Solarwinds, Microsoft Exchange, Colonial Pipeline, Pegasus, Petit Potam… Ces noms font trembler n’importe quel DSI, et pour cause ! Ces dernières attaques ont été dévastatrices et désormais, les DSI s’interrogent : “Dans quelle mesure aujourd’hui pouvons-nous faire 100% confiance à la cybersécurité interne de notre entreprise ?”, “Avec l’explosion du télétravail, sommes-nous certains que nos équipes sont capables de repérer tous les accès frauduleux ?”, ou encore “Pouvons-nous mesurer la rapidité de réponse à une alerte en minutes, plutôt qu’en heures ou en jours ?”.
Si les réponses à ces questions restent obscures, c’est normal. Selon IBM, le temps moyen pour identifier et contrer à 100% une cyberattaque serait de 280 jours en 2020.
A noter que les (rares) entreprises qui parviennent à stopper une attaque en moins de 30 jours économiseraient ainsi plus d’un million de dollars par rapport à celles qui mettent plus de temps à identifier et stopper la menace.
Faire de la protection de vos identités numériques une priorité
Il y a beaucoup de leçons à tirer de ces incidents médiatisés. La première concerne la gestion des identités numériques. Une fois que les contrevenants ont obtenu le sésame d’une organisation, se faire passer pour une personne de confiance afin d’accéder aux sites ou aux documents confidentiels n’est qu’une question de temps.
Il est donc essentiel pour les organisations de se pencher dès à présent sur des formes plus fortes d’authentification entre les personnes, les appareils, mais également les applications. Pour cela, la Public Key Infrastructure (PKI) est la technologie la plus sûre pour sécuriser les identités numériques.
La seconde leçon n’est autre qu’un rappel à l’ordre, formulé il y a déjà longtemps. L’application du principe du “moindre privilège” (Zero Trust), est aussi pertinente aujourd’hui qu’il y a trente ans. Dans ce paradigme, on considère l’infrastructure PKI comme un élément fondamental de l’architecture Zero Trust, dans laquelle la confiance n’est jamais accordée implicitement et doit être réévaluée en permanence.
Et bonne nouvelle, celle-ci est facilement accessible par le biais de la mise en œuvre d’une technologie PKI, gérée directement dans le cloud. Des risques considérables sont ainsi évités, ainsi que le casse-tête quotidien lié à la gestion manuelle d’une infrastructure de sécurité.
Les avantages de l’infrastructure PKI basée sur le cloud computing
À propos de PKI, une question vous taraude : vaut-il mieux déployer par vous-même votre technologie PKI on-premise, ou opter plutôt pour une solution hébergée dans le cloud ? Les solutions de PKI basées sur le cloud développées et maintenues par des Autorités de Certification (AC) publiques de confiance protègeront vos certificats de manière beaucoup plus efficace.
Et grâce à des connexions directes avec le Certification Authority Browser Forum et certaines entités gouvernementales, ces AC reçoivent directement les alertes sur tout problème de sécurité PKI signalé, y compris les problèmes inhérents à l’évolution du quantique ! De quoi protéger l’intégrité et la confidentialité de vos données.
La technologie PKI basée sur le cloud élimine ainsi la possibilité qu’un serveur ou pire, qu’un contrôleur de domaine devienne un vecteur d’attaque contre les sites. Elle protège donc contre les accès non autorisés, la compromission des messages électroniques, ou encore la falsification de documents au sein de l’entreprise.
Enfin, elle permet également d’écarter le risque d’attaques futures en identifiant les vulnérabilités cachées d’aujourd’hui pour déjouer les menaces de demain, tout en offrant la visibilité nécessaire aux équipes informatiques pour garder le contrôle.
Les coûts d’une gestion des services PKI en interne
Désormais il peut être intéressant de se pencher plus en détails sur les coûts d’une telle opération.Si l’utilisation d’une technologie créée en interne, “homemade”, semble être pertinente pour de nombreux acteurs, car structurée autour de leurs besoins, il est intéressant de comprendre la multiplicité des postes de dépense, constituant un défi permanent pour l’équilibre du budget IT.
On compte notamment :
- Hardware (matériels, Data Centers…)
- La génération du certificat racine
- Un logiciel de sauvegarde et une technologie de basculement, pour garantir un fonctionnement en continu
- Des audits de sécurité réguliers, pour maintenir la mise en conformité
- Des experts PKI dédiés pour superviser le tout
Au contraire, l’infrastructure PKI basée sur le cloud est considérablement moins coûteuse à mettre en place, mais permet également de réduire la charge technique de l’entreprise grâce à l’automatisation, et garantit enfin une sécurité optimale sur la base du concept de Zero Trust.
Alors que les écosystèmes internes des entreprises continuent d’évoluer en termes de complexité, ceux-ci s’accompagnent d’une augmentation des risques de vulnérabilités. Prévenir plutôt que guérir constitue aujourd’hui la clé de voûte des stratégies de protection des entreprises et organisations, pour lesquelles la technologie PKI est indispensable.
