Principaux éléments à prendre en compte lors du choix d'une solution ZTNA

#1. Besoin de l'organisation et alignement de ZTNA sur les objectifs stratégiques

Toute solution ZTNA envisagée doit correspondre aux besoins de votre organisation et s'aligner sur vos objectifs stratégiques. Commencez par évaluer les exigences de sécurité spécifiques à vos activités. Il s'agit notamment de classer les données utilisées dans votre organisation en fonction de leur niveau de sensibilité et des exigences réglementaires.

Ensuite, déterminez qui a besoin d'accéder à quelles ressources, où les utilisateurs accèderont à ces ressources et quel appareil ils utiliseront. Identifier les solutions ZTNA capables de mettre en œuvre des politiques d'accès dans divers lieux et environnements, tout en tenant compte de la conformité et de l'expérience utilisateur.

Dans une perspective plus large, vous devriez vous demander ce que vous espérez obtenir en mettant en œuvre les principes de la confiance zéro. Par exemple :

• Vous êtes en pleine transformation numérique et souhaitez abandonner les contrôles de sécurité traditionnels basés sur le périmètre ?
• Vous souhaitez améliorer l'accès à distance et remplacer les anciens VPN actuellement utilisés ?
• Le déploiement de ZTNA fait-il partie d'une transition plus large vers une architecture de service d'accès sécurisé Edge (SASE) ?

Quel que soit l'objectif final, assurez-vous que la solution ZTNA que vous avez choisie possède les caractéristiques et les capacités nécessaires. Il peut s'agir d'une authentification ZTNA multifacteurs (MFA) pour une identification plus robuste de l'utilisateur ou d'une performance ZTNA rapide pour minimiser l'impact sur l'expérience utilisateur.

#2. Types d'outils de sécurité à confiance zéro

Le choix du type de solution ZTNA est le deuxième élément clé à prendre en considération. En général, les outils ZTNA sont classés en deux catégories principales :

• ZTNA basé sur un agent : Également connu sous le nom de ZTNA initié par le service, ce type de solution installe un agent logiciel sur chaque appareil ou poste. L'agent établit une connexion sécurisée avec un courtier de confiance basé dans le nuage qui applique les politiques d'accès. ZTNA basé sur des agents permet un contrôle plus granulaire de l'application de la sécurité post et persistante, ainsi que des vérifications plus approfondies de la posture de l'appareil ZTNA. Ce modèle fonctionne bien pour les appareils gérés par les entreprises qui vous permettent d'installer et de mettre à jour l'agent ZTNA.
• ZTNA sans agent : Également connue sous le nom de ZTNA initiée par le réseau, cette approche exploite l'accès par navigateur ou passerelle à des appareils sécurisés non gérés, sans nécessiter de logiciel dédié. Les politiques d'accès sont appliquées via le système de noms de domaine (DNS) ou les contrôles de routage. Avec un déploiement plus facile et une plus grande flexibilité, le ZTNA sans agent est idéal pour les entrepreneurs, les partenaires et les scénarios BYOD (Bring Your Own Appareil).

Certains fournisseurs de solutions de sécurité proposent également des solutions hybrides qui combinent le ZTNA basé sur un agent et le ZTNA sans agent afin de permettre aux organisations d'adapter la manière dont elles appliquent les contrôles d'accès en fonction de l'appareil de l'utilisateur. Par exemple, l'utilisation d'un ZTNA basé sur un agent pour les appareils gérés et d'un ZTNA sans agent pour les autres appareils. Cela permet d'équilibrer l'amélioration des performances ZTNA des agents avec la facilité de déploiement et la plus grande couverture des solutions sans agent.

#3. Principales caractéristiques de sécurité d'une plateforme ZTNA

Lorsque vous évaluez les plateformes ZTNA, concentrez-vous sur les fonctions de sécurité de base nécessaires pour protéger vos employés et vos flux de travail. Il peut s'agir de

• Application granulaire de la politique ZTNA : La possibilité d'appliquer un contrôle d'accès basé sur les rôles (RBAC) spécifique afin d'appliquer le principe du moindre privilège et de minimiser votre surface d'attaque. L'application granulaire de la politique ZTNA devrait également prendre en compte les données contextuelles telles que l'appareil, l'emplacement, l'heure de la journée, etc. afin de procéder à des ajustements dynamiques en fonction des risques. Par exemple, un utilisateur qui suit des schémas d'accès typiques dans le cadre de son travail quotidien présente un risque faible. Mais que se passe-t-il si leur comportement change soudainement et qu'ils utilisent un nouvel appareil ou tentent d'accéder à des informations en dehors des heures de travail normales ? Dans ce cas, leur demande peut être rejetée ou ils peuvent être contraints de s'authentifier par le biais de processus d'authentification plus robustes
• ZTNA MFA : Solutions qui offrent une authentification multi-facteurs native ou intégrée pour garantir une vérification solide de l'utilisateur. Il peut s'agir d'une série de facteurs tels que quelque chose que vous connaissez (mot de passe, code PIN, etc.), quelque chose que vous avez (jeton de sécurité matériel, appareil enregistré qui reçoit un mot de passe à usage unique, un code électronique ou une notification push, etc.), ou quelque chose que vous êtes (données biométriques telles que la reconnaissance faciale)
• Intégration de l'identité ZTNA : Compatibilité avec les outils de gestion de l'accès à l'identité (IAM) ou les fournisseurs d'identité (IdP) pour une intégration transparente. Recherchez une intégration des identités qui prenne en charge des normes ouvertes et robustes et qui fonctionne avec des annuaires sur site ainsi qu'avec des services d'identité en nuage. En outre, tenez compte des opérations futures et des fournisseurs qui font évoluer en permanence leurs caractéristiques d'intégration de l'identité ZTNA.
• ZTNA appareil Posture Assessments : Contrôles continus du poste avant et pendant les sessions pour gérer l'accès. Il s'agit de facteurs liés à l'appareil, tels que le correctif du système d'exploitation, l'état de l'antivirus, le chiffrement et la conformité de la configuration. Les évaluations de la posture des appareils ZTNA empêchent les appareils compromis ou non conformes d'accéder aux ressources de l'entreprise.
• Prévention des pertes de données (DLP) : Suivez l'accès aux données et appliquez les politiques DLP qui minimisent le risque d'accès non autorisé. Il peut s'agir d'appliquer un chiffrement basé sur des protocoles sécurisés ou une analyse du comportement des utilisateurs et des entités (UEBA) afin d'identifier les activités suspectes et de réduire l'accès.
• Microsegmentation du réseau : Associée à l'application granulaire de la politique ZTNA et à l'accès au moindre privilège, la segmentation de votre réseau en sous-ensembles plus petits limite les mouvements latéraux afin de minimiser l'impact des comptes compromis. En isolant les systèmes et en appliquant des contrôles de sécurité stricts pour les utilisateurs qui tentent de passer de l'un à l'autre, vous pouvez éviter qu'une violation initiale ne dégénère en incident grave

#4. Visibilité et rapports

Bon nombre de ces contrôles de sécurité sont renforcés ou rendus possibles grâce à de solides capacités de visibilité et d'établissement de rapports du ZTNA. Les contrôles ZTNA doivent couvrir l'ensemble de votre personnel, en surveillant les demandes d'accès et en fournissant des journaux détaillés à des fins d'analyse et d'audit de conformité. Recherchez des solutions qui offrent une visibilité en temps réel sur toutes les sessions d'utilisateurs et qui fournissent des rapports détaillés sur l'application de la politique ZTNA.

Une visibilité approfondie de l'accès au réseau est essentielle pour les contrôles adaptatifs, l'UEBA et de nombreuses autres fonctions de sécurité renforcées. Il fournit l'intelligence nécessaire pour affiner les politiques et optimiser la protection.

#5. Modèles de déploiement et évolutivité

Le modèle de déploiement et l'évolutivité de ZTNA qui en résulte pour s'adapter aux nouveaux besoins de l'entreprise sont un autre élément clé à prendre en compte lors du choix d'une solution. En termes de modèle de déploiement, la sélection d'un accès moderne sans confiance se résume à ce qui suit :

• Cloud-Basées sur le cloud : Idéales pour les effectifs hybrides, les solutions basées sur le cloud offrent évolutivité et flexibilité grâce à des mises à jour faciles qui permettent de s'adapter aux nouvelles menaces et d'augmenter la capacité au fur et à mesure que votre entreprise se développe.

• Sur site : Un déploiement plus rigide et plus strict qui convient mieux aux industries hautement réglementées avec des exigences de résidence des données.

• Hybride : Combine les deux pour offrir les avantages des solutions basées sur le cloud tout en maintenant le déploiement sur site pour des exigences plus strictes en matière de données.

Le bon choix pour votre entreprise dépendra de vos besoins en matière de conformité, de l'environnement de votre réseau et de la répartition de votre personnel. Lorsque vous envisagez un déploiement évolutif basé sur le cloud, recherchez des fournisseurs qui maintiennent des points de présence (PoP) à l'échelle mondiale afin de garantir de bonnes performances ZTNA, quel que soit le nombre et la répartition des utilisateurs.

#6. expérience utilisateur & Performance

Les plateformes ZTNA doivent trouver un équilibre entre une sécurité robuste et un impact significatif sur l'expérience de l'utilisateur. Les facteurs clés sont les suivants :

• Connexions à faible latence grâce à un routage optimisé et à un réseau PoP mondial
• Signature unique (SSO) pour un accès simplifié à l'ensemble des applications
• Perturbation minimale pendant les contrôles de posture de l'appareil ou les invites de l'AMF

Des performances et une expérience utilisateur médiocres de ZTNA peuvent conduire les employés à chercher des solutions de contournement, telles que l'informatique parallèle (shadow IT). Les utilisateurs qui contournent l'équipe de sécurité et partagent des données sensibles avec des applications non autorisées compromettent la mise en œuvre des solutions ZTNA.

#7. Intégration dans une pile de sécurité plus large

ZTNA contrôle ce à quoi les utilisateurs ont accès, réduisant ainsi votre surface d'attaque. Toutefois, il ne s'agit pas d'un cadre complet et il doit être déployé dans le cadre d'un ensemble de mesures de sécurité plus large qui offre une série d'autres capacités. Par conséquent, vous devez examiner comment une solution ZTNA particulière s'intégrera à différents outils et technologies pour offrir des garanties étendues.

ZTNA est couramment mis en œuvre en tant qu'élément clé de l' architecture SASE, qui combine le cadre avec une suite complète d'outils de mise en réseau et de sécurité, notamment :

• Réseau étendu défini par logiciel (SD-WAN)
• Passerelle Web sécurisée (SWG)
• Firewall-as-a-Service (FWaaS)
• Courtier en sécurité pour l’accès au cloud (CASB)