Global Privacy Control detected. We have honored it as your request to opt out of the sale and sharing of your personal information and of targeted advertising.Signal Global Privacy Control détecté. Nous l'avons respecté comme une demande d'opposition à la vente et à la communication de vos renseignements personnels ainsi qu'à la publicité ciblée.
Cookie policyPolitique relative aux témoins Privacy policyPolitique de confidentialité Do Not Sell or Share My Personal InformationNe pas vendre ni communiquer mes renseignements personnels
Your browser sent a Global Privacy Control signal. We treat it as a refusal for the purposes marked below, and those switches stay off.Votre navigateur a envoyé un signal Global Privacy Control. Nous le traitons comme un refus pour les finalités indiquées ci-dessous, et ces interrupteurs restent désactivés.
Needed for the site to work, to keep you signed in, to protect it from attacks and to remember your privacy choices and the settings you pick. Always on.Nécessaires au fonctionnement du site, pour vous garder connecté, le protéger contre les attaques et retenir vos choix de confidentialité et les réglages que vous choisissez. Toujours actifs.
Remember optional settings beyond the ones you pick yourself. Off until you allow it.Retenir des réglages facultatifs autres que ceux que vous choisissez vous-même. Désactivés tant que vous ne les autorisez pas.
Count visits and see how pages are used, so we can improve the site. Off until you allow it.Compter les visites et voir comment les pages sont utilisées, afin d'améliorer le site. Désactivés tant que vous ne les autorisez pas.
Show videos, maps and live data layers from other providers. They receive your IP address and may set their own cookies. Off until you allow it, or load a single item once.Afficher des vidéos, des cartes et des couches de données en direct d'autres fournisseurs. Ceux-ci reçoivent votre adresse IP et peuvent déposer leurs propres témoins. Désactivés tant que vous ne les autorisez pas, ou chargez un seul élément une fois.
Measure campaigns and personalise advertising. We use none today. Off until you allow it, and refused when your browser sends Global Privacy Control.Mesurer les campagnes et personnaliser la publicité. Nous n'en utilisons aucun actuellement. Désactivés tant que vous ne les autorisez pas, et refusés lorsque votre navigateur transmet le signal Global Privacy Control.
Nexus Observatory Inc. keeps a record of each choice as proof: a random consent ID, the time, your region and the rules applied, the choices, the notice shown, the page, a shortened IP address, a one-way code of your browser type and, if you are signed in, your account. Records are kept while your choice applies and for 3 years after, then deleted.Nexus Observatory Inc. conserve un registre de chaque choix à titre de preuve : un identifiant de consentement aléatoire, l'heure, votre région et les règles appliquées, les choix, l'avis affiché, la page, une adresse IP abrégée, un code à sens unique du type de navigateur et, si vous êtes connecté, votre compte. Les registres sont conservés tant que votre choix s'applique et pendant 3 ans par la suite, puis supprimés.
Untick to choose for this site only. You can change either at any time in Privacy choices.Décochez pour choisir pour ce site seulement. Vous pouvez modifier l’un ou l’autre à tout moment dans Vos choix de confidentialité.
Segmentation and zero trust: zones fenced inside one site, every crossing checked. The loop, step by step: 1. Three fenced zones and one narrow gate. 2. The chain from source to console stands ready. 3. A device in the outer zone probes the gate. 4. The gate asks for identity and purpose. 5. Each reading is stamped with time and place. 6. Signatures are checked before any model runs. 7. Policy allows one service and nothing else. 8. The edge releases confirmed results only. 9. Permitted traffic crosses the gate. 10. The relay forwards sealed packets untouched. 11. Other traffic stops at the fence. 12. Sensors check that the response worked. 13. Every decision is logged for audit. 14. The alert arrives with its evidence attached. 15. Record, proof and action are archived together. 16. Everything settles back to idle.
01 / 16
Trois zones clôturées et une porte étroite
Nexus Observatory/
Sécurité et confiance/
Segmentation et confiance zéroSegmentation et confiance zéro, au sein de Sécurité et confiance : zero trust architecture, workload identity, port-based access and link encryption, transport security, et plus encore. Chaque élément est rattaché à sa spécification, de NIST SP 800-207 à CISA Zero Trust Maturity Model 2.0, et fonctionne sur l’Observatory Protocol ouvert.
Planifier avec nousArchitectureLe protocoleEn un coup d’œil
Aucune confiance implicite fondée sur l’emplacement réseau ; chaque requête est authentifiée, autorisée et journalisée. Dans ce domaine (segmentation et confiance zéro, Sécurité et confiance), la couche « confiance zéro et sécurité réseau » comprend architecture de confiance zéro, conçu selon NIST SP 800-207 and CISA Zero Trust Maturity Model 2.0 et employé aux côtés de zones, conduits et segmentation sur les mêmes sites.
Le problème
Les appareils de terrain sont installés dans des lieux publics, fonctionnent des années et rejoignent des réseaux qui transportent aussi du trafic de contrôle. Un seul nœud non vérifié ou une seule mise à jour non signée peut porter bien au-delà du capteur concerné. La sécurité doit être intégrée à la façon dont chaque nœud adhère, se met à jour et rapporte, car personne ne peut garder physiquement des sites sans surveillance.
Points clés
Composants
Interfaces
Où l’utiliser
Dans le récit ci-dessous
Scenes · 13
Étapes suivantes
Planifier un déploiementOuvrir l’Atelier de déploiement terrainVoir : Sécurité et confianceParler aux ventesSécurité et confiance · Segmentation et confiance zéro
Les appareils de terrain sont installés dans des lieux publics, fonctionnent des années et rejoignent des réseaux qui transportent aussi du trafic de contrôle. Un seul nœud non vérifié ou une seule mise à jour non signée peut porter bien au-delà du capteur concerné. La sécurité doit être intégrée à la façon dont chaque nœud adhère, se met à jour et rapporte, car personne ne peut garder physiquement des sites sans surveillance.
Ce qu’elle fait
Aucune confiance implicite fondée sur l’emplacement réseau ; chaque requête est authentifiée, autorisée et journalisée. Dans ce domaine (segmentation et confiance zéro, Sécurité et confiance), la couche « confiance zéro et sécurité réseau » comprend architecture de confiance zéro, conçu selon NIST SP 800-207 and CISA Zero Trust Maturity Model 2.0 et employé aux côtés de zones, conduits et segmentation sur les mêmes sites.
Confiance zéro et sécurité réseau
Tunnels chiffrés entre les sites, les passerelles et le centre d’exploitation du réseau. Dans ce domaine (segmentation et confiance zéro, Sécurité et confiance), la couche « confiance zéro et sécurité réseau » comprend IPsec et tunnels entre sites, conçu selon IETF RFC 4301 and IETF RFC 7296. We build it into every site for segmentation and zero trust against that standard, and keep its version and its test results on the site’s record.
Confiance zéro et sécurité réseau
Authentification des appareils sur les ports filaires et chiffrement des liaisons Ethernet. Dans ce domaine (segmentation et confiance zéro, Sécurité et confiance), la couche « confiance zéro et sécurité réseau » comprend contrôle d’accès par port et chiffrement des liaisons, conçu selon IEEE 802.1X-2020 and IEEE 802.1AE. We build it into every site for segmentation and zero trust against that standard, and keep its version and its test results on the site’s record.
Confiance zéro et sécurité réseau
Transport chiffré moderne pour les API, la télémétrie et les liaisons contraintes. Dans ce domaine (segmentation et confiance zéro, Sécurité et confiance), la couche « confiance zéro et sécurité réseau » comprend sécurité du transport, conçu selon IETF RFC 8446 and IETF RFC 9147. We build it into every site for segmentation and zero trust against that standard, and keep its version and its test results on the site’s record.
Temps et lieu
Chaque enregistrement (segmentation et confiance zéro) porte son heure, tirée d’une horloge disciplinée par le temps satellitaire ou par un grand maître PTP, avec la position et la fiche d’implantation de la station qui l’a produit. Quand l’heure ou la position se dégrade, l’enregistrement (segmentation et confiance zéro) le dit, et chaque utilisateur en aval voit le même avertissement.
Confiance zéro et sécurité réseau
Identités de courte durée et attestées pour les services et les agents, plutôt que des secrets statiques. Dans ce domaine (segmentation et confiance zéro, Sécurité et confiance), la couche « confiance zéro et sécurité réseau » comprend identité des charges de travail, conçu selon spécification SPIFFE et employé aux côtés de Résilience face aux interférences et à l’usurpation GNSS sur les mêmes sites.
Confiance
Un nœud ne rejoint un réseau (segmentation et confiance zéro) qu’après que sa racine de confiance matérielle a répondu à un défi d’attestation. Ses clés restent dans du matériel sécurisé, son logiciel arrive signé et chaque enregistrement qu’il produit (segmentation et confiance zéro) porte une signature, si bien que chacun en aval peut vérifier d’où vient une valeur.
Preuves
Nous rattachons chaque partie du domaine (segmentation et confiance zéro) à sa spécification : NIST SP 800-207, CISA Zero Trust Maturity Model 2.0 and SPIFFE specification. We keep the versions, configurations and test results of segmentation and zero trust as signed records, so a buyer or an auditor can check what was delivered against what was specified.
Panne et rétablissement
Quand un nœud (segmentation et confiance zéro) se tait ou qu’un capteur dérive, le nœud met ses données en mémoire tampon et bascule sur une seconde liaison quand le site en a une. L’alerte porte les preuves dont l’intervenant a besoin, et l’enregistrement (segmentation et confiance zéro) ne perd rien et ne compte rien deux fois.
Comment cela s’étend
Un réseau (segmentation et confiance zéro) commence par un nœud de base et les instruments qu’il lit. Une station ajoute l’énergie et la radio, un site ajoute un relais et une flotte répète le site éprouvé : la capacité (segmentation et confiance zéro) croît par l’ajout d’unités, jamais en remplaçant ce qui fonctionne.
Ce que vous obtenez
Identité, attestation, segmentation et surveillance des instruments et des nœuds de périphérie, avec preuves pour les audits. Présentés comme des services, jamais comme une garantie de sécurité. Pour ce domaine (segmentation et confiance zéro), l’offre s’adresse à operators of critical sites and agencies, sous forme de a managed service or professional services, dimensionnée aux sites qu’ils exploitent.
Parler aux ventesÉtape suivante
Indiquez-nous les sites, les systèmes avec lesquels le domaine (segmentation et confiance zéro) doit fonctionner et le résultat attendu, avec une carte ou une liste d’adresses si vous en avez une. Une ingénieure ou un ingénieur répond avec une proposition de relevé, une conception et une portée (segmentation et confiance zéro), et le plan grandit d’un site jusqu’au réseau dont vous avez besoin.
Planifier un déploiementOuvrir l’Atelier de déploiement terrainVoir : Sécurité et confianceAutres présentations
Chacune s’ouvre en présentation plein écran : des pages plus approfondies sur le même sujet, des explications, des récits, des visites guidées des lieux, des scènes de réseau et les observatoires qui nous ont précédés.
Toutes les présentations01Ce que c’est
Comment chaque nœud prouve ce qu’il est et ce qu’il exécute, comment les liaisons et les clés sont protégées, comment les logiciels sont rattachés à leur source, comment les données personnelles sont minimisées, et comment les incidents sont détectés et traités. Chaque technologie ci-dessous indique ce qu’elle est, ce que nous en faisons et la norme de référence.
Sécurité, identité et confiance
Aucune confiance implicite fondée sur l’emplacement réseau ; chaque requête est authentifiée, autorisée et journalisée.
Nous concevons, intégrons et exploitons.
NIST SP 800-207 · CISA Zero Trust Maturity Model 2.0
Sécurité, identité et confiance
Identités de courte durée et attestées pour les services et les agents, plutôt que des secrets statiques.
Nous concevons et intégrons.
spécification SPIFFE
Sécurité, identité et confiance
Authentification des appareils sur les ports filaires et chiffrement des liaisons Ethernet.
Nous concevons, intégrons et déployons.
IEEE 802.1X-2020 · IEEE 802.1AE (MACsec)
Sécurité, identité et confiance
Transport chiffré moderne pour les API, la télémétrie et les liaisons contraintes.
Nous concevons et intégrons.
IETF RFC 8446 (TLS 1.3) · IETF RFC 9147 (DTLS 1.3)
Sécurité, identité et confiance
Tunnels chiffrés entre les sites, les passerelles et le centre d’exploitation du réseau.
Nous concevons, intégrons et exploitons.
IETF RFC 4301 (IPsec) · IETF RFC 7296 (IKEv2)
Sécurité, identité et confiance
Regroupement des actifs par niveau de risque et contrôle de chaque flux entre les groupes.
Nous concevons, intégrons et exploitons.
IEC 62443-3-2 (risk assessment, zones and conduits)
Sécurité, identité et confiance
Détection du brouillage et de l’usurpation, et maintien du temps et de la position pendant les interruptions.
Nous concevons, intégrons et exploitons.
US DHS Resilient PNT Conformance Framework · Galileo Open Service Navigation Message Authentication
02Architecture
Segmentation et confiance zéro s’appuie sur le spectre ci-dessous ; les couches en surbrillance portent ce domaine, et les fonctions du protocole qu’il utilise sont signalées.
Identité et attestation des appareils
8
PKI, démarrage sécurisé et mises à jour
7
Confiance zéro et sécurité réseau
7
Sécurité 5G et sans fil
6
Sécurité OT et chaîne d’approvisionnement logicielle
9
Protection des renseignements personnels et des données
7
Clés, cryptographie et migration postquantique
9
Surveillance, réponse aux incidents et gouvernance
8
01Rejoindre Identité, citation d’attestation, politique signée.
02Admettre Admis pour une portée déclarée, rien de plus.
03Décrire Quoi, où, comment et par qui, avec l’étalonnage.
04Heure Une horloge pour tout le réseau, avec sa marge d’erreur.
05Observer Chaque valeur avec sa qualité et sa provenance.
06Qualifier Éprouvé selon la spécification, état consigné.
07Fédérer Échange signé entre réseaux et domaines de confiance.
08Orchestrer Logiciels et configuration par plan signé.
09Corriger Une correction signale ce qui en dépend et publie une nouvelle version.
10Échange Les produits atteignent les personnes et les applications par des interfaces versionnées.
11Prouver Des reçus de preuve signés qu’un vérificateur indépendant peut contrôler.
12Sortie et mise hors service Une voie de sortie ouverte, et un dossier qui se clôt.
03Sur le réseau
Les réseaux ouverts actuellement sur le réseau, sur un relief réel et les cellules géodésiques où nous les comptons. Un site bâti ici s’inscrit dans le même réseau.
04Sur le terrain
Scénarios de déploiement issus de la recherche sectorielle qui reposent sur segmentation et confiance zéro.
Activités connexes à la défense (double usage civil)05Ouvert et entreprise
L’équivalent ouvert se trouve sur le site principal, que chacun peut lire et utiliser. Le service entreprise est conçu, déployé et exploité avec vous, sous contrat.
Ouvert, sur le site principal
Entreprise, sur ce site
06Le reste de la gamme
Relevé, conception, déploiement et exploitation pour segmentation and zero trust. The form names who receives your details.
Nous joindreDemander une soumissionSegmentation and zero trust, inside Security and trust: zero trust architecture, workload identity, port-based access and link encryption, transport security and more. Every item is traced to its specification, from NIST SP 800-207 to CISA Zero Trust Maturity Model 2.0, and runs on the open Observatory Protocol.
The open counterpart lives on the main site for anyone to read and run. The enterprise service is designed, deployed and operated with you, under contract.
