Le zero trust est le modèle de sécurité qui supprime la confiance implicite au sein du réseau et vérifie chaque accès sur ses propres mérites. Au lieu de faire confiance à tout ce qui se trouve à l'intérieur du périmètre, il demande à chaque requête de prouver qu'elle devrait être autorisée. Dans une IT riche en identités, cette approche est puissante et de plus en plus standard.
Appliquer le zero trust à l'OT est plus ardu. De nombreux systèmes OT n'ont aucune identité, communiquent au moyen de protocoles dépourvus d'authentification et ne peuvent tolérer la surcharge qu'ajoutent les mécanismes du zero trust. Cet article examine ce qui se transpose, ce qui atteint ses limites, et comment la réduction de l'accessibilité offre une voie pragmatique vers le même objectif.
01Points clés à retenir
- 01
Le zero trust supprime la confiance réseau implicite et vérifie chaque accès au lieu de se fier à l'emplacement.
- 02
Ses idées fondamentales, moindre privilège, microsegmentation et vérification continue, ont de la valeur en OT.
- 03
Il atteint ses limites là où les systèmes OT n'ont pas d'identité, utilisent des protocoles non authentifiés ou ne peuvent tolérer de surcharge supplémentaire.
- 04
L'esprit du zero trust, ne jamais présumer qu'une accessibilité est sûre, correspond directement à la réduction de l'accessibilité.
- 05
Une démarche zero trust pragmatique en OT consiste à supprimer les accès permanents et à rendre la connectivité explicite et minimale.
02Les fondamentaux du zero trust
Le zero trust remplace l'ancien modèle d'un réseau interne de confiance derrière un périmètre étanche par un modèle où aucun acteur ni système n'est digne de confiance par défaut. Chaque requête d'accès est authentifiée, autorisée et vérifiée au regard d'une politique, quelle que soit son origine.
Le NIST décrit l'architecture zero trust autour de principes tels que le moindre privilège, les décisions d'accès par requête et la vérification continue. L'objectif est de garantir que le simple fait d'être sur le réseau ne constitue pas, en soi, l'autorisation de faire quoi que ce soit.
L'affirmation centrale du zero trust : l'emplacement n'est pas une autorisation. Chaque accès doit mériter son droit de passage.
03Pourquoi l'OT met le modèle à l'épreuve
Le zero trust présuppose un monde d'identités fortes et la capacité de vérifier chaque requête. L'OT n'offre souvent ni l'une ni l'autre, et c'est là que le modèle est mis à rude épreuve.
- De nombreux équipements n'ont aucune notion d'identité utilisateur à authentifier.
- Les protocoles industriels sont fréquemment dépourvus de toute authentification et de tout chiffrement.
- Les contraintes temps réel ne laissent aucune marge pour la surcharge d'une vérification par requête.
- Les systèmes hérités ne peuvent exécuter d'agents ni de logiciels de sécurité modernes.
- Les exigences de disponibilité rendent tout blocage agressif risqué.
04Ce qui se transpose, et ce qui ne se transpose pas
Plutôt que de traiter le zero trust comme du tout ou rien, il est utile de distinguer les principes qui survivent au passage à l'OT des mécanismes qui, souvent, n'y survivent pas.
- Se transpose bien
- Le moindre privilège, la microsegmentation, la suppression de la confiance implicite entre zones, et la vérification des accès à des frontières contrôlées plutôt que la confiance accordée au réseau.
- Se transpose mal
- L'identité par équipement sur des automates hérités, l'application des règles par agent, et l'authentification continue par requête sur des protocoles temps réel.
La leçon consiste à poursuivre les résultats du zero trust par les moyens que l'OT autorise, souvent au niveau du réseau et des frontières, plutôt que d'imposer des mécanismes IT à des équipements incapables de les prendre en charge.
05La réduction de l'accessibilité, une démarche zero trust pragmatique
Si un équipement ne peut vérifier qui lui parle, la meilleure solution suivante consiste à limiter strictement ce qui peut lui parler, et quand. C'est le zero trust exprimé par l'accessibilité : ne jamais présumer qu'un chemin doit être ouvert simplement parce qu'il existe.
Supprimer les accès permanents incarne le principe zero trust du refus par défaut. Un schéma de connectivité contrôlée AIRGAPNET peut maintenir les segments OT déconnectés par défaut et n'ouvrir un chemin que pour un objectif explicitement approuvé et limité dans le temps, de sorte que la connectivité n'est jamais implicite et toujours justifiée, même lorsque l'équipement lui-même ne peut l'imposer.
Ce n'est pas une architecture zero trust complète, mais elle apporte la part la plus importante de l'intention : rien n'est accessible du simple fait de se trouver sur le réseau.
06Réflexion finale
Le zero trust est une idée forte qui ne se transplante pas proprement dans l'OT. Pris au pied de la lettre, avec une identité par équipement et une vérification continue partout, il entre en collision avec les protocoles hérités, les contraintes temps réel et les équipements incapables d'y participer.
Pris comme intention, ne jamais faire confiance au réseau, toujours justifier l'accès, il convient bien à l'OT. Poursuivez-le là où l'OT le permet, appuyez-vous sur la segmentation et le moindre accès, et utilisez la réduction de l'accessibilité pour refuser par défaut. Le zero trust en OT tient moins à de nouveaux agents sur de vieux équipements qu'au refus de présumer qu'un chemin est sûr.
FAQQuestions fréquentes
Qu'est-ce que le zero trust ?
Le zero trust est un modèle de sécurité qui supprime la confiance implicite au sein du réseau et vérifie chaque accès sur ses propres mérites. Au lieu de faire confiance à tout ce qui se trouve à l'intérieur d'un périmètre, il exige que chaque requête soit authentifiée, autorisée et contrôlée au regard d'une politique.
Pourquoi le zero trust est-il difficile à appliquer en OT ?
De nombreux équipements OT n'ont aucune identité utilisateur, les protocoles industriels sont souvent dépourvus d'authentification, les contraintes temps réel ne laissent aucune marge pour la surcharge d'une vérification par requête, les systèmes hérités ne peuvent exécuter d'agents, et les exigences strictes de disponibilité rendent tout blocage agressif risqué.
Quelles parties du zero trust fonctionnent en OT ?
Le moindre privilège, la microsegmentation, la suppression de la confiance implicite entre zones et la vérification des accès à des frontières contrôlées se transposent bien. L'identité par équipement sur des automates hérités, l'application des règles par agent et l'authentification continue par requête, souvent non.
Quel est le lien entre la réduction de l'accessibilité et le zero trust ?
Si un équipement ne peut vérifier qui lui parle, la meilleure solution suivante consiste à limiter strictement ce qui peut l'atteindre, et quand. Supprimer les accès permanents et rendre la connectivité explicite et limitée dans le temps incarne le principe zero trust du refus par défaut.
Peut-on atteindre un zero trust complet en OT ?
Rarement au sens littéral de l'IT, car de nombreux équipements ne peuvent y participer. Mais l'intention, ne jamais faire confiance au réseau et toujours justifier l'accès, est atteignable par la segmentation, le moindre accès et la réduction de l'accessibilité au niveau du réseau et des frontières.
SRCSources de référence
Ne jamais faire confiance au chemin
Refusez par défaut là où les équipements ne peuvent vérifier par eux-mêmes.
Exprimez l'intention du zero trust en OT en supprimant les accès permanents : maintenez les segments déconnectés par défaut et n'ouvrez un chemin que pour un objectif explicite, limité dans le temps et approuvé.