Zero Trust : principes, architecture et mise en œuvre d'un modèle de cybersécurité moderne

Le Zero Trust est un modèle de sécurité qui supprime toute confiance implicite accordée à un utilisateur, un équipement ou un flux du seul fait de sa position dans le réseau, et qui soumet chaque demande d’accès à une vérification explicite fondée sur l’identité, l’état de l’équipement et le contexte. Il ne se déploie pas : il se construit par étapes, en déplaçant progressivement le point de contrôle du périmètre réseau vers l’identité. Cette page réunit les principes, les briques techniques, la feuille de route de mise en œuvre et l’ensemble des analyses ITPro sur le sujet, dans le prolongement de notre couverture de la cybersécurité en entreprise.

Qu’est-ce que le Zero Trust ?

Définition. Le Zero Trust est un modèle d’architecture de sécurité dans lequel aucune confiance n’est accordée par défaut, quelle que soit la localisation de la demande. Chaque accès est authentifié, autorisé et évalué en continu au regard de l’identité, de la posture de l’équipement et du contexte de la connexion.

Origines et évolution du concept

Le terme est popularisé en 2010 par l’analyste John Kindervag, alors chez Forrester. Il prend une consistance normative avec la publication par le NIST de la Zero Trust Architecture, référentiel SP 800-207, qui en décrit les composants logiques et les modèles de déploiement. C’est ce document qui sert aujourd’hui de base commune aux discussions d’architecture, au-delà des définitions produites par les éditeurs.

Pourquoi le modèle périmétrique atteint ses limites

Le modèle historique repose sur une hypothèse : l’intérieur du réseau est sûr, l’extérieur ne l’est pas. Trois évolutions l’ont rendue fausse. Les applications ont quitté le centre de données pour le SaaS et le cloud public. Les utilisateurs se connectent depuis n’importe où, sur des équipements que l’entreprise ne maîtrise pas toujours. Et les attaquants entrent désormais avec des identifiants valides, ce qui les place d’emblée du bon côté du périmètre.

Une fois à l’intérieur, un attaquant bénéficie de la confiance accordée à la zone. C’est ce qui rend le déplacement latéral si efficace lors des attaques par rançongiciel.

Ce que signifie réellement « Never Trust, Always Verify »

La formule est mal comprise quand on la lit comme une posture de défiance généralisée. Elle décrit un principe technique : la décision d’accès est prise à chaque requête, à partir de signaux réévalués, et non une fois pour toutes au moment de la connexion initiale.

Les principes fondamentaux

• Vérifier explicitement. Chaque accès s’appuie sur l’identité authentifiée, la posture de l’équipement, la sensibilité de la ressource et le contexte (localisation, heure, comportement habituel).
• Appliquer le moindre privilège. Les droits sont limités au strict nécessaire, dans le temps comme dans le périmètre. L’accès juste-à-temps remplace le privilège permanent.
• Présumer la compromission. L’architecture est conçue pour qu’une compromission reste circonscrite, non pour qu’elle soit impossible.
• Segmenter. La microsegmentation limite ce qu’un compte compromis peut atteindre.
• Surveiller en continu. Les signaux comportementaux alimentent la réévaluation dynamique du niveau de confiance.

Comment fonctionne une architecture Zero Trust ?

Le modèle du NIST distingue deux composants logiques.

Le Policy Engine prend la décision d’accès. Il agrège les signaux disponibles : identité et groupe d’appartenance, résultat de l’authentification multifacteur, conformité de l’équipement remontée par la gestion de parc, télémétrie de sécurité issue de l’EDR, score de risque de la session, sensibilité de la ressource demandée. Il produit une décision : autoriser, refuser, ou autoriser sous condition.

Le Policy Enforcement Point applique cette décision. Il se matérialise selon les cas par une passerelle ZTNA, un proxy applicatif, un contrôle d’accès conditionnel côté fournisseur d’identité, ou une règle de microsegmentation.

Le point structurant est la réévaluation. Une session valide à l’instant T peut être interrompue si l’équipement sort de conformité, si le compte présente un comportement anormal, ou si le niveau de risque évolue. C’est ce qui distingue une architecture Zero Trust d’un simple durcissement des accès.

Les briques technologiques

Aucune de ces briques ne constitue à elle seule une architecture Zero Trust. Un éditeur qui présente son produit comme « la solution Zero Trust » vend un composant.

Zero Trust, VPN et accès distants

Le tunnel VPN classique accorde un accès réseau large après authentification unique. C’est exactement le schéma que le modèle cherche à supprimer : une fois le tunnel monté, l’utilisateur voit tout le segment auquel il est raccordé.

Le ZTNA (Zero Trust Network Access) inverse la logique : l’utilisateur accède à une application, pas à un réseau, après vérification de l’identité et de la posture, et sans que l’application soit exposée sur Internet. La bascule s’opère rarement d’un bloc. Elle commence par les applications les plus exposées et les populations à risque, le VPN subsistant pour les usages non couverts. Ce sujet est traité en détail dans notre section VPN d’entreprise.

Zero Trust et cloud

Le cloud accélère l’adoption pour une raison simple : il n’y a plus de périmètre à défendre. Les points d’attention :

• Identités machines et comptes de service, souvent plus nombreux que les identités humaines et rarement soumis aux mêmes contrôles.
• Accès aux applications SaaS, à traiter par l’accès conditionnel plutôt que par le filtrage d’adresses IP.
• Sécurisation des API et des workloads, avec authentification mutuelle entre services.
• Posture des environnements cloud, via des outils de type CSPM ou CNAPP, pour détecter les configurations qui rouvrent une confiance implicite.

Mettre en œuvre le Zero Trust : une feuille de route en six étapes

1. Identifier les ressources critiques. Applications, données, systèmes dont la compromission arrête l’activité. Sans cette cartographie, l’effort se disperse.

2. Cartographier les flux et les identités. Qui accède à quoi, depuis où, avec quels droits. Cette étape révèle presque toujours des accès permanents non justifiés.

3. Renforcer la gestion des accès. MFA généralisée, revue des habilitations, suppression des comptes orphelins, encadrement des comptes à privilèges.

4. Déployer l’accès applicatif granulaire. ZTNA sur les applications les plus exposées, en commençant par un périmètre réduit et mesurable.

5. Segmenter. Microsegmentation des environnements sensibles, à commencer par les sauvegardes et les systèmes d’administration.

6. Instaurer la surveillance continue. Alimentation du score de risque par la télémétrie, réévaluation des sessions, détection des anomalies d’identité.

Le modèle ne s’achète pas. Il se construit sur plusieurs exercices budgétaires, en priorisant les ressources critiques plutôt qu’en cherchant une couverture uniforme.

Limites et facteurs d’échec

Les projets échouent rarement pour des raisons techniques. Les causes les plus fréquentes :

• Absence de cartographie préalable, qui conduit à des politiques d’accès écrites au jugé puis assouplies au premier incident d’exploitation.
• Dette d’identité. Un annuaire non nettoyé rend toute politique fondée sur l’identité inopérante.
• Expérience utilisateur dégradée par des demandes d’authentification mal calibrées, qui produisent des contournements.
• Applications historiques incompatibles avec l’accès granulaire, à traiter par isolation plutôt que par exception permanente.
• Gouvernance floue. Le modèle traverse les périmètres IT, sécurité, réseau et métier. Sans arbitre désigné, il s’arrête à la première frontière.

Le Zero Trust croise par ailleurs directement les exigences de gestion des risques et de contrôle d’accès attendues dans le cadre de la conformité NIS2, ce qui en fait un argument de financement recevable en comité de direction.

Explorer le cluster Cybersécurité

Cette page fait partie de notre couverture de la cybersécurité en entreprise : menaces, architectures de défense, conformité et gestion de crise.

iTPro+ : recevez chaque semaine l’analyse des menaces et les décisions d’architecture qui comptent pour les équipes IT.