Zero Trust : ce que ça veut dire concrètement, une fois retiré le marketing

Le terme est devenu un argument commercial appliqué à peu près à tout. Derrière, il y a un modèle documenté, avec des principes clairs — et une mise en œuvre longue que personne ne vend comme telle.

Le principe de départ

Le modèle historique repose sur une frontière : à l’intérieur du réseau, on est légitime ; à l’extérieur, on ne l’est pas. Toute la sécurité se concentre sur le passage de cette frontière.

Ce modèle ne tient plus dès lors que les applications sont hors du réseau, que les utilisateurs travaillent de partout, et qu’un attaquant qui entre se retrouve dans une zone de confiance implicite.

Le NIST SP 800-207 pose le principe inverse : aucune confiance accordée sur la base de l’emplacement réseau. Chaque accès est évalué individuellement, à chaque fois.

Les principes réels

Vérifier explicitement. Chaque demande d’accès est évaluée selon l’identité, l’état du terminal, la sensibilité de la ressource et le contexte. Pas une fois à la connexion : à chaque accès.

Accorder le moindre privilège. Juste ce qui est nécessaire, pour la durée nécessaire. C’est une application directe du travail sur les comptes à privilèges.

Supposer la compromission. Concevoir en partant du principe qu’un attaquant est déjà présent. D’où la micro-segmentation et la journalisation systématique.

Ce que ça implique techniquement

• Une identité forte pour les utilisateurs, les terminaux et les services. C’est le socle : sans référentiel d’identité fiable, rien ne fonctionne.
• Une connaissance de l’état des terminaux au moment de l’accès.
• Un point de décision qui autorise ou refuse selon une politique.
• Un accès par application, pas par réseau — voir sécuriser les accès distants.
• Une télémétrie permettant de réévaluer en continu.

Par où commencer réellement

La faute la plus commune est de lancer un « projet Zero Trust » global. Il n’aboutit pas : le périmètre est l’ensemble du système d’information.

La séquence qui fonctionne :

1. Fiabiliser l’identité. Référentiel unique, authentification multifacteur généralisée, revue des habilitations. Rien n’est possible avant.
2. Traiter les accès distants et les prestataires. Passage d’un accès réseau à un accès applicatif. Gain immédiat et périmètre borné.
3. Isoler les actifs les plus sensibles. Une zone, complètement, avant la suivante.
4. Étendre progressivement, en mesurant.

Les deux premières étapes apportent l’essentiel du bénéfice et représentent une part modeste de l’effort total.

Ce que le modèle ne résout pas

Les applications anciennes qui ne savent pas déléguer l’authentification. Elles restent traitées par du cloisonnement réseau classique, parfois pour longtemps.

Les environnements industriels, où la contrainte de disponibilité interdit l’évaluation systématique — voir leurs spécificités.

La compromission d’une identité légitime. Si un attaquant dispose d’un compte valide et d’un terminal conforme, l’accès est accordé. Le modèle réduit la portée, il n’empêche pas l’entrée.

Le point de décision lui-même, qui devient un actif critique concentrant le risque.

L’usage abusif du terme

Deux signaux d’alerte quand on vous vend du Zero Trust :

Un produit unique présenté comme « la solution Zero Trust ». C’est une architecture, pas un produit — elle s’appuie sur des composants que vous possédez déjà en partie.

Une promesse de déploiement en quelques semaines. Fiabiliser un référentiel d’identité dans une organisation de taille moyenne prend des mois.

Le rapport avec la segmentation classique

Se dire « on ne fait pas de segmentation, on fera du Zero Trust » est une façon de ne rien faire pendant deux ans. Une organisation incapable de cloisonner trois zones ne déploiera pas un modèle où chaque flux est évalué individuellement.

La segmentation est une étape du chemin, pas une alternative.

Sources

• NIST SP 800-207 — Zero Trust Architecture
• ISO/IEC 27002:2022, mesures 5.15 à 5.18 et 8.20 à 8.22
• ANSSI — recommandations sur les architectures et le cloisonnement

Aller plus loin

Nous accompagnons ces trajectoires en sécurité réseau et en orchestration des politiques, avec le cadrage préalable en gouvernance et conformité.