Transcription

• Speaker #0

  Ce qu'ils cherchent aujourd'hui pour attaquer des entreprises, c'est justement un accès VPN. Employer un cryptolocker, voler de l'information, l'altérer, prendre l'identité d'un tiers. L'ensemble des constructeurs de firewalls et donc de serveurs VPN ont à un moment ou à un autre été confrontés à des failles de sécurité exploitables par les pirates.

• Speaker #1

  Bonjour et bienvenue dans ce nouvel épisode de l'Humain à cœur du digital. Aujourd'hui, on va parler VPN, tout un programme. Et vous allez me dire, mais pourquoi on parle VPN aujourd'hui ? Parce que tout simplement, le VPN a presque 30 ans. On va bientôt fêter son anniversaire. Il a été surtout inventé à une époque où les applications étaient dans des infrastructures locales, les logiciels étaient dans des infrastructures locales IT. que les utilisateurs étaient au bureau et que, bien sûr, le réseau de l'entreprise était hyper cloisonné. Aujourd'hui, c'est plus vraiment comme ça. Les applications sont dans le cloud, dans un monde hybride, dans le cloud public, dans du cloud privé, dans différents espaces. Les utilisateurs travaillent de n'importe où, au bureau. en télétravail, en déplacement. Vraiment, ça c'est quelque chose qui a énormément évolué ces dernières années. Le problème aujourd'hui, c'est que beaucoup d'entreprises, beaucoup d'organisations font encore rentrer leurs utilisateurs dans leur réseau comme si rien n'avait changé pour qu'ils puissent travailler. Mais je crois savoir que c'est plus forcément la meilleure des solutions parce qu'aujourd'hui se pose La question, la seule et unique question sur la partie VPN, et Thomas, je te vois sourire, c'est est-ce qu'on n'insiste pas à la fin du VPN ? Et au-delà de ça, si on insiste à la fin du VPN, par quoi on va remplacer ce protocole ? Si on peut appeler ça un protocole, mais bien sûr qu'on peut appeler ça un protocole. Est-ce qu'il faut tout remplacer ? Ou est-ce qu'à un moment donné... il faut remplacer qu'une seule partie. Est-ce qu'on peut parler d'hybridation dans le cadre du VPN ? On va aussi parler dans ce podcast de Zero Trust, de ZTNA et sans doute beaucoup d'acronymes dont on a le secret en IT. Et qu'est-ce que ça change surtout pour les directions de services informatiques ? Tout un programme sur le VPN et c'est pour ça qu'on a nommé d'ailleurs ce podcast le VPN. du futur. Et pour répondre à toutes ces questions, on accueille Thomas. Salut Thomas !

• Speaker #0

  Salut Julie !

• Speaker #1

  Thomas, j'ai une autre introduction beaucoup plus courte, donc je vais te la faire aussi parce que quand même, on l'a rédigée, donc voilà, on va la faire. Le VPN fait ses 30 ans. Est-ce que c'est à ce bine d'avoir un VPN aujourd'hui ? Voilà, donc pour répondre à cette question, j'accueille Thomas.

• Speaker #0

  Eh bien, re-salut Julie, 30 ans de VPN.

• Speaker #1

  On commence par une première question. On entend dire, c'est un peu ce que je disais en introduction, que le VPN est en train de mourir, que c'est la fin du VPN, on est en train de creuser sa tombe. Est-ce que c'est du marketing ou est-ce qu'il se passe vraiment quelque chose ? Est-ce qu'il est en train de se passer quelque chose dans les années à venir ou est-ce qu'il s'est déjà passé quelque chose concernant le VPN ?

• Speaker #0

  Il y a sûrement toujours un petit fond de marketing, Julie, sinon on ne serait pas là aujourd'hui. Néanmoins, il y a effectivement une transformation qui a déjà commencé à s'opérer et qui va largement s'accélérer dans les mois, dans les années qui viennent à propos du VPN. Le VPN tel qu'on l'utilise aujourd'hui, c'est un VPN qui est dit périmétrique. C'est-à-dire que j'ai mon client VPN et je me connecte au réseau de mon entreprise. Voilà, ça c'est le VPN aujourd'hui. Une fois que je suis connecté au réseau de l'entreprise, c'est comme si j'étais à l'intérieur de l'entreprise, la segmentation en moi. Je n'ai pas de sécurité a posteriori et en matière de segmentation, il y a peu de choses qui sont faites pour les utilisateurs qui sont connectés en VPN. Alors qu'aujourd'hui, est-ce qu'on est encore dans un monde périmétrique, Julie ?

• Speaker #1

  Absolument pas.

• Speaker #0

  Absolument pas, parce qu'à l'époque, nos applications étaient dans le réseau de l'entreprise. Mais aujourd'hui, nos applications...

• Speaker #1

  Et en lourd local ?

• Speaker #0

  Exactement, mais aujourd'hui nos applications sont un peu partout. Alors il y en a qui sont encore dans le réseau de l'entreprise, il y en a qui sont dans des clouds publics, il y en a qui sont dans notre infrastructure cloud privée, il y en a qui sont même des fois chez des éditeurs ou parfois même chez certains de nos clients. Et donc cette notion de périmètre n'existe plus. Donc est-ce qu'il faut encore utiliser un VPN dit périmétrique pour s'y connecter ? La réponse je pense est plutôt non. Et je pense qu'aujourd'hui, ces changements sont en train de s'opérer, les systèmes d'information, les dirigeants des systèmes d'information en prennent conscience et ont besoin qu'on puisse leur proposer un nouveau modèle pour accéder non plus à ces applications, mais à ce qu'on va qualifier de ressources, tout en gagnant en sécurité, parce qu'il y a un vrai problème de fond sur la sécurité du VPN périmétrique.

• Speaker #1

  C'est là l'enjeu, parce qu'à un moment donné, pourquoi on a mis un VPN sur le réseau de l'entreprise ? accéder aux applications, c'est pour la partie sécurité dans un premier temps. Moi, je voulais juste dire un petit bonus, c'est pas du tout écrit, donc je sais que tu vas pouvoir répondre à cette question, ou au moins à caisser à ce que je vais dire. C'est tellement relou le VPN pour les utilisateurs.

• Speaker #0

  Je dirais même que c'est insupportable parce que généralement, on le lance après avoir lancé l'application qu'on veut joindre. Donc, il faut tout recommencer, il faut fermer l'appli, il faut lancer le VPN, il faut s'identifier, il faut s'authentifier, il faut double authentifier. Puis ensuite, on va lancer une visio, mais tout le flux ou la moitié du flux passe par le VPN. En fait, on ne sait même pas et c'est d'ailleurs un des points clés des problématiques du VPN au-delà de sa sécurité. C'est que la DSI n'a pas de vision claire de ce qui passe dans le tunnel et de ce qui n'y passe. pas. Donc, notre visio Teams, elle va saccader. Est-ce que c'est parce qu'on a lancé notre client VPN ou pas ? On ne sait pas. Du coup, on le coupe. Du coup, le poste n'est plus dans une stratégie de gouvernance, etc. Donc, oui, c'est un enfer.

• Speaker #1

  Moi, j'ai envie de dire que le VPN est un peu mort, mais on va continuer quand même le podcast parce que ce n'est peut-être pas ta réponse. Aujourd'hui, qu'est-ce qui rend le VPN dangereux ? Tu parles de dangerosité, tu parles de cyberattaque sur les VPN, mais moi, j'ai un peu du mal à comprendre. C'est quand même quelque chose qui est censé te protéger. Tu es dans le réseau de ton entreprise, toi, tu es bien. Qu'est-ce qui fait que c'est dangereux ?

• Speaker #0

  Eh oui, parce que le VPN, quand il est apparu sur le marché, permettait d'augmenter le niveau de sécurité des utilisateurs en mobilité dès lors qu'ils devaient se connecter au réseau d'entreprise. Donc, la connexion était chiffrée. crypté, si l'on veut. Et ce n'est pas ça aujourd'hui qui pose problème. Bien qu'il existe des vulnérabilités sur à peu près l'ensemble des clients VPN, on y reviendra, qui ont sans doute été corrigés à travers le temps, mais la problématique n'est pas la sécurité du transport de l'information. La problématique, c'est ce pour quoi on s'en sert. On vient se connecter au réseau d'entreprise et ensuite, on est open bar dans tout le réseau. C'est-à-dire que... Mon identité, elle n'a été validée ou prouvée qu'au moment où je m'y suis connecté. J'ai mis mon nom d'utilisateur, j'ai mis mon mot de passe. Le point d'accès VPN, qui est généralement le firewall, a dit « Ok, c'est Thomas, je laisse passer » . Et derrière, il n'y a plus aucun contrôle de ce que je fais au sein du réseau d'entreprise par le concentrateur VPN. Et ça, ça laisse une trop grande latitude aujourd'hui aux utilisateurs. Et les pirates l'ont bien compris. que ce qu'ils cherchent aujourd'hui pour attaquer des entreprises, c'est justement un accès VPN qui va leur permettre d'accéder au réseau de l'entreprise et pouvoir s'y déplacer librement sans que personne ne trouve à y redire. Le concentrateur VPN ayant dit « Ok, c'est Thomas qui entre » .

• Speaker #1

  Après, une fois qu'ils sont rentrés sur le réseau, qu'est-ce qu'ils pourraient faire par exemple ?

• Speaker #0

  On va parler de latéralisation. Ils vont pouvoir se déplacer sur les différents VLAN du réseau. Ils vont pouvoir scanner l'ensemble du réseau à la recherche de vulnérabilités ou de données mal protégées qu'ils vont pouvoir soit altérer, soit expurger, soit exfiltrer. Et donc faire tout ce que veut faire un pirate aujourd'hui. Déployer un cryptolocker, voler de l'information, l'altérer, prendre l'identité d'un tiers. Il y a plein de choses que peut faire un pirate une fois qu'il a un point d'entrée dans le réseau. et ce, des biens. constituent une porte d'entrée.

• Speaker #1

  Tu parles de vulnérabilité, est-ce que dans le cadre des vulnérabilités, tous les fournisseurs de VPN sont concernés ou seulement une infime partie ?

• Speaker #0

  Alors je peux répondre très rapidement, oui tout le monde est concerné. Tous les fournisseurs de VPN ont à un moment ou à un autre été confrontés à une vulnérabilité de leur serveur VPN. Le problème que ça pose... parce que je vais quand même un tout petit peu développer, si tu me le permets. Bien sûr. C'est que la plupart du temps, le VPN, c'est un ajout au firewall de l'entreprise. Donc, si toi, tu as une stratégie de patch management qui va faire que tes firewalls sont à jour tout le temps. Tu t'éloignes un petit peu de cette menace-là, mais on sait à quel point...

• Speaker #1

  Moi j'ai une stratégie...

• Speaker #0

  J'espère bien que tu as cette stratégie, on a de cesse que de la prôner, donc j'espère bien. Mais on sait tous à quel point le firewall est critique dans l'entreprise et que le couper ou le redémarrer pour le temps d'une mise à jour peut avoir des conséquences sur la connectivité globale de l'entreprise et ce n'est pas toujours simple de trouver un créneau. Et donc, il arrive que certaines entreprises aient des firewalls qui ne soient pas tout à fait à jour. Et je le disais effectivement tout à l'heure, les pirates cherchent, veulent un accès au réseau de l'entreprise et pour ça, ils utilisent le VPN et donc le firewall de l'entreprise. Et pour résumer et donc répondre à ta question Julie, oui, tous les constructeurs sont concernés, quelles que soient leurs couleurs, rouge, bleu, vert, l'ensemble des constructeurs de firewall et donc de serveurs VPN ont à un moment ou à un autre été confrontés. à des failles de sécurité exploitables par les pirates.

• Speaker #1

  Et pour être bienveillant avec eux, ils ont été confrontés parce qu'effectivement, tu disais que c'est un point d'entrée hyper intéressant pour les pirates. Donc, c'est normal que peut-être ils aient plus de vulnérabilité que d'autres équipements routiers.

• Speaker #0

  Le firewall est par nature l'équipement le plus confronté aux failles de sécurité. Donc, ça vient de l'extérieur. Et tu l'as mentionné dans l'une de tes deux introductions, Julie. Avec la démocratisation par les attaquants de l'usage de l'intelligence artificielle à des fins de scan de vulnérabilité, bien sûr, les failles augmentent. Le nombre de failles disponibles et utilisables par les pirates est en constante évolution.

• Speaker #1

  Moi, je vais te reposer quand même une question clé. Aujourd'hui, je ne sais pas, je n'ai pas de statistiques, mais... peut-être que c'est 60% ou 80% des applications, des dossiers, sont en mode SaaS pour les utilisateurs d'une entreprise.

• Speaker #0

  C'est juste.

• Speaker #1

  Mais pourquoi on aurait encore besoin de VPN ?

• Speaker #0

  C'est toute la question et c'est le cœur de ce podcast. Alors, la connectivité, Julie, on en aura toujours besoin. Parce que, comme tu l'as mentionné, nos utilisateurs, nos identités doivent accéder à des ressources. Qu'elle soit on-prem, qu'elle soit cloud, qu'elle soit cloud privé, qu'elle soit chez un fournisseur d'applications, il faudra toujours accéder à ces applications. Et pour autant, il faudra aussi sécuriser l'accès à ces applications. On ne peut pas se permettre de laisser notre logiciel de comptabilité, notre ERP, full ouvert sur l'ensemble des internets. Ce n'est pas humainement envisageable en 2026. Donc, il faut savoir qui se connecte à quoi. quand et avoir un contrôle permanent de l'état de cette connexion entre l'utilisateur et la ressource à laquelle il doit accéder. Donc, il faut manager cette liaison. Mais est-ce qu'on va la manager au travers d'un VPN ? Plus aujourd'hui, non ?

• Speaker #1

  Ah, j'allais dire, ne nous le dis pas, parce que j'ai d'autres questions avant. Je n'ai rien dit. On entend parler pas mal de Zero Trust. Ça fait bien un petit moment.

• Speaker #0

  Oui.

• Speaker #1

  qu'on entend parler de Zero Trust. Si tu dois nous expliquer ce que c'est le Zero Trust pour quelqu'un qui est hyper pressé, qui n'a pas envie de suivre tout le podcast et qui s'est juste dit qu'il allait écouter le podcast parce que j'ai parlé de Zero Trust dans l'introduction. Déjà, ma phrase, elle est trop longue. Il n'a plus envie d'écouter. Mais c'est quoi le Zero Trust et en quoi c'est lié au VPN ou à une manière de se connecter ?

• Speaker #0

  Alors, le Zero Trust, je peux répondre rapidement.

• Speaker #1

  Une petite traduction.

• Speaker #0

  Aucune confiance. Zero Trust, aucune confiance. Et c'est toute la base de la stratégie aujourd'hui qu'il convient de mettre en place pour lier l'utilisateur à la ressource à laquelle il doit accéder. Et ça fait directement opposition au principe du VPN où il y avait un état de confiance dès lors que tu es authentifié. Julie Perrin. ton mot de passe, que je ne dis à personne, éventuellement ton second facteur d'authentification, et le serveur VPN dit « Ok, c'est Julie, je la laisse passer, elle est authentifiée. » Et le niveau de confiance s'arrête là. C'est-à-dire qu'il est plutôt haut, vu que derrière, tu as accès, on le disait tout à l'heure, à tout ce qu'il y a derrière le VPN. Et ça, aujourd'hui, ce n'est plus possible, pour les raisons qu'on a évoquées tout à l'heure. Donc la stratégie qu'il convient de mettre en place, c'est justement de ne pas faire confiance à un simple acte d'authentification. C'est-à-dire qu'on ne peut plus s'arrêter au fait que tu t'es simplement authentifié comme étant toi-même pour accéder aux ressources. Le principe du Zero Trust, c'est qu'on va systématiquement valider ou revalider ton authentification, ton identité, et qu'on va t'autoriser à n'accéder qu'à ce dont tu as besoin. C'est là où on va parler, en plus du Zero Trust, du principe de moindre privilège. si tu n'as pas besoin d'accéder à telle application. tu n'auras pas le droit d'accéder à telle application. Et donc, cette notion d'open bar qu'on avait sur le réseau d'entreprise disparaît totalement dès lors qu'on applique une stratégie de Zero Trust parce que l'utilisateur, via sa device, son ordinateur ou son smartphone ou sa tablette, n'a accès qu'à ce dont il a besoin, quand il en a besoin. Ça, c'est la stratégie Zero Trust.

• Speaker #1

  Je comprends bien ce principe-là. Avant, tu avais quand même parlé de... On va toujours vérifier si c'est bien toi,

• Speaker #0

  ça a l'air chiant. Heureusement, c'est un principe qui est totalement automatisé et transparent, bien sûr, par la corrélation d'un certain nombre d'éléments. Ton identité et tes crédentiales, donc ton nom d'utilisateur et ton mot de passe, sont un de ces moyens-là. Mais ta position géographique en est aussi un, l'état de santé de ton poste de travail en est aussi un. la durabilité de ta session sur le poste de travail en est aussi un. Donc, tout ça va contribuer à dire, c'est toujours Julie, depuis son bureau ou son appartement ou son hôtel, avec son ordinateur d'entreprise, qui tente de se connecter à une ressource et non un usurpateur.

• Speaker #1

  Tu as une image qui rend concret le Zero Trust. J'imagine que, du coup, tu as une belle image. Est-ce que tu peux nous la dire ?

• Speaker #0

  Alors, une image qui opposerait le Zero Trust au principe de VPN empirique. Pour les gens qui auraient besoin de quelque chose d'un peu plus visuel, tu veux dire ?

• Speaker #1

  C'est ça.

• Speaker #0

  Bien sûr, moi je peux opposer le VPN empirique à un château avec des très grosses murailles, c'est le VPN. Mais une fois qu'on rentre dans le château, on a librement accès aux couloirs et qui nous permettent d'aller soit dans la pièce dans laquelle on voulait aller, mais peut-être aussi dans d'autres pièces.

• Speaker #1

  Au jeu de la couronne.

• Speaker #0

  Exactement. Et à l'inverse... Une stratégie Zero Trust représenterait plutôt un téléporteur, pour les gens un peu geeks comme moi, qui téléporte l'utilisateur jusqu'à la ressource unique et précise à laquelle il a besoin d'accéder, et c'est tout.

• Speaker #1

  Tu nous as donné une image, on se projette bien dans ce que pourrait être le Zero Trust. Côté utilisateur, ça va se passer comment ? Moi, je me connecte à mon PC, je veux accéder à mon application. Ok, fais-moi le schéma. J'espère que c'est simple,

• Speaker #0

  Thomas. Pour l'utilisateur, c'est encore plus simple que simple vu qu'il n'y a rien à faire. Ça devrait...

• Speaker #1

  J'adore.

• Speaker #0

  Exactement. Je reviens un petit coup dans le passé. C'est avant, comment tu faisais quand tu devais te connecter à une application via un VPN ? On l'a cité tout à l'heure, tu devais lancer le client VPN, t'y connecter, t'y déconnecter quand tu voulais faire autre chose qui n'était pas prévue par... le fonctionnement du client VPN, ça pouvait avoir un impact sur ta bande passante, ça pouvait avoir un impact sur la qualité de ta connexion. Bref, ça pouvait être dérangeant. Aujourd'hui, quand on veut mettre en place une stratégie Zero Trust pour un utilisateur au sein de l'entreprise, il y a effectivement un agent qui tourne sur son poste de travail et qui va démarrer en même temps que l'ordinateur et établir une pré-connexion à un environnement cloud la plupart du temps. qui va ensuite se charger de faire appliquer la stratégie Zero Trust qu'on a déterminée. Et quand on parle de Zero Trust, on ne parle d'ailleurs pas que de Zero Trust pour l'accès aux applications, Julie. On parle aussi de Zero Trust pour tout l'écosystème qu'utilise l'utilisateur en allant même jusqu'à sa connexion Internet. Donc tous les flux qui sortent de l'ordinateur ou du device de l'utilisateur vont passer par ce concentrateur. Zero Trust, et vont être analysées de manière approfondie, si on le souhaite, et dispatchées jusqu'à l'endroit où elles doivent être acheminées. Donc, on parlait de ressources tout à l'heure. Tu dois accéder à ton ERP, ça va passer par ce concentrateur, et t'acheminer jusqu'à l'ERP. Mais tu veux aller simplement sur Internet, eh bien, ça va aussi passer par ce concentrateur. ce concentrateur va se charger d'assainir ta connexion et être certaine qu'il n'y ait pas de menace qui puisse rentrer par ce biais-là. En réalité... Ce concentrateur vient porter sur ton poste de travail en mobilité l'ensemble des stratégies de sécurité dont tu bénéficies quand tu es au bureau. Donc c'est une évolution très importante parce qu'au-delà de simplifier la connexion à une ressource et d'être sûr qu'il n'y a pas d'évasion possible dans le château, ça va aussi amener une couche de sécurité très importante sur l'ensemble des flux qui sortent de ton ordinateur.

• Speaker #1

  Si j'ai déjà une stratégie clairement définie de gouvernance où je sais que le service de comptabilité a accès à tel outil, le service de prod a accès à tel outil, c'est clairement défini chez moi, ça, on est d'accord, je le réplique dans mon outil Zero Trust.

• Speaker #0

  De toute évidence, c'est bien tout l'objet du principe, c'est de conserver Ta stratégie de moindre privilège ou à minima de gestion par groupe jusqu'à tes utilisateurs en mobilité, si tant est qu'ils appartiennent à ces groupes.

• Speaker #1

  Là, on parle pas mal des utilisateurs, mais il n'y a pas que les utilisateurs qui sont connectés au réseau. Je suis dans l'industrie, mes machines, outils, toute mon automatisation, robotisation est liée au réseau et est connectée au réseau. même si, bien évidemment, j'ai fait de la segmentation réseau. Est-ce que ce principe de zéro trust, on peut aussi l'appliquer dans toute la stratégie réseau ?

• Speaker #0

  Alors, en soi, c'est du design. Donc, on peut faire un petit peu ce qu'on veut. Mais ce n'est pas tout à fait la même chose parce qu'une machine outil, un robot, généralement, ça ne se déplace pas beaucoup et puis les configurations sont très statiques. Donc là,

• Speaker #1

  on est segmentation réseau.

• Speaker #0

  Voilà, tout à fait. Tout le principe de zéro trust... de moindre privilège s'applique essentiellement aux utilisateurs qui étaient potentiellement un vecteur aussi de failles quand ils se connectaient au VPN.

• Speaker #1

  C'est pour ça qu'on fait bien le lien entre VPN et Zero Trust.

• Speaker #0

  Tout à fait. Le Zero Trust, par ailleurs, ne remplace pas le VPN site à site.

• Speaker #1

  Site à site, bien sûr. On parle de stratégie Zero Trust. Donc la stratégie Zero Trust, ce n'est pas juste une démarche que tu mets au sein de ton système d'information, ton système informatique. C'est bien évidemment des solutions, Thomas, j'imagine. Est-ce que tu peux nous dire comment fonctionnent ces solutions ? Concrètement, ça marche comment ? C'est toujours un peu délicat, moi, je trouve, en IT, d'expliquer comment ça fonctionne. Donc, sois hyper précis, s'il te plaît.

• Speaker #0

  Alors, je vais tenter de répondre à la question de la manière la plus form-factuelle possible, pardon. Donc, effectivement, quand on veut appliquer une démarche Zero Trust, alors, Zero Trust, ça reste... une philosophie, de bonnes pratiques informatiques.

• Speaker #1

  On a l'habitude de philosophie dans les podcasts, on avait fait la philosophie des votes, maintenant on a la philosophie Zero Trust.

• Speaker #0

  Exactement.

• Speaker #1

  On veut des solutions.

• Speaker #0

  Bien entendu, mais tu n'as pas besoin d'une solution pour appliquer déjà à toi-même et à ton IT une stratégie Zero Trust. Néanmoins, quand tu veux transformer cette stratégie Zero Trust en moyen d'accéder techniquement à la ressource dont tes utilisateurs ont besoin, Évidemment, il faut des logiciels et le VPN dont on parle depuis le début doit être remplacé effectivement par un nouveau principe de connectivité basé sur Zero Trust. Et la plupart aujourd'hui des constructeurs de firewalls, parce que ça reste un petit peu l'appenage des constructeurs de firewalls, proposent des solutions Zero Trust en rupture avec les anciens schémas VPN. et ça c'est Toujours encore une plateforme à déployer. Alors, la plupart du temps, et c'est plutôt une bonne chose, elles sont cloud. Donc, ça se déploie indépendamment du matériel que tu as déjà sur site ou que tu n'as pas. Ça va te permettre de créer tes différents points de connexion partout où tu as des ressources à adresser par tes utilisateurs. Et tu vas configurer tout ton environnement de connectivité basé sur Zero Trust pour tes utilisateurs.

• Speaker #1

  Donc, si je résume, c'est une plateforme, la plupart du temps. En mode SaaS, d'un côté, j'ai mes ressources, de l'autre côté, j'ai mes utilisateurs, mes droits, mes groupes, mes équipes, et bim, je fais le match. Et on est hyper protégé grâce au Zero Trust.

• Speaker #0

  Exactement.

• Speaker #1

  En parlant de solution Zero Trust, ce podcast est sponsorisé par WatchGuard, une des solutions Zero Trust que l'on propose au sein du groupe OCI. La solution Zero Trust de WatchGuard s'appelle

• Speaker #0

  FireCloud.

• Speaker #1

  Et avec FireCloud, vous pouvez bien évidemment appliquer une stratégie Zero Trust sur vos ressources, vos utilisateurs, pour les protéger et arrêter les solutions VPN. Les responsables informatiques qui sont derrière ce podcast se disent « Ok, c'est bien beau » . Mais une solution Zero Trust, combien de temps ça se met à se déployer ? C'est quoi le business model derrière le Zero Trust ? Comment ça fonctionne ? Est-ce que c'est long ? Est-ce que c'est onéreux ? Est-ce que tu peux nous en dire un petit peu plus ? Là, il faut qu'on soit dans le concret.

• Speaker #0

  Histoire d'être un peu pragmatique, tu veux dire ?

• Speaker #1

  Un peu pragmatique parce qu'aujourd'hui, les responsables de services informatiques, les DSI, ont des enjeux forts. Ils ont des enjeux forts. aussi bien en termes de cybersécurité que pour les utilisateurs et aussi en termes de budget.

• Speaker #0

  C'est très juste Julie. Pour répondre à ta question, si tu me demandes si c'est possible de remplacer une solution VPN empirique par une solution complètement basée sur du Zero Trust pour l'ensemble des ressources de l'entreprise, pour l'ensemble des utilisateurs de l'entreprise en deux semaines, ça va être un peu compliqué, je ne te le cache pas. Parce que qui dit Zero Trust dit un affinage plutôt très fin.

• Speaker #1

  Gouvernance.

• Speaker #0

  Et une gouvernance très précise de qui a accès à quoi. Donc ça nécessite un petit travail préparatoire. On y reviendra tout à l'heure. Donc aujourd'hui, pour mettre en œuvre ce remplacement de technologie, parce qu'in fine, on va parler d'installer. des agences sur des postes et de connecter des gens à des ressources. Donc, il y a un peu de technologie derrière. Ce qui est bien, c'est qu'on n'est pas obligé d'arrêter le VPN pour mettre en place une solution basée sur un principe de moindre privilège. Donc, on peut commencer avec des populations identifiées, des key users. On peut commencer avec un petit nombre de ressources. On peut aussi se dire que, tiens, on intègre un nouveau logiciel. Dans l'écosystème applicatif de l'entreprise, c'est sur ce logiciel qu'on va commencer à mettre en œuvre une stratégie Zero Trust. Donc, on peut faire les choses de manière graduelle sans avoir à tout remplacer d'un coup et donc fortement impacter les utilisateurs. Et au fur et à mesure qu'on va affiner la stratégie avec nos Key Users et nos applicatifs de test, ça va simplifier le déploiement de la suite parce qu'il suffira dès lors... de rajouter des utilisateurs dans des groupes et d'équiper leur device de l'agent pour s'y connecter. Donc les choses se font plutôt bien dès lors qu'on accepte de ne pas tout faire en même temps d'un claquement de doigts.

• Speaker #1

  On parle de la fameuse stratégie des petits pas qu'on a...

• Speaker #0

  Exactement, exactement. La stratégie des petits pas qui est une fois encore le bon moteur pour avancer sereinement sur un changement de stratégie d'accès à ces ressources quand on est en mobilité.

• Speaker #1

  Plutôt que de rien faire, commencer à faire des choses.

• Speaker #0

  Petit à petit.

• Speaker #1

  Petit à petit. Tu n'as pas parlé des aspects tarifaires ?

• Speaker #0

  Alors, effectivement...

• Speaker #1

  Je ne dis pas que tu vas nous donner des prix. Bien évidemment, ce n'est pas du tout l'objet du podcast. Mais un petit peu nous expliquer comment c'est tarifé.

• Speaker #0

  Oui, bien entendu. Je suis plutôt un homme de technologie, tu le sais. Mais c'est généralement des abonnements annuels à l'utilisateur pour ceux qui souhaitent basculer. sur ce modèle. Ce qui permet encore de s'inscrire dans la stratégie des petits pas parce qu'on peut provisionner le nombre de licences pile poil pour les utilisateurs qui sont en train de tester et ajouter au fur et à mesure en fonction du nombre d'utilisateurs qui évoluent.

• Speaker #1

  Et si je comprends bien, on pourrait aussi décider à un moment donné d'avoir cette stratégie Zero Trust que sur les commerciaux, la direction, les techniciens itinérants. Et pas sur les personnes qui sont au bureau, où là, tu dis que si on fait ça, c'est une hérésie ?

• Speaker #0

  Alors, je ne parlerai pas d'hérésie, Julie, mais l'un des principes fondamentaux de la stratégie Zero Trust, sans parler de la technologie qui va autour, c'est justement qu'elle permet de gagner en sécurité, de gagner en visibilité pour l'ensemble de l'entreprise. Et tu le sais mieux quiconque, on avait déjà fait les parallèles avec l'authentification multifacteur. il suffit qu'il y ait une personne qui n'ait pas... pas d'authentification multifacteur dans une entreprise pour que ça devienne le maillon faible de la sécurité. La cybersécurité dans l'entreprise ne vaut pas mieux que son maillon le plus faible. Donc, en matière de stratégie Zero Trust, l'idéal est bien entendu de prévoir sa mise en œuvre pour l'ensemble de l'entreprise.

• Speaker #1

  Alors... Dans la stratégie Zero Trust, on a parlé de différentes choses, ou en tout cas des solutions. On a parlé de l'amélioration de la cybersécurité, on va dire de la protection de l'entreprise. On a parlé d'accéder aux ressources de manière plus simple peut-être qu'un VPN avant.

• Speaker #0

  Il y a quelque chose que tu as un tout petit peu évoqué, et je n'ai pas rebondi dessus, et là j'ai un éclair, c'est que tu nous as parlé aussi de la navigation web qui se fait par ces solutions Zero Trust. Est-ce que, si je dis que ça peut permettre aussi d'analyser les usages web dans les entreprises et de voir potentiellement qui se connecte à ChatGPT, se connectent à Gemini, etc. Quels sont les différents sites web qui sont utilisés par mes utilisateurs ? Et donc, de par ce fait, de regarder si potentiellement je peux optimiser des choses ou proposer d'autres éléments à mes utilisateurs, est-ce que ça peut aussi servir à ça ? Ou est-ce que c'est trop détourner le produit ?

• Speaker #1

  C'est une conséquence. C'est une conséquence du fait que l'idée d'aller mettre en place une stratégie Zero Trust chez nos utilisateurs quand ils sont en mobilité, ça veut dire ce que ça veut dire, c'est-à-dire qu'on ne fait confiance à rien. Et effectivement, je l'ai mentionné, la navigation web des utilisateurs quand ils seront en mobilité va être analysée par la technologie qui est derrière l'agent et qui remonte cette connexion à l'environnement cloud qui la manage. Et donc, ça va générer de la statistique. et de la visibilité. Et dans cette visibilité, il y aura aussi de la catégorisation des URL, ce qui nous permettra d'avoir une visibilité plus fine de l'usage qui est fait de la bande passante et de l'accès à Internet par nos utilisateurs quand ils sont hors les murs. Parce que quand ils sont dans l'entreprise, le Firewall fait déjà très bien ce travail. Mais tout l'intérêt de cette stratégie, c'est d'aller porter la sécurité que propose aujourd'hui le Firewall sur le poste de travail de l'utilisateur quand il est en mobilité. Donc oui, tu auras plus de statistiques, oui, tu auras plus de données que tu pourras utiliser pour déterminer quels sont les usages majoritaires de tes utilisateurs.

• Speaker #0

  Est-ce que la stratégie Zero Trust fait qu'on va remplacer toute la partie VPN, même si c'est dans un an ou dans deux ans dans le cadre d'une stratégie de TIPA ? Ou est-ce qu'à un moment donné, on garde quand même du VPN pour des cas spécifiques ? Si oui, lesquels ?

• Speaker #1

  Alors, ZTNA, Zero Trust, le principe de moindre privilège, ça, on l'a dit, ça s'inscrit dans une démarche de sécurisation de nos utilisateurs, de nos ressources. Est-ce que ça remplace un VPN ? Moi, je ne suis même pas sûr qu'on puisse utiliser ce terme de remplacement en fin de compte, parce que ça nous permet de ne plus avoir besoin d'une connexion VPN. On se rappelle ce qu'on disait en début de podcast. Le VPN, c'est une connexion à un réseau via un périmètre. Tout ça, ça n'existe plus. Donc, est-ce qu'on fait un remplacement un pour un ? Non, ça ne serait pas juste de dire ça. C'est-à-dire qu'on enlève le besoin du VPN et on rajoute quelque chose qui permette à nos utilisateurs de gagner en sécurité et d'accéder à leurs ressources. Donc, en soi, il n'y a pas de remplacement en tant que tel. Néanmoins, s'il n'y a plus besoin du VPN, on ne va plus l'utiliser. Il existera toujours quelques cas empiriques ou des cas tout à fait précis. Des exemples. Des exemples, bien sûr, j'y arrive, j'y arrive. Ou du VPN pourra encore être utilisé. J'ai deux exemples principaux qui me viennent en tête. Premièrement, tous les VPN site à site. Donc, les interconnexions entre les sites d'une différente entreprise resteront connectées par du VPN. Mais ce n'est pas du VPN qui connecte des utilisateurs. à une ressource. C'est un VPN qui connecte une entreprise à une autre entreprise ou alors deux succursales d'une même entreprise. L'usage n'est pas tout à fait le même et ça, ça continuera à exister. Et le deuxième point qui me vient en tête, c'est quand on a des besoins d'administration très larges. Un administrateur système, par exemple, préférera peut-être dans un premier temps, continuer à utiliser une connexion VPN parce que justement, elle lui ouvre des accès qui sont très larges, à condition qu'il ait et qu'il applique les bonnes pratiques d'administration et qu'il ait la bonne éducation aux bonnes pratiques d'administration via le VPN. Mais ça, ça reste effectivement des cas qui risquent de perdurer un certain temps.

• Speaker #0

  Ok, très bien. Là, on a sans doute, et en tout cas, on l'espère fortement, des responsables de services informatiques, des directeurs de services informatiques, des RSSI qui nous écoutent, qui n'ont pas encore mis en place ces solutions-là. Et qui se disent, ok, c'est bon, là, je vais y aller, il faut que j'y aille. J'attaque, ça y est, c'est parti. Par quoi je commence ? Qu'est-ce qui fait que là, mon projet... Zero Trust, il est bien marqué.

• Speaker #1

  Eh bien, déjà, on a évoqué la stratégie des petits pas. Donc, on a bien compris qu'on n'est pas obligé de tout faire d'un coup, ce qui est plutôt rassurant, je trouve. Et on a aussi dit plusieurs fois que cette stratégie-là nous permet d'interconnecter l'utilisateur à des ressources. Donc, la première chose qu'il faut faire, c'est d'avoir un inventaire de ces ressources, d'avoir une cartographie applicative à laquelle on est de plus en plus... de plus en plus confrontés par les PSSI, par les plans de reprise d'activité, par tout l'aspect organisationnel de la gouvernance IT. Donc il y a quand même de plus en plus d'entreprises qui ont commencé ce travail, voire même complété ce travail de cartographie applicative, mais c'est probablement le point de départ. C'est le point de départ qui va nous permettre de mettre en corrélation ensuite les trois piliers de ce qu'est la stratégie Zero Trust entre l'utilisateur, sa device et son application pour commencer ce travail, pour commencer cette stratégie de bascule et d'abandon progressif du VPN.

• Speaker #0

  Ok, très bien. Merci Thomas, c'était la dernière question. Donc si je résume, le périmétrique, c'est fini.

• Speaker #1

  Terminé.

• Speaker #0

  Le VPN, pourquoi pas ?

• Speaker #1

  Pourquoi pas ?

• Speaker #0

  Ça dépend des cas d'usage, tu nous l'as dit, mais... le Zero Trust, le Zero Trust et le Zero Trust. C'est aujourd'hui indispensable, la stratégie des moindres privilèges pour protéger son système d'information dans un monde où on utilise des ressources diverses, hybrides, connectées, pas connectées, etc. Et surtout, protégeons nos utilisateurs parce qu'ils sont souvent en première ligne. Plus on va les protéger, plus on va mettre en place des outils pour protéger les utilisateurs, plus ils seront aussi sereins face à la cybersécurité. Merci Thomas pour ces éclaircissements sur le podcast futur du VPN. C'était encore une fois passionnant. Moi, j'ai bien compris. Zero trust, zero trust, zero trust. Donc, c'est ce qui va m'animer dans ma stratégie de gouvernance de mon système d'information sur les prochains mois. Je crois qu'on va te revoir très bientôt sur des nouveaux podcasts comme Cloud et 365 Cloud LIA. On va également te revoir sur la partie sauvegarde sur les hyperviseurs. Ça va être passionnant comme d'habitude. Et en attendant, pour un prochain épisode de l'Humain à cœur du digital, je vous dis à très bientôt.

• Speaker #2

  Vous avez apprécié ce moment ? Alors laissez-nous un commentaire, un avis ou partagez cet épisode autour de vous. Et nous... On se dit à très bientôt pour un nouvel épisode de l'Humain à cœur du digital.