Architecture à vérification systématique (AVS)
Une architecture à vérification systématique (AVS) est un cadre de sécurité axé sur la protection des infrastructures et des données. L'approche à vérification systématique repose essentiellement sur le principe qu'il ne faut pas faire systématiquement confiance à tous les éléments constituant un système. Cela comprend les applications, les utilisateurs et les appareils. « Ne jamais faire confiance, toujours vérifier », tel serait la devise de l'AVS.
Dans un cadre traditionnel de cybersécurité, les systèmes peuvent se souvenir des utilisateurs et leur accorder un accès continu sans vérification supplémentaire. Par exemple, un utilisateur pourrait se connecter sur une plateforme et se voir accorder l'accès à d'autres données plus sensibles sans qu'une nouvelle vérification ne soit nécessaire. Si cela est pratique pour l'utilisateur, le risque de cybermenaces et leurs répercussions potentielles s'en trouvent considérablement accrus.
Dans un modèle à vérification systématique, on ne considère pas systématiquement qu'un utilisateur est digne de confiance. Dans l'exemple ci-dessus, si une AVS était en place, le système ne se souviendrait pas automatiquement d'un utilisateur donné. Elle évaluerait plutôt la nécessité d'une nouvelle authentification chaque fois que le sujet a besoin d'accéder à une nouvelle ressource, telle que des données ou un autre outil. Au lieu de se concentrer sur la protection du périmètre du système (en d'autres termes, à la connexion initiale ou au point d'accès), l'AVS construit une protection sur l'ensemble du réseau.
L'approche à vérification systématique remplace également les idées désuètes selon lesquelles la sécurité doit être assurée sur les lieux physiques. Le cadre évolue vers un modèle stratégique dynamique fondé sur les utilisateurs, les appareils et le contexte.
Cette approche s'appuie sur un ensemble de capacités différentes et intégrées qui fonctionnent ensemble pour créer des environnements de TI plus sécuritaires. Voici quelques‑unes de ces capacités :
- L'authentification multifactorielle;
- Un contrôle d'accès contextuel fondé sur le principe du moindre privilège, qui donne le minimum d'accès requis pour qu'un utilisateur puisse accomplir ses tâches;
- La segmentation du réseau;
- La surveillance continue et l'évaluation des risques;
- Le chiffrement de bout en bout.
Dans ce processus de mise en œuvre d'une AVS, certains défis inhérents devront également être relevés, notamment :
- Une adhésion et un soutien organisationnels durant le processus de transition vers un nouveau modèle de sécurité;
- Des investissements dans les technologies et processus existants;
- Une adaptation des normes et lignes directrices existantes en matière de sécurité;
- Des contraintes en matière de ressources.
Comment SPC envisage-t-il la mise en œuvre d'une AVS?
La mise en œuvre d'une AVS est l'un des principes fondamentaux de la Feuille de route des services de cybersécurité, dans le cadre de l'initiative Collaborer pour offrir des solutions numériques pour le Canada. Cette feuille de route est axée sur une approche de la sécurité qui repose sur une vérification continue, où les utilisateurs peuvent accéder de manière transparente et sûre aux outils dont ils ont besoin grâce à une identité numérique sécurisée unique. En intégrant les principes de la vérification systématique dans la planification future de SPC, la mise en œuvre d'une AVS continuera de figurer en bonne place dans l'approche globale du Ministère en matière de sécurité.
Actuellement, SPC fait évoluer l'approche actuelle du GC en matière de cybersécurité vers des concepts de cybersécurité plus modernes, comme l'approche à vérification systématique. À l'avenir, la feuille de route aidera à renforcer la résilience en matière de cybersécurité dans l'ensemble du GC, de façon à mieux prévenir les cyberincidents, à mieux s'y préparer, à y réagir plus efficacement et à s'en remettre plus rapidement.
Vous aimeriez prendre connaissance d'autres exemples d'adoption de l'approche à vérification systématique à SPC? Apprenez-en davantage sur la vérification systématique dans le secteur des sciences Une histoire d’innovation : Une architecture à vérification systématique pour les scientifiques.