Modèle de sécurité qui ne suppose aucune confiance implicite, même à l'intérieur du réseau, et vérifie chaque accès en fonction de l'identité et du contexte.
L'architecture zéro confiance est un modèle de sécurité qui rompt avec l'approche traditionnelle du château fort, laquelle protégeait un périmètre et faisait confiance, par défaut, à tout ce qui se trouvait à l'intérieur. Partant du constat que le périmètre s'est effacé, avec le nuage, le travail à distance et la multiplication des appareils, le principe directeur devient ne jamais faire confiance, toujours vérifier. Chaque demande d'accès à une ressource est authentifiée, autorisée et évaluée en fonction de l'identité de l'utilisateur, de l'état de son appareil et du contexte, indépendamment de sa position dans le réseau. L'enjeu est de limiter les déplacements latéraux d'un attaquant, c'est-à-dire sa capacité, une fois entré quelque part, à circuler librement vers les ressources sensibles. La microsegmentation du réseau et l'application du moindre privilège en sont des composantes clés. Pour l'assurance, l'adoption d'une démarche zéro confiance est un signal fort de maturité de sécurité, qui réduit l'ampleur potentielle d'un sinistre en cloisonnant les accès, même si sa mise en œuvre complète reste exigeante et progressive plutôt qu'un état que l'on atteindrait d'un coup.
Dans une organisation en zéro confiance, un attaquant qui parvient à compromettre le poste d'un employé ne peut pas pour autant atteindre les serveurs critiques, car chaque nouvel accès exige une vérification que ses identifiants volés ne suffisent pas à franchir.
zero trust, zéro confiance, architecture zéro confiance