios métier Confiance Zéro. Vous pouvez les personnaliser avec vos propres priorités, objectifs et membres de l’équipe. Pour plus d’informations, consultez La ressource de suivi de l’évaluation et de la progression. Vous pouvez télécharger des suivis co-brandables et personnalisables à partir du kit de partenaires Zero Trust.

Tableaux de bord dans le produit

Microsoft Security Exposure Management est une solution de sécurité qui fournit une vue unifiée de la posture de sécurité entre les ressources et charges de travail de l’entreprise. Dans cet outil, les initiatives de sécurité vous aident à évaluer la préparation et la maturité dans des domaines spécifiques du risque de sécurité. Les initiatives de sécurité prennent une approche proactive de la gestion des programmes de sécurité vers des objectifs spécifiques liés au risque ou au domaine.

Utilisez l’initiative Confiance Zéro pour suivre la progression de votre organisation vers l’implémentation de la sécurité Confiance Zéro. Cette initiative est alignée sur ce framework d’adoption de Microsoft Zero Trust, ce qui vous permet de suivre votre progression avec les métriques alignées sur les scénarios métier. Ces indicateurs capturent la couverture de vos ressources à travers les recommandations actionnables hiérarchisées afin de soutenir les équipes de sécurité dans la protection de leur organisation. L’initiative fournit également des données en temps réel sur votre progression confiance Zéro qui peut être partagée avec les parties prenantes.

Pour plus d’informations sur l’utilisation de l’initiative Confiance Zéro dans l’outil Gestion de l’exposition, consultez Moderniser rapidement votre posture de sécurité – Suivre et mesurer.

En outre, plusieurs autres portails et rapports peuvent vous aider à créer une vue d’ensemble des risques au sein de votre entreprise, notamment :

• L’initiative Critical Asset Protection dans Microsoft Security Exposure Management regroupe les risques de ressources critiques dans les produits et domaines Defender.
• Les rapports au sein de Microsoft Defender XDR fournissent des informations sur les tendances de sécurité et suivent l’état de protection de vos identités, données, appareils, applications et infrastructure.
• Cloud Security Explorer vous permet de rechercher de manière proactive les risques de sécurité.

Par exemple, dans Microsoft Defender XDR, l’inventaire des appareils fournit une vue claire des appareils nouvellement découverts dans votre réseau qui ne sont pas encore protégés. En haut de chaque onglet Inventaire des appareils, vous pouvez voir le nombre total d’appareils qui ne sont pas intégrés. Voici un exemple.

Pour plus d’informations sur l’utilisation de Microsoft Defender XDR pour suivre votre progression, consultez Renforcer votre posture de sécurité avec Microsoft Defender XDR.

Notez que les pourcentages de progression fournis par les outils dans le produit peuvent ne pas être exacts pour les organisations qui ne sont pas prêtes à implémenter tous les contrôles en raison de raisons telles que :

• Étendue de l’entreprise
• Octroi de licences
• Capacité

Articles supplémentaires pour l’adoption

• Moderniser rapidement votre posture de sécurité
• Sécuriser le travail distant et hybride avec Confiance Zéro
• Identifier et protéger les données métier sensibles
• Empêcher ou réduire les dommages commerciaux en cas de violation
• Répondre aux exigences réglementaires et de conformité

Ressources de suivi de la progression

Pour chaque scénario métier, vous pouvez utiliser les ressources de suivi de progression suivantes.

Ressource de suivi de la progression	Cela vous aide...	Conçu pour...
Grille de plan de scénario d’adoption téléchargeable fichier Visio ou PDF	Comprenez facilement les améliorations de sécurité pour chaque scénario métier et le niveau d’effort pour les phases et les objectifs de la phase de plan.	Responsables de projet de scénario commercial, dirigeants d’entreprise et autres parties prenantes.
Jeu de diapositives PowerPoint téléchargeables pour le suivi de l'adoption du modèle Zero Trust.	Suivez votre progression par les étapes et les objectifs de la phase de plan.	Responsables de projet de scénario commercial, dirigeants d’entreprise et autres parties prenantes.
Objectifs et tâches du scénario métier classeur Excel téléchargeable	Attribuez la propriété et suivez votre progression à travers les phases, les objectifs et les tâches de la phase de plan.	Chefs de projet de scénarios métiers, chefs informatiques et implémenteurs informatiques.

Pour obtenir des ressources supplémentaires, consultez l’évaluation de confiance zéro et les ressources de suivi de progression.

Documentation supplémentaire sur la confiance zéro

Consultez d’autres contenus Confiance Zéro en fonction d’un ensemble de documentation ou de votre rôle dans votre organisation.

Ensemble de documentation

Suivez ce tableau pour obtenir les meilleurs ensembles de documentation Confiance Zéro pour vos besoins.