L’approche Zero Trust de CMS est structurée autour du maintien de la sécurité à quatre niveaux : appareil, réseau, application et données. L’une des initiatives Zero Trust les plus ambitieuses déployées par CMS est un programme de gestion des identités, des informations d’identification et des accès d’entreprise qui consolidera les systèmes d’identité disparates utilisés dans l’ensemble de l’agence dans un référentiel central.
« La possibilité de fédérer les services ICAM constitue un avantage majeur du Zero Trust », déclare Tim Morrow, responsable technique de la connaissance de la situation à la division CERT du Software Engineering Institute de l’université Carnegie Mellon.
« Les fournisseurs de cloud disposent généralement de mécanismes permettant de relier la version d’Amazon Web Services ou de Google en matière de gestion des identités et des accès. Vous disposez également d’un accès aux identités lié à des applications spécifiques. C’est un véritable défi d’intégrer tout cela ensemble et d’avoir une image cohérente, car elle devient très vaste et complexe. Mais l’accent mis par une organisation sur les capacités et les services d’identité est une étape importante dans son parcours zéro confiance. »
Confiance zéro sur plusieurs fronts
En plus d’une série d’initiatives axées sur l’identité, CMS met également en œuvre plusieurs autres solutions zéro confiance, notamment la détection et la réponse des points finaux (EDR) et des améliorations de la sécurité du réseau.
« Nous centralisons désormais la journalisation des données dans nos outils de gestion des incidents et des événements de sécurité », explique Zarriello. « Cela nous donne une analyse cohérente des menaces dans tous les écosystèmes. Il ne s’agit plus d’une approche disparate et cloisonnée dans laquelle différentes organisations disposent de différents outils de volume de données et effectuent chacune leur propre analyse des menaces. Nous avons efficacement centralisé cette analyse des menaces du point de vue du volume. »
« Une chose qui est souvent négligée avec le Zero Trust est qu’il peut entraîner une réduction significative du volume de journaux et d’activités réseau inattendus qui doivent être triés et étudiés », déclare Jason Garbis, coprésident du groupe de travail Zero Trust pour la Cloud Security Alliance. « Lorsque l’accès passe à un modèle » refus par défaut, autorisation explicite « , cela réduit considérablement la quantité d’accès qui doit être évaluée. En conséquence, l’équipe opérationnelle bénéficie de plus de temps disponible pour effectuer les enquêtes qui sont vraiment nécessaires. «
Les efforts de CMS en matière de confiance zéro ne se sont pas déroulés sans difficultés. Un problème particulièrement épineux était de savoir comment gérer l’accès au réseau pour les nombreux développeurs internes et partenaires travaillant sur des projets pour CMS. Le modèle Zero Trust ne permet pas le type d’accès au réseau largement ouvert dont bénéficiaient traditionnellement les développeurs. Une approche zéro confiance signifie que les développeurs n’ont accès qu’à des applications ou à des segments spécifiques. CMS s’est tourné vers Zscaler pour résoudre le problème.
« Les développeurs ne peuvent plus créer un environnement dans le cloud, attribuer une adresse IP et simplement accéder à tout ce qui se trouve dans ce sous-réseau », explique Zarriello. « Il doit y avoir des actions spécifiques afin d’ajouter un accès ou des autorisations à cet actif dans le cadre de notre modèle de réseau zéro confiance. Cela a abouti à une surveillance opérationnelle accrue et à davantage de membres d’équipe nécessaires pour effectuer l’accès des développeurs. «