Appliquer les sept principes du Zero Trust dans les environnements informatiques de santé
En plus des cinq piliers, il existe également sept principes de confiance zéro que les responsables informatiques devraient suivre, comme décrit dans l’architecture SP 800-207 Zero Trust du National Institute of Standards and Technology. Ils sont:
- Toutes les sources de données et services informatiques sont considérés comme des ressources.
- Toutes les communications sont sécurisées quel que soit l’emplacement du réseau.
- L’accès aux ressources individuelles est accordé pour chaque session.
- L’accès aux ressources est déterminé par une politique dynamique – y compris l’état observable de l’identité du client, de l’application/du service et de l’actif demandeur – et peut inclure d’autres attributs comportementaux et environnementaux.
- L’organisation surveille et mesure l’intégrité et la posture de sécurité de tous les actifs détenus et associés.
- Toutes les authentifications et autorisations de ressources sont dynamiques et strictement appliquées avant que l’accès ne soit autorisé.
- L’organisation collecte autant d’informations que possible sur l’état actuel des actifs, de l’infrastructure réseau et des communications et les utilise pour améliorer sa posture de sécurité.
Pour les établissements de santé, ces principes s’appliquent à tous les appareils utilisés pour accéder au réseau, ainsi qu’à toutes les données qu’ils génèrent et aux applications auxquelles ils accèdent. Souvent, les équipes informatiques de santé ne disposent pas des ressources nécessaires pour adopter tous ces principes du jour au lendemain. Par conséquent, les équipes informatiques et les utilisateurs doivent aborder le modèle Zero Trust comme un parcours.
La sécurité Zero-Trust est un parcours avec des niveaux de mise en œuvre
Il existe des moyens de mesurer chaque étape du parcours d’un système de santé, depuis la sécurité traditionnelle jusqu’à la maturité optimale du modèle Zero Trust. CISA a cartographié chacune des quatre étapes de maturité par rapport à ses cinq piliers, donnant aux organisations la possibilité de développer leurs stratégies de cybersécurité au fil du temps.
Traditionnel: La plupart des organisations entameront le parcours du zéro confiance dès cette première étape. Dans un modèle traditionnel, la plupart des processus de sécurité seront manuels. Les systèmes de santé peuvent avoir des déploiements manuels de solutions de protection contre les menaces, des configurations manuelles, des cryptages minimaux et des contrôles d’accès statiques.
Initial: Alors que les organisations commencent à évaluer leur posture de sécurité dans une optique de confiance zéro, elles devraient s’efforcer de passer au modèle initial. Dans cet environnement, l’équipe informatique peut commencer à mettre en œuvre l’automatisation des protections telles que l’expiration des accès et certaines protections contre les menaces.
Avancé: La prochaine étape est le modèle avancé de maturité Zero Trust. Ici, les organisations prendront en compte des protections telles que l’authentification multifactorielle résistante au phishing, l’accès basé sur la session, le trafic réseau chiffré et les données au repos, ainsi que les magasins de données redondants mais hautement disponibles avec prévention des pertes de données statiques.
Optimale : Un modèle optimal comprend une automatisation complète avec des solutions d’auto-déclaration, un accès au moindre privilège et une visibilité centralisée avec connaissance de la situation. Ce niveau comprend une validation continue des utilisateurs, des contrôles d’accès avec des micropérimètres et un inventaire continu des données avec une catégorisation automatisée des données.
Il est irréaliste pour les systèmes de santé, ou pour toute organisation de soins de santé, de s’efforcer dès le départ de créer un environnement optimal. Atteindre une confiance zéro optimale est un objectif à long terme que les professionnels de l’informatique peuvent planifier et atteindre, en sécurisant leurs environnements grâce à de petits changements en cours de route.
Pour les organisations qui envisagent tout juste d’envisager le modèle Zero Trust, et pour celles qui ont déjà commencé à aller de l’avant, le meilleur point de départ est une évaluation de la sécurité. Cela permet d’établir une base de référence en offrant une visibilité sur leur paysage de sécurité actuel.
