Quel est le modèle le moins privilégié ? Différences avec Zero-Trust

Il n’y a rien de plus dangereux pour une organisation qu’un collaborateur qui a accès à des données et des ressources plus importantes que ce dont il a besoin. Les attaques qui se produisent dans les organisations sont en grande partie dues à des collaborateurs aux intentions malveillantes. Le travail à domicile est devenu la norme dans le monde entier grâce au COVID-19. Par conséquent, les entreprises qui adoptent cette pratique doivent faire très attention aux autorisations de chaque utilisateur et s’ils en ont vraiment besoin. Ce guide vous aidera à découvrir le « modèle du moindre privilège », qui signifie en espagnol « modèle du moindre privilège ».

Qu’est-ce que le « modèle du moindre privilège » ?

Nous ne devons pas seulement nous soucier du type d’utilisateur dont il s’agit et des autorisations dont il a besoin. D’un autre côté, il faut comprendre qu’une bonne partie de ces derniers fonctionnent et communiquent à travers une variété d’appareils. Certaines organisations adoptent la pratique Apportez votre propre appareil . Ce dernier permet aux personnes disposant d’un appareil personnel avec des ressources adéquates d’être utilisées pour les tâches de leur organisation.

En raison de ces circonstances et de diverses autres, nous devons commenter ce modèle. Il change la façon dont des millions de personnes dans le monde travaillent . Il fonctionne en restreignant les droits d’accès au minimum nécessaire pour qu’un utilisateur puisse effectuer son travail. L’une des implications est qu’il n’est pas nécessaire de manipuler les droits de gestion de domaine Active Directory (Windows). En outre, vous devez ignorer la mise en œuvre de l’accès root aux systèmes d’exploitation. En revanche, une autorisation de niveau administrateur ne sera pas nécessaire pour avoir accès à une infrastructure de virtualisation.

Qu’en est-il des privilèges d’accès ?

Cette adoption peut sembler à la fois très prometteuse et stimulante, en particulier pour les personnes travaillant dans l’informatique. Les privilèges d’accès des utilisateurs doivent être supprimés et définitivement réaffectés. Ceci est particulièrement critique si nous parlons de personnes quittant l’organisation pour diverses raisons. Malheureusement, une pratique courante qui est maintenue est de ne pas avoir une visibilité complète des utilisateurs qui correspondent à des personnes qui ne travaillent pas dans une organisation. Tout utilisateur actif de quelqu’un qui n’en fait plus partie peut devenir un large éventail de possibilités de cyberattaques en interne. Le scénario est exacerbé lorsque vous avez la mauvaise habitude de partager des mots de passe entre collaborateurs.

Ce même contrôle des privilèges d’accès doit être appliqué lorsque les personnes passent d’un poste à un autre au sein d’une organisation. Plusieurs fois, les gens peuvent se déplacer d’une région à l’autre. En tant que responsable informatique, vous devez ajuster les autorisations, quel que soit le rôle de la personne dans l’entreprise.

Suggestions pour la mise en œuvre du modèle du moindre privilège

La mise en œuvre de ce modèle relève plus des politiques internes de chaque organisation que des solutions technologiques. La première chose à faire est d’identifier les données que nous devons protéger en premier lieu. Ceci, que ce soit en raison d’une mauvaise utilisation, d’un vol, d’une destruction ou de tout autre événement mettant en danger leur intégrité. Une fois que vous avez fait cela, l’étape suivante consiste à appliquer les politiques de moindre privilège  afin de protéger lesdites données. Par conséquent, chaque utilisateur aura un accès restreint (ou aucun accès) aux données selon les politiques que vous avez créées et configurées. L’approche doit être beaucoup plus granulaire, c’est-à-dire que toutes les variables possibles doivent être prises en compte afin qu’il n’y ait pas plus ou moins d’autorisations.

Comment mettre cela en pratique ? Nous partageons quelques suggestions :

• Pare-feu et VPN : cela implique de laisser l’ensemble du réseau à l’intérieur du pare-feu. Par conséquent, les utilisateurs doivent toujours se connecter à un VPN pour pouvoir accéder à un certain groupe de ressources, d’applications et de services en fonction de leur rôle. Vous pouvez distinguer ce qui doit être accessible via VPN et ce qui ne l’est pas, afin d’optimiser la bande passante disponible et d’éviter de créer un goulot d’étranglement. Surtout, aux heures de pointe de trafic.
• Virtual Desktop Infrastructure :  En anglais, il est connu sous le nom de Virtual Desktop Infrastructure (VDI) . De cette façon, les données et les applications sont hébergées de manière centralisée. Ceci, afin de les rendre plus sûrs. Si une organisation a des travailleurs à domicile, ils peuvent se connecter à l’aide d’outils courants tels qu’un navigateur ou une solution existante. Ce qui est obtenu, c’est une expérience identique à celle qu’ils ont au bureau, non seulement en termes de vitesse d’accès mais aussi de sécurité. Selon chaque utilisateur, les contrôles de sécurité associés aux politiques réseau sont configurés pour que les utilisateurs aient accès aux ressources, tant qu’elles ne sont que nécessaires.

Est-ce le même que le modèle Zero-Trust ?

Dans une certaine mesure, ce sont des modèles dont les concepts sont liés. Cependant, ils ne sont pas les mêmes. D’une part, le modèle Zero-Trust se concentre sur le fait de ne faire confiance à personne ni à rien. Cela implique de fournir, en fait, un accès au moindre privilège  basé sur le modèle qui est le protagoniste de ce guide. Il est bon de garder à l’esprit que l’accès n’est garanti qu’en examinant quelques considérations avant chaque demande. Voici quelques exemples : qui demande l’accès, le contexte ou la raison de la demande et le risque que court l’environnement de l’accès demandé.

L’un des objectifs centraux de ce modèle est de surveiller tout type de trafic généré par le réseau. De plus, le trafic généré via les API connectées à l’organisation et tout type de trafic externe au réseau sont pris en compte.

D’autre part, le modèle du moindre privilège se concentre sur la restriction des droits d’accès à toute entité. Il ne fait pas seulement référence à l’utilisateur et à ses comptes. Le moindre privilège peut également être appliqué aux ressources et processus de calcul. Maintenant, qu’est-ce qu’un privilège après tout ? Il fait référence à l’autorisation de l’utilisateur, du compte ou de la ressource afin qu’il puisse contourner les principales mesures de sécurité qui l’obligent à restreindre les ressources dont il a besoin.

En bref, Zero-Trust fait référence à un modèle de sécurité axé sur le réseau qui inclut le modèle du moindre privilège parmi ses implémentations. Et ce dernier est un moyen de gérer l’accès aux ressources réseau d’une organisation. Comme on peut le voir, il est clair que les avancées en matière de sécurité des réseaux évoluent vers un modèle qui permet à la gestion et aux opérations d’être de plus en plus agiles et moins laborieuses.