Vue d'ensemble
Les programmes Zero Trust stagnent souvent au même endroit : les politiques d’identités peuvent être modernes, mais l’accès réseau repose encore sur des VPN traditionnels, des contrôles fragmentés et une confiance excessive au niveau du réseau. L’étape suivante consiste à rapprocher les décisions liées à l’identité et à l’accès réseau—évaluer qui se connecte, depuis quel appareil, vers quelle ressource et dans quelles conditions de risque, avant d’accorder l’accès.
Microsoft Global Secure Access (GSA) est une solution unifiée de Security Service Edge (SSE) basée sur Microsoft Entra qui sécurise l’accès à travers tout type de flux grâce à trois profils de transfert dédiés tels que Microsoft 365, Internet et accès privé, tout en permettant un contrôle granulaire basé sur les politiques. Microsoft Entra Internet Access fournit des capacités de Secure Web Gateway (SWG) pour protéger le trafic Internet, SaaS et Microsoft 365, tandis que Microsoft Entra Private Access applique l’approche Zero Trust Network Access (ZTNA) aux applications privées. GSA vérifie chaque demande d’accès en fonction de l’identité de l’utilisateur, l’état de l’appareil, l’emplacement et les signaux de risque avant d’accorder l’accès au moindre privilège et d’autoriser la connectivité uniquement aux applications autorisées ; GSA applique un accès sécurisé au moindre privilège en fonction de l’identité, de la posture de l’appareil et du risque contextuel.
L’offre SSE-GSA de HCLTech aide les organisations à passer d’une sécurité basée sur le réseau traditionnel à un modèle Zero Trust piloté par l’identité, déplaçant la protection du périmètre réseau vers un cadre de sécurité centré sur l’identité. Cela permet aux clients de moderniser l’accès à distance, renforcer la sécurité, simplifier les opérations et offrir une expérience utilisateur cohérente à travers les environnements infonuagiques et privés.
Défis actuels
Les entreprises adoptant un modèle d’opérations sans frontières rencontrent une série de difficultés que les architectures de sécurité existantes n’avaient jamais été conçues pour résoudre.
- Confiance plate du réseau et mouvements latéraux : Les VPN traditionnels accordent souvent un accès réseau large du niveau 3 après authentification, créant des privilèges excessifs et augmentant le risque de mouvement latéral si des identifiants sont compromis. Les passerelles VPN exposées publiquement peuvent aussi élargir la surface d’attaque de l’organisation.
- Les hypothèses de confiance au périmètre ne tiennent plus : Le modèle « château et douves » fait confiance à tout ce qui est à l’intérieur, une hypothèse invalidée dès lors que les données et identités résident hors des limites du réseau.
- Prolifération d’appliances et coûts : Les appliances de sécurité de périmètre et les outils ponctuels (passerelles VPN, proxies) coûtent cher à acquérir, mettre à l’échelle et maintenir, et peinent à assurer une cohérence des politiques à travers utilisateurs, appareils, applications et données.
- Politiques et visibilité fragmentées : Gérer le réseau et l’identité comme des domaines distincts produit des contrôles incohérents et des lacunes à travers SaaS, applications privées, services d’AI générative et destinations Internet, ce qui nuit à la gouvernance et à la conformité unifiées.
- Expérience utilisateur dégradée : Les sessions VPN manuelles et la redirection du trafic via des centres de données centraux augmentent la latence et diminuent la productivité pour une main-d’œuvre distribuée.
- Complexité de la migration : S’éloigner d’un VPN établi requiert une planification minutieuse, incluant la cartographie de la dépendance des applications, la documentation des ports et adresses, la résolution de noms privés, la conception d’un accès conditionnel et les procédures de restauration, ce qui freine de nombreux programmes de transformation.
Solution HCLTech :
HCLTech propose un parcours d’adoption GSA structuré et axé sur les résultats, qui réduit les risques de la transition entre la sécurité basée sur le périmètre et Zero Trust centré sur l’identité. Notre approche tire parti de la pile complète Microsoft SSE tout en l’enveloppant dans la livraison éprouvée de boosters et de services gérés.
Schéma d’architecture
Évaluer et concevoir
Nous inventorient chaque chemin d’accès—applications sur site, SaaS, sortie Internet et charges de travail AI—pour identifier les faiblesses des politiques, puis produisons une architecture de référence SSE cible (profils de transfert de trafic, topologie réseau à distance, segmentation des applications privées et modèle d’accès conditionnel) adaptée à la sensibilité des données, aux personnes utilisatrices et au niveau de confiance des appareils. Ce livrable sert également de feuille de route exécutive avec des étapes séquencées et des objectifs de réduction de risque mesurables.
Moderniser l’accès à distance avec Entra Private Access
Nous remplaçons l’accès réseau VPN par un ZTNA centré sur l’identité par la publication des applications via des connecteurs d’accès privé, afin que les utilisateurs accèdent uniquement aux applications qui leur sont autorisées, sans ports entrants ni sous-réseaux exposés. Quick Access et le mode applicatif, combinés au DNS privé, assurent une migration progressive du VPN au ZTNA, que la direction peut suivre avec des indicateurs de fin de vie des solutions existantes.
Sécuriser le trafic Web et SaaS avec Entra Internet Access
Nous déployons la passerelle Web sécurisée basée sur l’identité pour filtrer le contenu Web, appliquer des restrictions d’appartenance (prévention des fuites de données vers des comptes personnels), appliquer l’inspection TLS (aperçu) et bloquer le trafic malveillant, le tout intégré à Microsoft Defender for Cloud Apps et à la gouvernance Shadow IT sur l’ensemble SaaS.
Unifier la politique par l’accès conditionnel
Nous réunissons les politiques d’identité et d’accès réseau via Microsoft Entra Accès Conditionnel, permettant des décisions plus cohérentes en évaluant l’identité, la conformité de l’appareil, le risque de session et le contexte réseau, en imposant le moindre privilège de façon uniforme sur les applications privées, SaaS et Internet public, et en éliminant la dérive des politiques entre les solutions.
Déploiement sécurisé et exploitation à l’échelle
Suivant les meilleures pratiques Microsoft, HCLTech commence par un accès rapide et étendu pour l’inventaire et les déploiements pilotes, puis évolue vers un accès granulaire par application. Nous testons les politiques en mode rapport uniquement, excluons les comptes de secours, gérons les licences (Entra ID P1/P2 ou la Suite Entra) et assurons la coexistence et la migration avec Zscaler, Palo Alto, Netskope et Cisco pendant la transition. Nos services gérés assurent la surveillance, l’ajustement et l’optimisation, avec des journaux de trafic GSA acheminés dans Microsoft Sentinel pour une visibilité continue et la corrélation SOC.
Avantages
L’adoption du Global Secure Access via HCLTech aide les organisations à convertir les capacités du Global Secure Access en bénéfices mesurables en matière de sécurité et d’opérations :
- Posture de sécurité renforcée : La vérification explicite de chaque demande selon les principes Zero Trust réduit à la fois la probabilité de violation et l’étendue des dommages, améliorant directement le profil de risque de l’entreprise.
- Surface d’attaque et mouvements latéraux minimisés : L’accès par application rend les ressources internes invisibles à moins d’autorisation explicite, empêchant un identifiant compromis de se déplacer au sein du réseau.
- Élimination des VPN et économies de coûts : Remplacer le VPN traditionnel et les proxies périmétriques supprime les cycles de réapprovisionnement matériel et transfère le contrôle vers une politique logicielle basée sur l’identité.
- Expérience transparente à faible latence : Le trafic est dirigé par l’infrastructure mondiale de Microsoft, couvrant plus de 70 régions et plus de 190 points d’accès, offrant ainsi un accès rapide et continu partout, ce qui améliore la productivité et l’adoption par la main-d’œuvre.
- Gouvernance unifiée et préparation à l’audit : Un modèle unique d’accès conditionnel régit les applications privées, cette approche permet des politiques de sécurité cohérentes sur les applications privées, SaaS et le trafic Internet, simplifie la preuve de conformité et comble les lacunes de contrôle.
- Base Zero Trust prête pour l’avenir : Plateforme centrée sur l’identité et intégrée nativement à Entra ID, GSA positionne l’organisation pour les besoins évolutifs, notamment la sécurisation des applications et agents AI en protégeant l’investissement dans le temps.
Conclusions :
Le périmètre n’est plus un lieu : c’est une identité. Avec Microsoft Global Secure Access et l’expertise de HCLTech en mise en œuvre, les organisations peuvent accélérer leur parcours Zero Trust, éliminer les VPN à risque, unifier leurs politiques d’accès et établir une base Zero Trust résiliente pour un milieu de travail sans frontières.
« Contactez le Centre d’excellence HCLTech en sécurité infonuagique pour une évaluation de l’état de préparation MS-SSE-GSA »
