Quelle description du contrôle d'accès fondé sur l'idée du zero trust est correcte ?

Réponse : A. On ne fait confiance à personne du seul fait de sa présence sur le réseau interne ; à chaque requête, on vérifie l'utilisateur et l'état de l'appareil et on n'autorise que l'accès minimal nécessaire

La défense périmétrique traditionnelle considérait le réseau interne comme un intérieur de confiance et arrêtait les intrus à la frontière. Comme l'usage du cloud et le télétravail étendent hors de l'entreprise ce qu'il faut protéger, et qu'un attaquant qui franchit le périmètre peut se déplacer librement, l'idée du zero trust, qui n'accorde aucune confiance en fonction de l'emplacement sur le réseau, s'est répandue. Dans la SP 800-207 publiée en 2020, le NIST américain a posé des principes comme ne pas accorder de confiance implicite selon l'emplacement sur le réseau, accorder l'accès aux ressources requête par requête et décider par des politiques dynamiques fondées notamment sur l'état des utilisateurs et des appareils. On le résume par « never trust, always verify » (ne jamais faire confiance, toujours vérifier).