Network Security Policy Management (NSPM) : pourquoi il reste déterminant et ce qu'il faut rechercher

Cet article explique pourquoi le NSPM reste essentiel, ce qui en renforce le besoin aujourd'hui et ce que les entreprises doivent rechercher lorsqu'elles évaluent une plateforme NSPM.

by Jody Brazil

La gestion des politiques de sécurité réseau (NSPM) consiste à gouverner, depuis une seule couche plutôt qu'équipement par équipement, les règles qui contrôlent l'accès réseau sur les pare-feu, les cloud security groups et les plateformes de segmentation. FireMon a créé la catégorie NSPM en 2004 pour résoudre la prolifération des règles de pare-feu et le travail manuel de conformité. Deux décennies plus tard, le problème est plus vaste : plus d'éditeurs, plus de cloud, plus de changements et plus d'audits.

Points clés

Les pare-feu appliquent la politique. Le NSPM la gouverne. Une politique mal définie produit une sécurité mal appliquée, quelles que soient les capacités du pare-feu.
Les réseaux d'entreprise s'étendent désormais sur des milliers de pare-feu, de cloud security groups et d'outils de segmentation, ce qui rend la gestion manuelle des politiques peu fiable.
Des référentiels tels que PCI DSS, NIST 800-53, DORA et NIS2 comportent des exigences de contrôle des changements, d'audit et de revue des règles auxquelles le NSPM répond par des preuves continues.
L'automatisation réduit le coût et le délai des changements de politique lorsqu'elle couvre l'intégralité du workflow, de la demande jusqu'à la mise hors service des règles.
Lorsque vous évaluez des plateformes NSPM, privilégiez la normalisation multi-éditeurs, la validation avant changement, les preuves de conformité continues et un workflow de changement gouverné.

Le NSPM est-il toujours nécessaire ?

Oui. Tant que les pare-feu et les contrôles cloud appliquent les accès, quelqu'un doit gouverner ce qu'ils appliquent. La question revient généralement lorsqu'une équipe réévalue son outillage, par exemple après l'arrêt d'un produit par un éditeur. La réponse n'a pas changé : plus vous exploitez d'équipements, d'éditeurs et d'environnements, moins une console unique peut vous dire si votre politique fait réellement ce que vous attendez.

Les pare-feu appliquent les politiques de sécurité

Les erreurs de politique de pare-feu provoquent des défaillances critiques depuis les tout premiers réseaux périmétriques, soit en autorisant du trafic malveillant indésirable, soit en bloquant du trafic nécessaire et en provoquant des interruptions d'activité. C'est la raison fondamentale de l'existence du NSPM : les pare-feu appliquent les politiques de sécurité qui leur sont attribuées, et des politiques mal définies aboutissent à une sécurité mal appliquée. FireMon a créé la catégorie NSPM en 2004 pour répondre à ce problème.

Depuis, le besoin de NSPM n'a cessé de croître à mesure que la complexité des réseaux augmentait. Les environnements de pare-feu simples, séparant les segments interne, externe et DMZ, ont évolué vers une segmentation plus granulaire des réseaux internes. L'« extérieur » s'est élargi avec l'adoption du cloud public, la complexité applicative a explosé, les menaces ont gagné en nombre et en sophistication, et la technologie des pare-feu est devenue plus performante et plus complexe.

Aujourd'hui, il est courant que les entreprises gèrent des milliers de pare-feu, comportant chacun des milliers de règles, des dizaines de milliers d'objets réseau, ainsi que des règles et des groupes d'objets complexes qui représentent collectivement des dizaines de millions de chemins d'accès uniques à travers le réseau. Toute cette complexité rend une sécurité efficace impossible sans une gestion efficace des politiques.

C'est pourquoi FireMon décrit la politique comme le control plane de la sécurité réseau. La politique définit ce que la sécurité réseau doit faire. Les pare-feu, les cloud security groups et les plateformes de segmentation constituent l'infrastructure qui l'exécute. Gouverner la politique depuis une seule couche donne aux équipes un point unique pour voir, contrôler et prouver que l'environnement fait bien ce qui est prévu.

Pour les entreprises complexes, fortement réglementées et régulièrement ciblées par des attaques, comme les grandes banques, une solution NSPM constitue un élément fondamental de la gestion de la sécurité. Même de petites erreurs dans les politiques peuvent rendre inefficace la technologie moderne des pare-feu. Une modification mineure d'un groupe d'objets peut par exemple sembler anodine, alors que ce groupe d'objets est utilisé dans des centaines de règles, avec des conséquences de sécurité non souhaitées. Une solution NSPM permet de détecter, voire d'empêcher, ces erreurs autrement invisibles qui exposent l'organisation aux attaques.

Tant que les pare-feu seront nécessaires, une gestion efficace des politiques restera essentielle. C'est ce que confirme l'InfoBrief d'IDC, Gestion des politiques de pare-feu : le socle que vous ne pouvez pas ignorer.

La conformité n'est pas facultative

Pendant de nombreuses années, les exigences de conformité en matière de sécurité réseau imposaient l'existence d'un pare-feu. Les organisations des secteurs fortement réglementés, tels que les services financiers, la santé et la distribution, ont compris qu'un programme de sécurité efficace exige une gestion efficace des politiques, et elles ont étendu ces exigences afin d'évaluer l'efficacité des politiques appliquées.

Ces exigences incluent des contrôles de gestion des changements garantissant que les nouveaux changements sont évalués avant leur mise en œuvre, des contrôles d'audit garantissant que tous les changements sont documentés, ainsi qu'une gestion continue du cycle de vie des règles permettant de réexaminer périodiquement le besoin métier et l'acceptation du risque liés aux accès. Elles figurent dans des référentiels tels que NIST 800-53, NIST CSF, PCI DSS 4.0, GDPR, DORA, NIS2 et d'autres encore.

L'existence d'un pare-feu ne suffit pas à établir et à maintenir une entreprise sécurisée et conforme. Une gestion efficace des politiques est indispensable pour garantir que les pare-feu appliquent et surveillent correctement les bonnes pratiques de sécurité réseau. Maintenir et documenter la conformité à ces référentiels prend énormément de temps sans outils automatisés qui évaluent ces configurations complexes en continu et en rendent compte.

La conformité continue consiste à contrôler les changements proposés afin d'y détecter les non-conformités avant leur déploiement et à maintenir les preuves d'audit à jour entre deux revues, plutôt que de les reconstituer à chaque audit. Consultez l'étude de cas pour découvrir comment une organisation a réduit de 83 % son temps de préparation des audits de conformité.

Les coûts opérationnels de la sécurité réseau sont élevés

À mesure que la complexité des réseaux et de la sécurité a augmenté, le coût de gestion de ces environnements complexes a lui aussi progressé. Dans le même temps, la vélocité des métiers et de l'IT s'est accrue avec l'adoption de technologies telles que la virtualisation, le cloud public et l'infrastructure as code. Cette vélocité accrue met davantage de pression sur la sécurité pour qu'elle avance plus vite.

Ces deux défis, le coût opérationnel et la vitesse, peuvent être relevés grâce à l'automatisation. L'automatisation des opérations de sécurité réseau va bien au-delà de l'automatisation du changement sur l'équipement (le « push »). Une automatisation efficace de la sécurité réseau comprend :

La rationalisation du processus de demande de changement, afin de réduire le nombre de demandes et d'améliorer le recueil des besoins.
L'automatisation du processus de conception, afin d'identifier les changements nécessaires pour obtenir le résultat souhaité.
L'automatisation de la phase d'évaluation avant changement, afin que seuls des changements appropriés, sécurisés et conformes soient autorisés.
La rationalisation du processus d'approbation, afin d'approuver ou de refuser rapidement les demandes de changement.
L'automatisation de la mise en œuvre du changement pendant les fenêtres de changement définies, sans saisies manuelles source d'erreurs.
L'automatisation du reporting de conformité en continu.
La simplification et l'automatisation du processus de revue des règles.
L'automatisation de la mise hors service des règles devenues inutiles.

La plupart des équipes déploient l'automatisation par étapes. Elles commencent là où elle a fait ses preuves, par exemple l'évaluation avant changement et le reporting de conformité, puis en étendent le périmètre.

Ce qu'il faut rechercher dans une plateforme NSPM

Les entreprises qui évaluent des fournisseurs NSPM devraient tester six capacités. Chacune correspond à un problème que les processus manuels ne peuvent pas résoudre à grande échelle.

Capacité	Pourquoi c'est important	Question à poser au fournisseur
Normalisation multi-éditeurs	Impossible de gouverner une politique que l'on ne peut pas comparer. Les règles issues de différents éditeurs et clouds doivent reposer sur un modèle commun.	Quelles plateformes de pare-feu, de cloud et de segmentation normalisez-vous au sein d'un modèle unique ?
Visibilité et recherche sur les politiques	Trouver une règle, un objet ou un chemin d'accès ne devrait pas obliger à se connecter à plusieurs consoles.	Puis-je interroger tous les éditeurs et environnements dans une seule requête ?
Validation du risque et de la conformité avant changement	Les non-conformités coûtent moins cher à détecter au stade de la demande qu'après le déploiement.	Évaluez-vous les changements proposés au regard des politiques de risque et de conformité avant leur mise en production ?
Preuves de conformité continues	Les preuves d'audit doivent être disponibles à la demande, et non reconstituées chaque trimestre.	Quels référentiels disposent d'évaluations prêtes à l'emploi, et à quel point les preuves sont-elles à jour ?
Gestion du cycle de vie des règles	Les règles inutilisées, masquées ou trop permissives s'accumulent en l'absence de revue régulière.	Comment reliez-vous la recertification des règles aux responsables métier ?
Workflow de changement encadré	Les changements exigent des approbations et une traçabilité, souvent dans les outils IT service management (ITSM) que les équipes utilisent déjà.	Avec quels outils ITSM vous intégrez-vous, et quelles étapes sont automatisées plutôt que guidées ?

Dernier critère : une bonne plateforme NSPM gouverne les pare-feu et les contrôles cloud que vous exploitez déjà. Elle ne doit pas vous obliger à remplacer vos technologies d'application des politiques.

FireMon Security Manager constitue le socle de la plateforme NSPM de FireMon. Il normalise les politiques de plus de 120 plateformes de pare-feu, cloud et microsegmentation au sein d'une couche de données unique : les équipes disposent ainsi d'une visibilité en temps réel, d'une validation avant changement et de preuves de conformité continues depuis un point unique. Des modules complémentaires y ajoutent l'automatisation des workflows, l'optimisation des règles et l'analyse des risques.

NSPM et consoles natives de gestion des pare-feu

Les consoles natives telles que Panorama et FortiManager gèrent très bien leurs propres plateformes. Le NSPM se place au-dessus d'elles et assure la cohérence sur tout ce qu'elles ne couvrent pas.

	Console native de pare-feu	NSPM
Périmètre	Les équipements d'un seul fournisseur	Tous les fournisseurs de pare-feu, security groups cloud et plateformes de segmentation
Modèle de politique	Syntaxe propre au fournisseur	Un modèle unique normalisé pour tous les fournisseurs
Conformité	Rapports limités à ses propres équipements	Évaluation continue sur l'ensemble de l'environnement
Validation des changements	Au sein de sa propre plateforme	Sur tous les chemins d'accès concernés par un changement
Rôle	Gère et déploie la configuration	Gouverne, valide et documente les politiques sur l'ensemble des consoles

Synthèse

Les défis de gestion de la sécurité réseau qui ont conduit FireMon à créer le NSPM en 2004 se sont amplifiés avec chaque nouveau pare-feu, chaque nouveau compte cloud et chaque audit. Le NSPM est aujourd'hui plus déterminant qu'à aucun autre moment de son histoire. Pour une définition brève des concepts clés, consultez Qu'est-ce que la gestion des politiques de sécurité réseau ?

Questions fréquentes

Oui. Les réseaux d'entreprise combinent désormais plusieurs fournisseurs de pare-feu, des security groups cloud et des outils de segmentation, et chaque console ne voit que sa propre plateforme. Le NSPM donne aux équipes une vue unique et encadrée des politiques sur l'ensemble de ces environnements, ce qu'un suivi manuel ne peut pas offrir à l'échelle de l'entreprise.

FireMon a créé la catégorie du network security policy management en 2004 pour répondre à la prolifération des règles de pare-feu et aux tâches de conformité manuelles.

Recherchez la normalisation multi-fournisseurs, la visibilité et la recherche sur les politiques, la validation des risques et de la conformité avant changement, des preuves de conformité continues, la gestion du cycle de vie des règles et un workflow de changement encadré. La plateforme doit gouverner vos pare-feu et vos contrôles cloud existants plutôt que les remplacer.

Un script peut automatiser une tâche isolée, comme exporter des règles ou identifier des objets inutilisés. Il ne normalise pas les différents fournisseurs dans un modèle unique, ne produit pas de preuves de conformité durables et n'apporte pas à l'organisation une couche de gouvernance qui survit à son auteur. Un copilot IA qui rédige des scripts se heurte aux mêmes limites.

Commencez par recenser les équipements, les évaluations de conformité, les rapports et les workflows couverts par l'ancien outil. Évaluez ensuite les solutions de remplacement au regard de ces exigences, et non d'une liste de fonctionnalités. De nombreux anciens clients de Skybox ont dû prendre cette décision. Découvrez pourquoi attendre accroît le risque.

Ces référentiels imposent des exigences en matière de contrôle des changements, de pistes d'audit et de revue périodique des accès. Le NSPM y répond par une évaluation continue, des contrôles de conformité avant déploiement et des preuves prêtes pour l'audit. Aucun outil ne garantit à lui seul la conformité, car celle-ci dépend aussi de personnes et de processus extérieurs aux politiques réseau.

La gestion de la sécurité réseau désigne la pratique globale consistant à surveiller un réseau, en contrôler les accès et le défendre. Le NSPM en couvre un volet précis : la gouvernance des politiques appliquées par les pare-feu, les security groups cloud et les plateformes de segmentation.