Cybersécurité
Infrastructure de confiance à travers les frontières organisationnelles, sans intermédiaire central
Au sein de votre organisation, Zero Trust sait par rapport à quoi vérifier : votre fournisseur d’identité et votre inventaire d’appareils. À la frontière avec un fournisseur, un prestataire de services ou un régulateur, ce n’est plus le cas. Vereign est conçu pour cette frontière.
Discuter de la confiance entre organisations
NIS2 impose aux organisations qui entrent dans son champ d’application de sécuriser leur chaîne d’approvisionnement, y compris leurs relations avec leurs fournisseurs directs et leurs prestataires de services, et le règlement sur la cyberrésilience fixe des obligations de sécurité pour les produits comportant des éléments numériques tout au long de leur cycle de vie. Ces deux obligations traversent les frontières organisationnelles, là où il n’existe aucun fournisseur d’identité commun au regard duquel vérifier, à moins que les deux parties ne rejoignent une fédération. Vereign construit une infrastructure de confiance à travers les frontières organisationnelles, sans intermédiaire central : les organisations qui se vérifient au regard des journaux d’événements de clés des unes et des autres contrôlent elles-mêmes l’identité et l’intégrité, et le même modèle s’étendrait aux agents d’IA et aux objets connectés qui agissent pour leur compte. SEAL, le produit de remise de Vereign, traite déjà plus de 1 000 000 remises vérifiées par mois dans le système de santé suisse.
Facteurs réglementaires
Adoption de Zero Trust
Une enquête Gartner publiée en avril 2024 a constaté que 63 % des organisations avaient mis en œuvre, entièrement ou en partie, une stratégie Zero Trust, la plupart couvrant la moitié de leur environnement ou moins. Pour la collaboration à travers les frontières d’entreprise, le NIST SP 800-207 propose la fédération.
63 % mis en œuvre, entièrement ou en partie (Gartner, 2024)
Règlement sur la cyberrésilience
Les fabricants de produits comportant des éléments numériques doivent respecter des exigences de sécurité, traiter les vulnérabilités pendant toute la période de support du produit et notifier les vulnérabilités activement exploitées. Les importateurs et les distributeurs doivent vérifier que le fabricant a rempli ces obligations : les éléments de preuve sur la sécurité d’un produit passent ainsi d’une organisation à l’autre.
Obligations de notification applicables depuis le 11 septembre 2026
Sécurité de la chaîne d’approvisionnement NIS2
L’article 21, paragraphe 2, point d), impose des mesures de sécurité de la chaîne d’approvisionnement, y compris la sécurité des relations avec les fournisseurs directs et les prestataires de services. Les RSSI doivent établir la confiance dans tout leur écosystème de fournisseurs, au-delà de leur propre périmètre.
Article 21, paragraphe 2, point d) : sécurité de la chaîne d’approvisionnement
Aperçu de la solution
La confiance entre organisations pour la cybersécurité signifie que ce qui franchit une frontière entre organisations porte une preuve cryptographique de son origine, de son intégrité et de son autorisation, que les contreparties qui vérifient au regard de journaux d’événements de clés peuvent contrôler elles-mêmes. C’est avec les messages que cela fonctionne aujourd’hui, en production dans le système de santé suisse. L’échange de données structurées, les appels d’API, les agents d’IA et les attestations d’appareils sont des cas auxquels le même modèle s’étendrait. La communication est un cas d’usage. La capacité première est la confiance là où les organisations se rencontrent.
Découvrez le fonctionnement →OSSTMM mesure la sécurité opérationnelle de façon quantitative : contrôles de sécurité, visibilité, confiance et expositions. Mais tous les autres cadres de test s’arrêtent au périmètre de l’organisation. La confiance entre organisations est un fossé qu’aucun test d’intrusion ne peut mesurer. La confiance elle-même, aucun autre cadre ne sait la mesurer. DKMS, en revanche, rend cette confiance vérifiable et testable : pour la première fois, les équipes de sécurité peuvent réellement valider la confiance entre organisations.
Là où cela s’étendrait : l’identité non humaine
Les équipes de sécurité emploient de plus en plus le terme d’identité non humaine (NHI) pour les services, les charges de travail, les agents d’IA et les appareils. Notre définition : une identité non humaine est l’identité d’un acteur logiciel ou matériel : un identifiant stable, lié à l’autorité que l’acteur détient actuellement et à la personne qui en répond. Ses justificatifs prouvent cette identité ; ils ne sont pas l’identité.
Responsabilité établie par conception
Dans DKMS, une NHI serait modélisée comme un identifiant délégué dont le délégant est l’organisation qui en répond. Ses rotations nécessitent l’ancrage de cette organisation, et son autorité s’exprime sous forme de justificatifs qui remontent jusqu’à l’organisation. Le protocole sous-jacent ne fait aucune distinction entre contrôleurs humains et non humains.
Entre organisations
Au sein d’un seul domaine de confiance, les systèmes d’identité des charges de travail tels que SPIFFE fonctionnent bien. Les propriétés de DKMS comptent lorsqu’une NHI agit pour une organisation et qu’une autre organisation doit la vérifier : identifiants auto-certifiants, pré-rotation et chaînes de délégation qu’un vérificateur peut contrôler sans interroger l’émetteur.
VERIMESH Agent (feuille de route)
VERIMESH Agent, une édition de la feuille de route, donnerait aux agents d’IA et aux systèmes automatisés une identité de service zero trust fondée sur ce modèle, de sorte qu’une organisation destinataire pourrait vérifier pour quelle organisation un agent agit et dans quel périmètre. Cette édition n’est pas encore disponible, et aucune API publique destinée aux agents n’existe aujourd’hui.
Projets d’intégration pour l’identité non humaine
Les organisations qui ont besoin d’une identité vérifiable pour des agents IA, des services automatisés ou des appareils agissant au-delà des frontières organisationnelles peuvent cadrer ce besoin avec Vereign sous forme de projet d’intégration. Le projet modéliserait chaque agent, service ou appareil comme un identifiant délégué (DKMS, fondé sur KERI) dont les attestations seraient émises, et pourraient être révoquées, par l’organisation qui en répond. VERIMESH Agent et VERIMESH Edge sont des éditions de la feuille de route, pas encore disponibles, et il n’existe aujourd’hui aucune API publique destinée aux agents. Un projet couvrirait ce dont l’organisation a besoin : des identifiants délégués pour ses agents, services ou appareils, les attestations qui énoncent ce que chacun est autorisé à faire, la révocation de ces attestations par l’organisation en tant qu’émetteur, et la vérification par des contreparties d’autres organisations. Il construirait ou configurerait ce chemin d’identifiants délégués pour l’organisation ; ce n’est pas une fonctionnalité des déploiements de production actuels de Vereign. Une collaboration commence par un échange d’architecture, suivi du cadrage, puis du projet lui-même.
Demander une revue technique d’architecturePrêt pour le post-quantique par conception
L’informatique quantique n’a pas besoin d’arriver pour constituer une menace. Les données collectées aujourd’hui sur des canaux chiffrés pourront être déchiffrées dès que les capacités quantiques arriveront à maturité. KERI, la fondation cryptographique de l’infrastructure de confiance de Vereign, est architecturalement prêt pour la transition post-quantique, non pas parce qu’il utilise déjà des algorithmes post-quantiques, mais parce que sa conception rend cette transition transparente.
Collecter maintenant, déchiffrer plus tard
Des adversaires collectent aujourd’hui des données chiffrées en vue d’un déchiffrement quantique futur. La NSA, la CISA et le NIST alertent conjointement : les données à longue durée de conservation (dossiers de santé, transactions financières, documents juridiques) sont exposées sur des fenêtres qui se mesurent en décennies. La menace n’est pas future : la collecte a lieu maintenant.
Normes du NIST finalisées
Les normes FIPS 203, 204 et 205 ont été finalisées en août 2024, établissant ML-KEM, ML-DSA et SLH-DSA comme standards cryptographiques post-quantiques. La fenêtre de migration est désormais ouverte. Les organisations qui attendront l’arrivée des ordinateurs quantiques auront des années de retard sur celles qui préparent leur infrastructure cryptographique dès aujourd’hui.
Agilité cryptographique de KERI
Le mécanisme de pré-rotation de KERI et son indépendance vis-à-vis des algorithmes permettent la rotation des clés vers des algorithmes post-quantiques sans rompre la chaîne de confiance. Contrairement aux systèmes fondés sur une PKI ou une autorité de certification, verrouillés sur des hypothèses cryptographiques précises, KERI autorise une migration progressive : chaque organisation évolue à son rythme, sans refonte de son infrastructure.
Éprouvé à grande échelle
La santé est une infrastructure critique. Verimesh est en production dans le système de santé suisse : la passerelle et l’autorité de certification centrale chez HIN sont en pleine production dans la majeure partie du réseau HIN, et la migration est en cours de finalisation, son achèvement étant attendu d’ici la fin du premier trimestre 2027. L’architecture n’est pas propre à la santé : le même modèle de confiance s’appliquerait aux attestations de sécurité échangées entre organisations.
1 000 000+
remises vérifiées par mois, dans l’ensemble du système de santé suisse
Infrastructure de production dans le système de santé suisse. Verimesh est conçu pour que les contreparties qui vérifient au regard de journaux d’événements de clés se contrôlent mutuellement sans autorité de confiance centrale. Lorsqu’une contrepartie ne valide que X.509, comme c’est le cas chez HIN aujourd’hui, une autorité de certification pont relie les deux.
Architecture de référence
Cliquez pour agrandir
Comment collaborer
Travailler directement avec Vereign
Pour les organisations qui souhaitent cadrer et déployer une infrastructure de confiance avec les équipes d’ingénierie et de conseil de Vereign. Idéal pour les organisations pionnières et pour celles qui disposent de compétences techniques internes.
Découvrir nos services →Travailler avec un partenaire
Pour les organisations qui préfèrent passer par un cabinet de conseil déjà formé à l’infrastructure de confiance de Vereign. Nos partenaires apportent une expertise sectorielle en plus de la capacité de déploiement.
Voir le programme partenaires →Une infrastructure de confiance pour les organisations avec lesquelles vous travaillez, sans intermédiaire central
Que vous soyez RSSI et souhaitiez étendre un programme Zero Trust aux fournisseurs et aux partenaires, ou cabinet de conseil en sécurité en train de bâtir une nouvelle activité, nous pouvons cadrer avec vous la façon dont la confiance entre organisations s’intègre à votre dispositif existant.