Lorsque je travaillais dans le domaine des architectures de réseau et de sécurité, nous planifiions, évaluions et prenions des décisions informatiques en tout début d’année. Maintenant que nous approchons de la fin du confinement mondial, je pense que la plupart des services informatiques se posent beaucoup de questions : qu’avons-nous fait de bien, de mal, et que pouvons-nous en retenir pour aller de l’avant ?

Si j’occupais encore mon ancien poste, je capitaliserais sur les changements apportés par l’informatique qui ont permis aux employés de travailler efficacement et en toute sécurité en dehors des bureaux de l’entreprise. Le télétravail massif a fait comprendre aux équipes informatiques que les périmètres traditionnels de sécurité des réseaux n’étaient pas adaptés au déploiement de solutions de télétravail, en particulier pour les applications à fort trafic telles que Microsoft 365 (M365). Outre l’augmentation des coûts de backhauling, le tunneling de tout le trafic M365 à travers les périmètres de sécurité des filiales ou du siège réduit considérablement les performances et peut entraîner l’échec des déploiements de M365.

Le problème de l’héritage

La modernisation de l’entreprise est une des priorités des DSI. Le déploiement de M365 et l’amélioration de la productivité dans un environnement de plus en plus dispersé géographiquement sont des projets en cours pour nombre d’entre eux. L’adoption de M365 à l’échelle de l’entreprise exige une révision sérieuse de la manière dont l’architecture réseau traite et sécurise le trafic. Microsoft recommande de répartir le trafic des applications M365 rapidement et sans sécurité (en promettant qu’il s’agit d’une source sécurisée). Mais pour la plupart des entreprises, ce n’est pas une solution :

Elles disposent d’un modèle en étoile qui traite tout le trafic des filiales (y compris les employés distants).
Elles ne peuvent pas utiliser une architecture de tunnel divisé ou un point d’accès local (par exemple, via SD-WAN).
Elles ont des politiques de sécurité héritées intouchables.

Dans les modèles traditionnels en étoile, tout le trafic Internet part de l’utilisateur, passe par le réseau de l’entreprise et est dirigé vers Internet. L’ajout de M365 crée une quantité considérable de trafic d’applications, même si de nombreux sièges d’entreprise se targuent de disposer de « larges canaux ».

Figure 1. La sécurité du périmètre traite le trafic avant qu’il ne soit acheminé vers une destination Internet.

Au-delà du trafic quotidien lié à l’utilisation de M365, les mises à jour d’applications pour des centaines, voire des milliers d’utilisateurs, peuvent facilement dépasser la capacité de l’infrastructure de l’entreprise. La frustration que ressent les équipes informatiques lorsqu’elles luttent pour maintenir la productivité des employés qui utilisent des logiciels de « productivité » est compréhensible et ne donne pas une image particulièrement positive du déploiement de M365 en général.

Se contenter d’augmenter la capacité du réseau physique existant n’est pas non plus une bonne solution. Doubler la taille de la capacité de votre architecture réseau physique signifie souvent doubler la taille de vos dépenses d’exploitation de votre réseau étendu (sans parler du coût de l’investissement dans des nouveaux équipements). Cela ne résout pas le problème à long terme (selon la loi de Moore, vous l’avez peut-être reporté d’un an), et vous ne vous faites pas d’amis parmi les cadres ni ne gagnez la confiance de l’équipe de direction. Cela peut faire échouer les déploiements M365 avant même de commencer.

Aller de l’avant

J’ai une meilleure réponse : utilisez Internet comme réseau. L’un des (très rares) avantages de la pandémie est la preuve que l’utilisation d’Internet comme réseau d’entreprise constitue une solution de transport sécurisée.

La pandémie de COVID-19 a contraint les entreprises à envoyer tous leurs employés travailler à domicile. Par essence, ces bureaux à domicile sont devenus des « filiales d’une seule personne ». Lorsque le trafic à distance a inondé les réseaux d’entreprise traditionnels via ces connexions de bureaux « annexes » (souvent par VPN), les performances des applications et du réseau en ont souffert. La meilleure solution consiste à permettre aux utilisateurs distants d’accéder aux applications cloud directement à partir de leurs connexions Internet locales. Mais vous devez sécuriser ces connexions directes.

De nombreuses entreprises ont résolu le problème en associant l’accès direct à Internet à la sécurité cloud inline. Avec un accès Internet direct, il est inutile d’effectuer le backhauling du trafic via des piles de sécurité complexes basées sur le périmètre, quel que soit l’endroit où se trouvent les utilisateurs ou les applications. Au lieu de cela, l’utilisateur peut se servir d’Internet pour se connecter directement aux applications. Le trafic est envoyé directement et en toute sécurité vers sa destination, éliminant ainsi le besoin de backhauling, réduisant la latence et supprimant les piles de sécurité complexes à la périphérie du siège ou de la filiale.

Figure 2. Connectivité Internet directe pour les charges de travail Internet et SaaS

L’utilisation d’une solution de sécurité inline permet de :

Décharger le réseau du trafic Internet (jusqu’à 60 % de votre trafic est destiné à Internet) en utilisant l’Internet local comme couche de transport
Réduire la latence en envoyant le trafic des applications cloud directement vers le cloud
Réduire le trafic MPLS et les coûts associés
Fournir aux utilisateurs distants une sécurité au niveau du périmètre de l’entreprise
Améliorer la visibilité sur l’activité des utilisateurs et des charges de travail pour une sécurité et une optimisation des performances

Lors de la pandémie, les télétravailleurs ont constitué un test idéal pour accélérer les déploiements M365 en démontrant que l’accès direct à Internet peut offrir une expérience « sur site », quel que soit l’endroit où les utilisateurs travaillent. Vous pouvez appliquer ce scénario de test pour déterminer les cas où les connexions Internet directes pourraient constituer une meilleure solution que l’architecture traditionnelle.

La plupart des utilisateurs travaillant désormais à distance et créant plus de trafic pour vos connexions WAN/MPLS, une solution de sécurité cloud inline vous permet d’adopter l’Internet comme élément stratégique de votre stratégie de connectivité.

Il est essentiel d’analyser la stratégie globale de sécurité de votre entreprise et de travailler en collaboration avec les différentes équipes chargées de l’infrastructure afin d’examiner les lignes directrices, les restrictions et la gouvernance susceptibles de limiter une action immédiate. Déterminez si une solution de sécurité cloud qui permet un accès Internet direct aux applications cloud permet plus de points d’accès locaux à Internet.

Gartner décrit un modèle « Thin Branch/Heavy Cloud » basé sur une architecture Secure Access Service Edge (SASE), où la sécurité est déplacée du réseau physique vers le cloud. Laissez-vous guider par ce modèle et ne compliquez pas trop votre réseau avec des produits inutiles si vous pouvez simplement transférer le trafic directement vers Internet.

Zero Trust élimine la dépendance traditionnelle

Une solution de sécurité cloud Zero Trust peut vous aider à tirer le meilleur parti de vos investissements dans les logiciels de productivité et des solutions de réponse à la pandémie, et à accélérer l’adoption de M365. Vous devez travailler en étroite collaboration avec les équipes chargées des réseaux, des utilisateurs finaux et de la sécurité afin d’identifier des solutions susceptibles de simplifier les architectures de réseau et de sécurité à l’aide de solutions SASE.

En transférant en toute sécurité le trafic de votre réseau vers Internet, vous pouvez réduire votre dépendance à l’égard des architectures de réseau et de sécurité traditionnelles. Cela signifie une adoption accélérée de M365, une plus grande productivité et, à terme, de meilleurs résultats commerciaux. Le très grand nombre d’employés distants constitue une opportunité sans précédent : faites-en votre cas de test pour démontrer la réussite d’un déploiement M365 direct vers Internet. Ils peuvent constituer la masse critique qui met en évidence la manière dont Internet peut devenir votre couche de transport et accélérer votre transformation digitale sécurisée.