Zero Trust : mettre en œuvre une sécurité sans périmètre, concrètement

Le Zero Trust n'est ni un logiciel ni une offre commerciale, malgré ce que suggère le marketing du secteur. C'est un ensemble de principes d'architecture : vérifier explicitement chaque demande d'accès en s'appuyant sur l'identité, l'état du terminal et le contexte de connexion ; accorder le moindre privilège nécessaire, pour la durée nécessaire ; et supposer la compromission, c'est-à-dire concevoir le système pour limiter les mouvements latéraux d'un attaquant déjà présent. Toute démarche qui commence par l'achat d'une solution avant la définition de ces principes aboutit généralement à une accumulation d'outils mal intégrés.

Le chantier fondateur est presque toujours celui de l'identité. Il suppose un annuaire unique et fiable des utilisateurs et des services, une authentification multifacteur généralisée — en privilégiant les méthodes résistantes au hameçonnage, comme les clés de sécurité et les passkeys —, et des politiques d'accès conditionnel qui tiennent compte du contexte : terminal géré ou non, localisation inhabituelle, sensibilité de la ressource demandée. Le point le plus souvent négligé concerne les identités non humaines : comptes de service, clés d'API, secrets d'automatisation. Leur prolifération sans inventaire ni rotation constitue l'un des angles morts les plus fréquents des systèmes d'information.

Une fois l'identité maîtrisée, la segmentation limite la portée d'une compromission. Il s'agit de cloisonner le système d'information en zones étanches — par application, par environnement, par niveau de sensibilité — afin qu'un poste de travail compromis ne donne pas accès aux serveurs de production, et qu'un serveur compromis ne permette pas d'atteindre les sauvegardes. Dans les environnements industriels, la séparation entre informatique de gestion et informatique opérationnelle est un impératif de même nature. La microsegmentation fine, appliquée charge de travail par charge de travail, est l'horizon cible ; mais une segmentation grossière et effectivement appliquée vaut mieux qu'un projet de microsegmentation parfait qui n'aboutit jamais.

La vérification continue n'a de sens que si l'on observe ce qui se passe. Cela suppose une journalisation centralisée des accès et des actions sensibles, des règles de détection adaptées aux scénarios redoutés — élévation de privilèges, exfiltration, connexions anormales — et une procédure de réponse testée, pas seulement documentée. C'est aussi ce qu'exigent les cadres réglementaires récents, au premier rang desquels la directive européenne NIS2, qui impose gestion des risques, notification des incidents et sécurisation de la chaîne d'approvisionnement à un périmètre d'entreprises considérablement élargi. Une architecture Zero Trust bien menée constitue une base solide pour répondre à ces obligations.

Une trajectoire réaliste tient en quatre étapes : cartographier les actifs critiques et les flux qui y mènent ; renforcer l'identité — MFA généralisée, revue des privilèges, traitement des comptes de service ; segmenter autour des actifs les plus sensibles ; puis étendre progressivement la vérification continue au reste du système. L'erreur classique consiste à viser l'exhaustivité d'emblée. Le Zero Trust est une direction, pas un état final : chaque étape doit réduire un risque identifié et mesurable, faute de quoi le programme s'essouffle avant d'avoir produit ses effets.

Un dernier point mérite d'être souligné, car il conditionne l'adhésion des utilisateurs : bien conduit, le Zero Trust améliore l'expérience quotidienne au lieu de la dégrader. L'authentification unique remplace la multiplication des mots de passe, les passkeys suppriment une bonne part des frictions de connexion, et l'accès conditionnel rend inutile le VPN permanent pour la majorité des usages. À l'inverse, un programme qui se traduit uniquement par des contrôles supplémentaires et des blocages incompris nourrit les contournements — c'est-à-dire exactement ce qu'il prétend combattre. La sécurité qui fonctionne est celle que les collaborateurs n'ont pas de raison de contourner : ce critère, trop rarement explicite, devrait figurer parmi les objectifs de tout programme Zero Trust au même titre que la réduction des risques.