Points clés
- Le framework NIST SP 800-207 (Zero Trust Architecture, 2020) formalise la gouvernance des flux en imposant une politique d'accès explicite pour chaque flux réseau — remplaçant la règle implicite "tout est autorisé à l'intérieur" par une autorisation positive et vérifiée pour chaque communication.
- Gartner estime que d'ici 2026, les organisations ayant adopté un framework de gouvernance des flux réseau réduiront de 75 % les incidents liés à des mouvements latéraux non autorisés — une réduction directement corrélée à la maîtrise des communications autorisées.
- L'ANSSI (France, 2023) recommande dans son guide de sécurisation des systèmes d'information industriels que toute communication inter-systèmes soit documentée dans une matrice de flux, validée par les propriétaires des systèmes concernés et révisée annuellement — un standard transposable à tous les secteurs.
La gouvernance des flux et communications réseau est la discipline qui définit quelles communications sont autorisées, pourquoi, entre quels systèmes et sous quelles conditions. Sans cette gouvernance, les règles de filtrage réseau deviennent une accumulation de décisions historiques non documentées dont personne ne peut plus garantir qu'elles sont toutes nécessaires et sûres.
Une gouvernance des flux efficace transforme les règles de filtrage d'une liste opaque d'autorisations en un programme de sécurité géré : chaque règle a un propriétaire, une justification fonctionnelle et une date de révision. Cette transformation rend les révisions périodiques réalisables et les audits de sécurité réseau effectivement interprétables.
Composantes d'une gouvernance des flux réseau
La gouvernance des flux réseau repose sur trois éléments : (1) une matrice de flux documentant les communications autorisées (source, destination, port, protocole, justification, propriétaire), (2) un processus de validation des nouvelles demandes de communication (chaque nouveau flux doit être approuvé par le propriétaire de la ressource destination et révisé par l'équipe sécurité), (3) un processus de révision périodique de la matrice pour identifier et supprimer les flux devenus inutiles ou inadéquats.
La matrice de flux est aussi un outil d'audit : lors d'un incident, elle permet d'identifier rapidement si un flux observé dans les logs est autorisé ou non. En l'absence de matrice, chaque flux doit être évalué individuellement lors de l'investigation — un travail chronophage dans les moments où la réactivité est critique.
Intégration avec le cycle de vie des projets
La gouvernance des flux doit être intégrée dans le cycle de vie des projets informatiques : chaque nouveau projet qui implique des communications réseau doit inclure une phase d'analyse des flux nécessaires, une demande d'ouverture formelle et une validation sécurité avant déploiement. Cette intégration évite la création de flux non documentés et non validés qui s'accumulent au fil des projets.
Cas opérationnel : Microsegmentation chez Google — BeyondCorp (États-Unis)
Suite à l'opération Aurora (compromission de Google par des acteurs étatiques chinois en 2009-2010), Google a développé son framework BeyondCorp qui gouverne chaque flux réseau individuel plutôt que de faire confiance à des segments réseau entiers. Dans BeyondCorp, chaque accès à une ressource interne est évalué en temps réel en fonction de l'identité de l'utilisateur, de l'état du terminal et du contexte de la demande — sans notion de réseau interne de confiance. Ce modèle a été documenté dans plusieurs publications académiques de Google et est devenu la référence conceptuelle du Zero Trust Network Access. Il illustre qu'une gouvernance des flux individuelle, bien que complexe à déployer, est la seule approche robuste contre les adversaires sophistiqués.
Le NIST SP 800-207 formalise la gouvernance des flux via le concept de Policy Decision Point (PDP) et Policy Enforcement Point (PEP) : chaque tentative d'accès à une ressource est évaluée par le PDP selon une politique définie, et l'accès n'est accordé que si la politique est satisfaite. Ce modèle formel de gouvernance des flux est la référence pour les programmes Zero Trust dans les agences fédérales américaines et influence les programmes de gouvernance réseau du secteur privé.
L'ENISA a publié en 2023 un modèle de maturité Zero Trust adapté au contexte européen, incluant une dimension spécifique sur la gouvernance des flux réseau. Le modèle définit cinq niveaux de maturité pour la gouvernance des flux, du niveau 1 (aucune matrice de flux documentée) au niveau 5 (gouvernance automatisée des flux avec politique évaluée en temps réel pour chaque connexion).
La Monetary Authority of Singapore a publié des guidelines sur l'adoption du Zero Trust pour les institutions financières, incluant des exigences de gouvernance des flux pour les accès aux données financières. Ces guidelines définissent les prérequis à la gouvernance des flux (inventaire des actifs, classification des données, cartographie des dépendances) et les métriques de suivi de la maturité.