Defense in Depth

Définition

La Defense in Depth, ou défense en profondeur, est une stratégie de sécurité fondamentale, historiquement inspirée de doctrines militaires de fortification par lignes successives, qui consiste à superposer délibérément plusieurs couches de contrôles de sécurité complémentaires et indépendantes protégeant un même actif, de sorte qu'aucun contrôle unique ne constitue le seul rempart déterminant la sécurité globale du système, et que la défaillance ou le contournement d'une couche donnée soit compensé par les couches suivantes plutôt que d'exposer directement l'actif protégé. Concrètement appliquée en cybersécurité, cette stratégie combine typiquement des contrôles périmétriques (pare-feu, filtrage réseau), des contrôles au niveau du réseau interne (segmentation, détection d'intrusion), des contrôles au niveau des systèmes (durcissement, gestion des correctifs), des contrôles applicatifs (validation des entrées, authentification), et des contrôles portant sur les données elles-mêmes (chiffrement, contrôle d'accès granulaire), chacun de ces niveaux étant conçu pour fonctionner de façon autonome sans dépendre uniquement de l'efficacité des couches adjacentes. Ce principe s'oppose explicitement à une approche de sécurité périmétrique unique, autrefois répandue, qui concentrait l'essentiel des efforts de protection sur la frontière du réseau et supposait implicitement une confiance excessive envers tout ce qui se trouvait à l'intérieur, une hypothèse largement invalidée par les architectures modernes Zero Trust qui prolongent et généralisent ce principe de défense multicouche.