Le Zero Trust au cœur des stratégies de défense

La cybersécurité dans le secteur de la défense, côté étatique comme côté industriel, est à la fois une nécessité vitale dans le contexte géopolitique actuel et un facteur décisif pour se préparer à tout conflit potentiel. Chacun s’y prépare : les États créent des régiments dédiés à la cybersécurité, et l’OTAN a officiellement reconnu le cyberespace comme un nouveau domaine d’opérations, aux côtés de l’air, de la terre et de la mer.

Le paradigme Zero Trust devient incontournable dans tous les domaines et constitue un élément fondateur dans le secteur de la défense. On le retrouve dans les communications et les réglementations de plusieurs pays, où ses principes fondamentaux apparaissent souvent, même s’ils ne sont pas toujours nommés explicitement.

Depuis 2016 et sa première certification et qualification par l’ANSSI, CyberElements a développé une solution retenue par de nombreuses organisations gouvernementales et privées des secteurs de la sécurité et de la défense. Le premier critère de choix a été notre fonctionnalité Zero Trust, reconnue comme unique en Europe par des analystes tels que Gartner.

Cette capacité s’applique aux accès hautement sécurisés, aux accès à privilèges et à la gestion des identités, piliers du Zero Trust. Elle est disponible aussi bien en déploiement auto-hébergé que via la plateforme SaaS CyberElements.io.

Si nous ne sommes pas autorisés à divulguer le nom de nos clients, quel que soit le pays, la mention « Utilisé par les Armées françaises » témoigne clairement de notre présence dans ce secteur.

Les États se sont structurés pour renforcer leur réponse cyber

Chaque pays ou groupe de pays se dote des moyens de réglementer et d’assurer la protection, en premier lieu, de ses organisations militaires et gouvernementales, mais aussi des entités publiques ou privées impliquées dans les fonctions régaliennes ou les infrastructures critiques.

Aux États-Unis, cette organisation repose sur le National Defense Authorization Act (NDAA), qui suit une logique budgétaire annuelle. Au Royaume-Uni et en France, la stratégie est pluriannuelle, guidée respectivement par le « Defence Command Paper » et la loi de programmation militaire.

L’Europe, à travers les directives NIS et NIS2, adopte une approche plus large, tout en laissant les questions de sécurité nationale aux États membres. Nous détaillons NIS2 dans d’autres articles.

Trois exemples de stratégies nationales Zero Trust : Royaume-Uni, États-Unis et France

Au Royaume-Uni, les documents les plus importants sont la Data Strategy for Defence[1] et la Digital Strategy for Defence[2], accompagnées d’annexes détaillées comme le Defensive Cyber Operations Programme. Ces documents soulignent la nécessité d’une réponse globale en matière de cybersécurité, qui inclut un accès élargi aux données militaires « à tout moment et en tout lieu, dans les airs, sur terre, en mer, dans toutes les bases et même en télétravail ». L’enjeu est clairement posé : les données sont une ressource vitale pour la défense et doivent donc être largement accessibles, mais elles présentent aussi un haut niveau de confidentialité, qui impose une exposition minimale.

Le premier pilier de l’approche britannique a été la mise en place d’une infrastructure « sécurisée dès la conception ». Les principes fondamentaux du Zero Trust ont été intégrés à son développement, selon cette directive : « Développer des contrôles de gestion des identités et des accès pour garantir que les bons utilisateurs accèdent aux bonnes données, et à rien d’autre. » On note aussi une forte volonté de renforcer la sécurité des mots de passe : « que nos secrets restent secrets ». Le tout dans un cadre agile : « Essayer et tester tôt de nouvelles solutions de sécurité pour garder une longueur d’avance. »

L’une des caractéristiques clés de l’environnement militaire est également mise en avant : tout cela doit pouvoir fonctionner dans des environnements complexes, comme les opérations extérieures. C’est pourquoi, aux côtés de la composante technologique baptisée « Defensive Cyber Capability (DOC) Core », l’approche intitulée « Defense Cyber Operations in Complex Environments (DICE) » est elle aussi documentée.

Un mot sur le télétravail. Il peut sembler surprenant de l’associer au secteur militaire, et pourtant il gagne du terrain dans la défense pour une partie des effectifs : tous les postes ne nécessitent pas d’accéder à des données confidentielles ou classifiées. De plus, le recrutement au sein des armées est un défi majeur, et ne pas proposer de télétravail devient un frein. Cela exige toutefois une rigueur absolue dans l’application des principes du Zero Trust.

Aux États-Unis, à partir des décisions fédérales, notamment celles portées par le National Defense Authorization Act, les directives découlent de documents stratégiques de haut niveau, au premier rang desquels la Cyber Strategy 2023 du Department of Defense, classifiée. Un résumé officiel [3] en donne toutefois l’orientation : construire une architecture Zero Trust.

Dès 2022, le Department of Defense a fixé ce cap avec une feuille de route sur cinq ans pour mettre en œuvre le Zero Trust, en en donnant une définition claire, que l’on retrouve aussi dans les documents du National Institute of Standards and Technology (NIST) : « un ensemble de principes qui part du postulat que les réseaux sont déjà compromis et impose aux organisations de valider en permanence les utilisateurs, les terminaux et les données ».

L’approche américaine consiste à intégrer cette menace en partant du principe que l’adversaire est déjà dans le réseau. L’objectif est de « le ralentir et le contenir », selon Randy Resnick, responsable du programme Zero Trust du Department of Defense. La stratégie est détaillée explicitement dans plusieurs documents publics [4][5]. Le ton militaire résume l’essence du Zero Trust sans détour :

« Partir du principe que l’environnement est hostile
Présumer la compromission
Ne jamais faire confiance, toujours vérifier
Examiner explicitement
Appliquer une analyse unifiée »

Toutes les mesures y sont clairement décrites. Les fonctionnalités clés d’une plateforme comme CyberElements y sont nettement identifiées : accès utilisateur conditionnel, authentification multifacteur, gestion des accès à privilèges, fédération d’identités et gestion des identifiants, identification comportementale, contextuelle et biométrique, moindre privilège, authentification continue et plateforme ICAM intégrée. Chaque composante est définie avec précision en termes d’attentes et d’exigences.

En France, la loi de programmation militaire a très tôt montré la voie (2014-2019) en renforçant la sécurité des systèmes d’information critiques pour la défense nationale, avec des applications spécifiques dans des secteurs comme les activités militaires de l’État. Parmi les 50 mesures définies en février 2014 par le ministère des Armées, les fondations d’une approche Zero Trust ont été posées avec l’exigence d’une identité numérique pour le personnel de la défense. À partir de 2016, 20 règles spécifiques [6] ont été définies et mises en œuvre, constituant les premières briques d’une approche Zero Trust, même si le terme n’était pas encore employé.

Ces règles insistaient sur la nécessité d’une gestion dynamique des identités (« L’opérateur désactive sans délai les comptes qui ne sont plus nécessaires »), sur l’importance des comptes à privilèges (« Les droits d’administration sont attribués selon le principe du moindre privilège ») et sur la segmentation des réseaux (« Chaque système d’information d’importance vitale (SIIV) est physiquement isolé ou… seules les interconnexions strictement nécessaires à son bon fonctionnement et à sa sécurité sont autorisées »).

La loi de programmation militaire suivante (2019-2025) a encore renforcé le rôle de l’ANSSI, en la dotant d’un ensemble de guides et de bonnes pratiques pour faire appliquer ces règles, y compris dans les domaines clés du Zero Trust.

Sur site ou en SaaS : la réponse de CyberElements pour le secteur de la défense

Nous remercions nos clients du secteur de la défense pour la confiance construite sur l’écoute, la disponibilité et un fort engagement en faveur de l’innovation, ancré dans le modèle Zero Trust. Nous sommes fiers d’être challengés sur des enjeux critiques, où la cybersécurité est au cœur de la stratégie militaire, ce qui nous pousse à développer des solutions souvent en avance sur le monde civil.

Des solutions dont bénéficient tous nos clients, que ce soit en déploiement sur site ou via notre plateforme SaaS CyberElements.

Essayez par vous-même : remplissez trois champs dans un formulaire, et trois minutes plus tard, votre plateforme de cybersécurité est à portée de main.

Références :

[1] https://assets.publishing.service.gov.uk/media/614deb7a8fa8f561075cae0b/Data_Strategy_for_Defence.pdf (https://assets.publishing.service.gov.uk/media/614deb7a8fa8f561075cae0b/Data_Strategy_for_Defence.pdf)

[2] https://assets.publishing.service.gov.uk/media/60afae56d3bf7f435f43c7af/20210421_-_MOD_Digital_Strategy_-_Update_-_Final.pdf (https://assets.publishing.service.gov.uk/media/60afae56d3bf7f435f43c7af/20210421_-_MOD_Digital_Strategy_-_Update_-_Final.pdf)

[3] https://media.defense.gov/2023/Sep/12/2003299076/-1/-1/1/2023_DOD_Cyber_Strategy_Summary.PDF (https://media.defense.gov/2023/Sep/12/2003299076/-1/-1/1/2023_DOD_Cyber_Strategy_Summary.PDF)

[4] https://dodcio.defense.gov/Portals/0/Documents/Library/DoD-ZTStrategy.pdf (https://dodcio.defense.gov/Portals/0/Documents/Library/DoD-ZTStrategy.pdf)

[5] https://dodcio.defense.gov/Portals/0/Documents/Library/ZeroTrustOverlays.pdf (https://dodcio.defense.gov/Portals/0/Documents/Library/ZeroTrustOverlays.pdf)

[6] https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000033063035 (https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000033063035)