Zero Trust expliqué : comment Entropia augmente la sécurité des data rooms au-delà de la conformité.
Laisseriez-vous votre porte d'entrée déverrouillée simplement parce que votre quartier a un faible taux de criminalité ?
De nombreuses entreprises, même en respectant les normes de conformité, font implicitement exactement cela. Entropia a validé les contrôles de niveau SOC2 Type II, ce qui correspond à prouver que le quartier est sous surveillance constante et démontrablement sûr.
Mais nous avons choisi d'aller plus loin et de relever la barre avec un modèle Zero Trust.
Pendant des décennies, les réseaux des entreprises ont été construits comme des châteaux ou des forteresses : des murs élevés, des douves profondes, et la présomption que toute personne autorisée à entrer était digne de confiance.
Malheureusement, les attaquants modernes peuvent toujours voler une clé ou creuser un tunnel sous les douves. S'ils parviennent à entrer, ils peuvent se déplacer librement.
Zero Trust rejette cette vision de forteresse. Au lieu de cela, il présume qu'aucun utilisateur, appareil ou paquet réseau n'est digne de confiance par défaut, même à l'intérieur. Chaque demande d'accès aux ressources, qu'elle provienne d'un employé, d'un sous-traitant ou d'une application, est traitée comme si elle provenait d'un réseau non fiable jusqu'à ce qu'elle ait été inspectée, authentifiée et vérifiée. L'accès n'est accordé que pour le minimum nécessaire et seulement pour la durée nécessaire.
Ce modèle est mis en œuvre par des entreprises de premier plan comme Google, où notre CTO, Pierre, a passé six ans en tant qu'ingénieur solutions, acquérant une expérience directe de son fonctionnement en pratique. Google encadre le modèle autour de trois principes fondamentaux :
Ces principes, d'abord articulés par Forrester et formalisés par le National Institute of Standards and Technology (NIST) des États-Unis, constituent le fondement de notre propre approche.
Les clients exigent de plus en plus de preuves que leurs fournisseurs traitent les données de manière responsable. SOC2, créé par l'American Institute of CPAs, est devenu l'un des cadres d'audit les plus largement reconnus.
La norme évalue les contrôles d'une organisation selon cinq « critères de services de confiance » : sécurité, disponibilité, intégrité du traitement, confidentialité et vie privée.
Un rapport Type I décrit comment les contrôles sont conçus. Il est déclaratif.
Un rapport Type II, que nous avons obtenu, va plus loin : il valide que ces contrôles fonctionnent efficacement sur des mois, et pas seulement sur le papier.
Mais aussi robuste soit-il, SOC 2 reste un cadre de preuve, pas une architecture de défense. Il dit aux clients que les bonnes portes sont verrouillées et vérifiées régulièrement. Il ne reconçoit pas le bâtiment lui-même.
C'est pourquoi nous décrivons SOC 2 Type II comme notre plancher, pas notre plafond.
Zero Trust pousse la sécurité au-delà des listes de contrôle de conformité vers une résilience systémique. Pour illustrer le contraste en termes concrets, voici quelques exemples clés où Zero Trust offre une protection plus forte que les attentes de SOC 2. La liste n'est pas exhaustive, mais elle met en évidence les domaines les plus importants où la différence est la plus tangible.
Et il y a plus encore : ces exemples illustrent certains des contrastes évidents, mais Zero Trust change également la façon dont les systèmes sont conçus et construits, en intégrant la sécurité dans l'architecture elle-même plutôt que de la traiter comme un exercice de conformité.
Pour les clients de data room, les implications sont cruciales. La conformité SOC2 signifie que vos données sont traitées de manière responsable, Zero Trust signifie qu'elles sont défendues sans relâche. Les violations qui se propageraient dans l'environnement d'un fournisseur de dataroom traditionnel s'arrêtent net dans le nôtre.
Construire sur Zero Trust est plus exigeant pour les développeurs d'applications, car la sécurité doit être directement intégrée dans l'architecture plutôt que d'être ajoutée après coup. Zero Trust nécessite de gérer des politiques basées sur l'identité (décider qui peut accéder à quelles ressources et dans quelles conditions), la segmentation du réseau (concevoir le système de sorte que même si une partie est compromise, les attaquants ne peuvent pas facilement se déplacer vers une autre), et la télémétrie continue (collecter et analyser les données sur l'activité en temps réel pour détecter et prévenir les anomalies).
Ensemble, les deux cadres signalent l'ambition d'Entropia de relever la barre pour les clients de dataroom : SOC2 Type II prouve que nous respectons l'une des normes industrielles les plus strictes, tandis que Zero Trust montre que nous visons au-delà des définitions d'hier de la sécurité.