Résumé exécutif
Zero Trust a aidé les entreprises à renforcer le contrôle de l'identité et des accès, mais le prochain défi de sécurité commence une fois l'accès accordé. Les données sensibles circulent désormais sur les SaaS, le cloud, les terminaux, les plateformes de collaboration et les systèmes AI. Une identité vérifiée ne garantit pas automatiquement une utilisation sécuritaire des données. La prochaine évolution, c’est le Zero Trust centré sur les données : découvrir, classifier, gouverner, protéger et surveiller en continu les données selon le contexte, l’exposition et le comportement.
L’évolution du périmètre vers l’identité, puis vers la donnée
Zero Trust est devenu l’un des principes phares de la cybersécurité moderne. Il s’est historiquement concentré sur la gestion des identités et des accès, suivant le principe «Ne jamais faire confiance, toujours vérifier». Les entreprises ont investi dans la vérification d’identité, l’authentification multifactorielle, le contrôle des accès privilégiés et la gouvernance des accès.
Cependant, une question cruciale demeure : que se passe-t-il après avoir accordé l’accès? Un utilisateur peut être authentifié, une application approuvée et une session valide, mais des données sensibles peuvent malgré tout être copiées, téléchargées, partagées, téléversées vers des outils AI ou exposées à travers des permissions excessives.
La prochaine évolution de Zero Trust est donc évidente : la sécurité doit aller au-delà de l’identité et suivre la donnée elle-même.
La limite du Zero Trust axé sur l’identité
Le Zero Trust axé sur l’identité réduit l’accès non autorisé, mais il ne contrôle pas entièrement les mauvais usages autorisés, l’exposition accidentelle ou les mouvements de données à risque. Les contrôles traditionnels portent sur la question de savoir si un utilisateur doit accéder à un système; les contrôles centrés sur la donnée demandent si l’utilisateur devrait accéder à ces données précises, dans ce contexte, à cette fin, à ce moment.
| Contrôle traditionnel | Lacune restante | Réponse centrée sur la donnée |
| Authentifier l’utilisateur | L’utilisateur peut quand même voir ou exporter trop de données | Évaluer la sensibilité, l’objectif et l’exposition |
| Autoriser l’accès à l’application | L’accès à l’application n’équivaut pas au besoin au niveau de la donnée | Appliquer le principe du moindre privilège au niveau du fichier, de l’enregistrement ou de l’ensemble de données |
| Accorder un accès privilégié | Les utilisateurs privilégiés peuvent causer une exposition majeure des données | Surveiller l’utilisation, le volume et le partage des données |
| Faire confiance aux appareils approuvés | Les données peuvent quand même être copiées, synchronisées ou téléversées à l’externe | Contrôler le mouvement des données et appliquer la politique à la couche donnée |
Pourquoi la donnée a besoin de son propre modèle Zero Trust
- La donnée est hautement distribuée : Les données d’entreprise résident sur des environnements multicloud, des plateformes SaaS, des terminaux, des outils de collaboration, des bases de données, des lacs de données et des systèmes AI. Il n’y a pas de périmètre unique où la donnée peut être complètement contenue.
- L’identité n’équivaut pas à la confiance : Des utilisateurs légitimes peuvent accidentellement partager de l’information sensible, utiliser de façon inadéquate des privilèges excessifs ou déplacer les données vers des endroits non contrôlés. La vérification d’identité doit être complétée par la vérification de l’utilisation des données.
- L’AI a changé la circulation des données : GenAI, copilotes et automatisation peuvent consommer, transformer et générer de l’information sensible. Les données peuvent entrer dans des invites, des flux de modèles, des services tiers ou des résultats générés par AI, créant de nouveaux chemins d’exposition que les contrôles d’identité seuls ne peuvent pas gérer.
- L’exposition définit le risque : Le risque n’est plus uniquement fondé sur la sensibilité des données. Il repose sur la combinaison de sensibilité et d’exposition : qui peut y accéder, où elles ont circulé, s’il y a sur-permission et si leurs usages sont appropriés.
Cinq piliers du Zero Trust pour les données
| Pilier | Objectif | Questions clés | Contrôles exemples |
| Découvrir | Trouver les données à travers les environnements d’entreprise | Où se trouvent les données sensibles ? | Scans de découverte, DSPM, cartographie des données |
| Classifier | Comprendre la sensibilité et la criticité commerciale | De quel type de donnée s’agit-il ? | Étiquettes, taxonomie, balises réglementaires/confidentialité |
| Gouverner | Définir la propriété, la politique et la responsabilité | Qui en est le propriétaire et qui devrait y accéder ? | Revue des accès, cartographie des droits, propriété CMDB/métadonnées |
| Protéger | Appliquer des contrôles de sécurité au niveau des données | Comment devrait-elle être sécurisée ? | Chiffrement, DLP, DRM, masquage, tokenisation |
| Surveiller | Valider en continu l’utilisation et l’exposition | Les données sont-elles utilisées adéquatement ? | Analyse comportementale, alertes de partage, surveillance du risque interne |
Capacités essentielles requises
| Capacité | Ce qu’elle permet | Résultat d’affaires |
| Visibilité continue des données | Savoir où résident les données, qui y accède et comment elles circulent | Points aveugles réduits et meilleure préparation à l’audit |
| Accès contextuel | Évaluer le rôle utilisateur, l’appareil, l’emplacement, la sensibilité, le comportement et la finalité d’entreprise | Décisions d’accès dynamiques plutôt que permissions statiques |
| Moindre privilège pour la donnée | Limiter les utilisateurs aux seules données requises pour leur rôle | Réduire l’exposition et atténuer l’impact du risque interne |
| Surveillance de l’usage des données en temps réel | Détecter les téléchargements anormaux, le partage inhabituel et les mouvements à risque | Détection plus rapide des comportements risqués |
| Application des politiques au niveau de la donnée | Restreindre le partage externe, la copie, le téléchargement massif et l’usage non contrôlé de l’AI | Protection qui suit la donnée au-delà de l’accès applicatif |
Zero Trust axé sur l’identité vs axé sur la donnée
| Dimension | Zero Trust axé sur l’identité | Zero Trust centré sur la donnée | Pourquoi c’est important |
| Focalisation principale | Accès utilisateur, appareil et application | Sensibilité, exposition et contexte d’utilisation des données | Réduit le risque après l’octroi d’accès |
| Point de contrôle | Connexion et début de session | Tout le cycle de vie des données | Protège les étapes de création, accès, copie, partage, export et archivage |
| Décision de confiance | Identité vérifiée est permise | L’utilisation des données est vérifiée en continu | Évite de trop se fier à l’authentification seulement |
| Modèle de risque | Basé sur l’accès | Basé sur l’exposition et le comportement | Souligne les données sensibles avec accès excessif |
| Modèle de politique | Politique d’accès statique | Application dynamique, contextuelle | S’adapte à l’emplacement, l’appareil, le comportement et la sensibilité |
Scénario réel : Services financiers et usage de l’AI
Prenons l’exemple d’un analyste financier ayant un accès légitime à des données confidentielles sur les revenus et les clients. Dans un modèle Zero Trust traditionnel, l’analyste est authentifié et a accès au système financier. Mais si l’analyste exporte un large ensemble de données, le téléverse dans un outil AI externe ou le partage à une large audience, le risque lié à la donnée augmente même si la décision d’identité est correcte.
Réponse centrée sur la donnée
Un modèle Zero Trust centré sur la donnée évalue le type de données, le volume d’accès, le comportement de l’utilisateur, la destination, les modes de partage et le risque d’exposition à l’AI. Il peut restreindre l’export en masse, empêcher le partage externe, signaler des activités anormales, déclencher des flux de revue et générer des preuves d’audit — protégeant ainsi la donnée même après que l’accès soit accordé.
Facteurs technologiques habilitants
| Domaine de capacité | Technologie habilitante | Rôle dans le Zero Trust pour la donnée |
| Découverte et classification de la donnée | DSPM / plateformes de classification des données | Identifier les données sensibles et maintenir la visibilité dans le cloud, SaaS et les dépôts |
| Gouvernance des accès aux données | DAG / analytique des droits | Cartographier les permissions, propriétaires et accès excessif aux données sensibles |
| Prévention de la perte de données | DLP et protection de l’information | Prévenir le partage, la copie, l’impression et la transmission externe non autorisés |
| Gestion du risque interne | Analytique comportementale et flux de gestion du risque | Détecter les comportements risqués ou inhabituels impliquant des données sensibles |
| Chiffrement et gestion des clés | HSM, KMS et plateformes de chiffrement | Protéger la confidentialité des données et appliquer des contrôles cryptographiques |
| Gouvernance de l’AI | Surveillance de l’usage de l’AI et contrôles d’invite/données | Gouverner les données sensibles intégrant les flux AI et les résultats générés |
Feuille de route de mise en œuvre
| Phase | Objectif | Activités | Livrables |
| 1. Évaluer | Comprendre l’exposition actuelle de la donnée et la maturité | Analyser les dépôts de données, modèles d’accès, emplacements des données sensibles et processus d’affaires à risque | Évaluation de base et cartographie des risques |
| 2. Découvrir et classifier | Créer une visibilité fiable sur les données | Scanner les dépôts, classifier les données sensibles, cartographier les propriétaires et identifier les actifs critiques | Inventaire des données et modèle de classification |
| 3. Gouverner | Définir la politique et l’imputabilité | Créer la propriété, la fréquence des revues d’accès, les flux d’exceptions et les politiques d’utilisation des données | Modèle de gouvernance et cadre de politiques |
| 4. Protéger | Appliquer des contrôles au niveau des données | Mettre en place DLP, chiffrement, moindre privilège, restrictions de partage et contrôles d’usage AI | Plan d’implantation des contrôles |
| 5. Surveiller et optimiser | Améliorer continuellement la posture | Suivre l’exposition, les comportements utilisateurs, les exceptions de politiques, les tendances d’incidents et les preuves d’audit | Tableaux de bord, KRI et carnet d’amélioration continue |
Point de vue HCLTech
La frontière de sécurité du futur, c’est la donnée elle-même. HCLTech croit que le Zero Trust centré sur la donnée doit être positionné comme un programme de transformation de la sécurité d’entreprise, ralliant identité, sécurité des données, sécurité cloud, gouvernance AI, cryptographie, gouvernance des accès et conformité.
- Aller au-delà du contrôle centré sur l’identité : La vérification de l’identité reste essentielle, mais la maturité en sécurité de la donnée exige des contrôles qui valident l’utilisation, l’exposition et le mouvement.
- Établir la visibilité avant l’application : Les organisations devraient d’abord établir une découverte, une classification et une visibilité de la propriété des données fiables avant de généraliser l’application des contrôles.
- Rendre la gouvernance opérationnelle : La propriété des données, les revues d’accès, les exceptions de politiques et la remédiation devraient être liées aux flux de travail d’entreprise et à la preuve d’audit.
- Considérer l’AI comme un canal d’exposition des données : L’AI génère de nouveaux vecteurs de mouvement de données; les contrôles centrés données doivent évaluer les informations sensibles intégrant les invites, modèles et résultats générés.
- Mesurer les résultats : Les tableaux de bord de direction devraient afficher l’exposition des données sensibles, l’accès excessif, les violations de politiques, le progrès de remédiation et la réduction des risques dans le temps.
Conclusion : La confiance doit suivre la donnée
Zero Trust a pris naissance face aux limites de la sécurité périmétrique. Il a mûri grâce au contrôle centré sur l’identité. Maintenant, il doit évoluer encore, vers un modèle centré sur la donnée qui vérifie en continu si l’accès et l’usage des données sont appropriés.
La prochaine génération de programmes de sécurité matures ne saura pas seulement qui a accédé aux données. Elle saura quelles données existent, où elles résident, qui en est propriétaire, qui peut y accéder, comment elles sont utilisées, où elles circulent et si cet usage est approprié.
Dans un monde où la donnée est partout, la confiance ne peut s’arrêter à l’identité. La confiance doit suivre la donnée elle-même.
