Sécurité zero trust : révolution ou mirage dans la cybersécurité moderne ?

Promu comme le nouveau standard de la cybersécurité, le « zero trust » s’impose dans les discours des RSSI, des éditeurs et des cabinets de conseil, au point de devenir un passage obligé de nombreux appels d’offres. Dans un contexte de télétravail durable, de migration vers le cloud et d’explosion des rançongiciels, la promesse est simple : ne faire confiance à rien, ni personne, et vérifier tout, tout le temps. Mais derrière le slogan, que reste-t-il quand il faut déployer, financer, et surtout mesurer l’efficacité réelle ?

Le zero trust, une doctrine née du terrain

« Ne jamais faire confiance, toujours vérifier » : la formule claque, et elle résume un basculement historique. Pendant des décennies, la sécurité informatique s’est construite comme une forteresse, un réseau interne jugé fiable, protégé par un périmètre, des pare-feu et quelques contrôles aux frontières. Or ce modèle a été érodé par l’irruption du cloud, l’usage massif de logiciels en mode SaaS, et la mobilité, et la crise sanitaire a accéléré ce mouvement à une vitesse rarement vue. Selon Gartner, d’ici 2025, 60 % des organisations utiliseront le zero trust comme point de départ de leur stratégie de sécurité, contre 10 % en 2021, un indicateur de la rapidité avec laquelle l’idée s’est imposée dans les comités de direction.

Le concept n’est pas nouveau, et sa paternité moderne est souvent attribuée à John Kindervag, alors analyste chez Forrester, qui l’a formalisé au début des années 2010. Mais son essor tient surtout à une réalité opérationnelle : l’ennemi est déjà dedans, ou peut y entrer à la faveur d’un identifiant compromis, d’un fournisseur attaqué, ou d’une configuration cloud trop permissive. L’attaque SolarWinds, révélée fin 2020, a servi d’électrochoc mondial : une compromission de la chaîne d’approvisionnement a permis des intrusions discrètes dans des organisations publiques et privées, et elle a rappelé que la confiance implicite envers des briques « internes » est devenue un pari dangereux.

Dans la pratique, le zero trust n’est pas un produit, mais une approche : segmentation fine du réseau, authentification forte, contrôle continu des accès, moindre privilège, vérification de l’intégrité des postes, et journalisation permettant de détecter des comportements anormaux. Le NIST, l’agence américaine de standardisation, a publié en 2020 une architecture de référence (SP 800-207) qui clarifie la doctrine, en insistant sur l’idée d’une décision d’accès basée sur le contexte : identité, appareil, localisation, sensibilité de la ressource, et niveau de risque. C’est là que le zero trust devient concret, mais c’est aussi là que les difficultés commencent, car cette granularité exige des inventaires fiables, une gouvernance stricte des identités, et une discipline d’exploitation quotidienne.

Pourquoi tant d’entreprises s’y frottent

La première motivation, c’est l’identité, devenue le nouveau périmètre. Microsoft rappelait déjà, dans ses rapports de sécurité, qu’une large part des incidents commence par des identifiants dérobés ou abusés, et le constat reste d’actualité avec la banalisation du phishing et des campagnes automatisées. Dans ce paysage, le zero trust promet de réduire l’impact d’un compte compromis : authentification multifacteur, accès conditionnels, et droits minimaux, de sorte qu’un intrus ne puisse pas se déplacer librement dans le système d’information. Le modèle colle particulièrement aux organisations qui ont multiplié les applications cloud, car l’accès n’est plus un simple « entrer ou sortir » d’un réseau, il est une suite de décisions sur des ressources dispersées.

La seconde motivation, c’est la résilience face aux rançongiciels. Les groupes criminels exploitent la moindre faiblesse pour escalader les privilèges, chiffrer des serveurs clés, et exfiltrer des données afin de monnayer une double extorsion. Segmenter, cloisonner, et limiter les droits ne fait pas disparaître le risque, mais cela peut empêcher l’incendie de se propager. Verizon, dans son Data Breach Investigations Report, souligne régulièrement le rôle des identifiants et des erreurs humaines dans les intrusions, et cela alimente l’idée qu’un contrôle continu des accès, et non une confiance implicite, est plus adapté au niveau de menace actuel.

Enfin, le zero trust s’inscrit dans une pression réglementaire et assurantielle croissante. Les exigences de traçabilité, la gestion des accès à privilèges, et la preuve d’une politique de sécurité cohérente pèsent de plus en plus dans les audits, et dans les discussions avec les assureurs cyber, devenus plus stricts. En France, l’ANSSI pousse, au fil de ses guides et recommandations, des principes proches : durcissement, segmentation, et maîtrise des identités, autant de briques qui se retrouvent naturellement dans une démarche zero trust. Pour les directions générales, l’approche offre aussi un récit lisible, et un cadre de priorisation, utile quand la cybersécurité doit dialoguer avec les métiers, la DSI, et les finances.

Mais l’adoption se heurte à une tension : les entreprises veulent aller vite, et elles cherchent parfois une « solution » clé en main. C’est ici que le marché complique l’équation, car les éditeurs ont décliné le terme sur une multitude de produits, de la passerelle d’accès aux applications aux agents de contrôle sur les postes, et chacun promet d’être « la » brique centrale. Or l’expérience montre que la réussite tient moins à l’achat qu’à l’architecture, et qu’un déploiement efficace suppose une cartographie des usages, des flux et des droits. Cela implique du temps, des compétences, et souvent un recours à des experts externes, qu’il s’agisse de consultants, d’intégrateurs, ou de talents indépendants, parfois trouvés via une plateforme freelance, afin de renforcer une équipe interne déjà sous tension.

Le mirage du « tout zero trust »

Il y a un piège classique, et il tient en une phrase : « On fait du zero trust ». Comme si l’on pouvait basculer un interrupteur. En réalité, la plupart des systèmes d’information sont un empilement de couches anciennes et récentes, avec des applications patrimoniales, des annuaires parfois multiples, des postes hétérogènes, et des exceptions métiers accumulées au fil des années. Exiger une vérification continue et une segmentation fine dans un tel environnement revient à jouer une partie d’échecs sur un plateau incomplet. Sans inventaire des actifs, sans visibilité sur les flux, et sans hygiène de base, le zero trust risque de se réduire à un slogan apposé sur des contrôles partiels.

Le second mirage concerne l’expérience utilisateur. Un contrôle d’accès trop strict, des demandes de validation incessantes, ou des restrictions mal calibrées peuvent pousser les salariés à contourner les règles, et donc à créer de nouveaux angles morts. Le zero trust n’est viable que s’il est « frictionless » autant que possible, avec une authentification forte mais intelligente, une gestion des terminaux fiable, et des politiques adaptatives qui tiennent compte du risque réel. Les solutions d’accès conditionnel, par exemple, peuvent imposer une authentification renforcée uniquement quand le contexte est suspect, et laisser des parcours fluides dans les situations normales. C’est une promesse séduisante, mais elle exige des données de qualité, et des réglages fins, faute de quoi l’organisation bascule dans la fatigue de sécurité.

Troisième mirage : confondre segmentation et cloisonnement aveugle. Segmenter, oui, mais segmenter n’importe comment peut casser des applications, ralentir des projets, et générer une dette opérationnelle. Le zero trust impose une compréhension précise des dépendances, et il met en lumière une question que beaucoup préfèrent éviter : qui accède à quoi, et pourquoi ? Le moindre privilège, souvent cité, devient alors un chantier politique autant que technique, car il touche aux habitudes de travail, aux pouvoirs implicites, et aux responsabilités. Les organisations qui réussissent sont celles qui mettent autour de la table la DSI, la sécurité, et les métiers, et qui arbitrent sur des critères clairs : criticité, risque, et coût.

Enfin, il y a le mirage financier. Les directions s’attendent parfois à une rationalisation immédiate, alors que la transition vers une architecture zero trust peut, au contraire, augmenter temporairement les dépenses : licences, refonte d’annuaires, outils de gestion des privilèges, formation, et temps humain. Le retour sur investissement existe, mais il est rarement immédiat, et il se mesure surtout en réduction de l’exposition au risque, un indicateur plus complexe à traduire en euros. Dans un marché où les budgets cyber sont scrutés, le zero trust doit donc être défendu par des métriques pragmatiques : diminution du nombre de comptes à privilèges, réduction des accès permanents, temps de détection, et capacité à contenir un incident.

Comment juger, sans se faire piéger

Alors, révolution ou mirage ? La réponse tient dans la méthode, et dans l’honnêteté du diagnostic. Un programme zero trust crédible commence rarement par une segmentation spectaculaire, il débute par l’identité : annuaire unique ou fédéré, authentification multifacteur généralisée, gestion du cycle de vie des comptes, et suppression des accès orphelins. C’est un travail moins glamour, mais c’est le socle, car l’identité est le point de passage de presque tous les accès. Ensuite viennent les privilèges : comptes administrateurs séparés, élévation temporaire, coffre-fort de mots de passe, et traçabilité des actions sensibles. Chaque étape réduit une classe de risques, et permet d’avancer sans paralyser l’organisation.

Le deuxième critère, c’est la capacité à observer. Sans journalisation cohérente, sans corrélation, et sans exploitation, le zero trust n’a pas de « boucle de contrôle ». Centraliser les logs, définir des alertes, et intégrer des signaux venant des postes, des annuaires, et des services cloud, permet d’appliquer la vérification continue de manière concrète. Là encore, les standards comme ceux du NIST, et les bonnes pratiques promues par les agences nationales, convergent : on ne contrôle bien que ce que l’on mesure. Dans les entreprises matures, le zero trust se traduit par des politiques dynamiques, alimentées par la détection, et ajustées au fil des incidents, plutôt que par des règles figées gravées dans le marbre.

Troisième critère : la priorisation par les actifs critiques. Une démarche sérieuse ne cherche pas à tout transformer en même temps, elle cible d’abord ce qui ferait le plus mal : annuaires, messagerie, ERP, données sensibles, environnements de production, et accès des prestataires. Les accès tiers, souvent sous-estimés, méritent une attention particulière, car ils ouvrent des portes légitimes vers des systèmes critiques. Limiter ces accès, les surveiller, et imposer des contrôles contextuels, peut faire une différence majeure. Le zero trust, dans sa version pragmatique, ressemble alors à une succession de périmètres prioritaires, traités l’un après l’autre, avec des résultats visibles et auditables.

Enfin, il faut juger le discours des éditeurs, et poser des questions simples. Quelles politiques sont réellement appliquées ? Sur quels signaux reposent-elles ? Que se passe-t-il en cas de panne d’un composant central ? Quels sont les impacts sur la latence, et sur les usages métier ? Et surtout, comment sort-on d’une dépendance excessive à un outil unique ? Un zero trust robuste accepte l’hétérogénéité, et privilégie des briques intégrables, des standards d’authentification, et une gouvernance claire. C’est moins spectaculaire qu’une promesse marketing, mais c’est ainsi qu’une doctrine devient un dispositif de défense, et non un mirage de plus.

Dernier mot : des choix, pas un slogan

Avant de lancer un programme, fixez un périmètre, un calendrier et un budget, puis financez d’abord l’identité, la gestion des privilèges et la journalisation. Réservez du temps aux métiers, et prévoyez un accompagnement, car la conduite du changement coûte. Côté aides, explorez les dispositifs régionaux et les programmes Bpifrance dédiés à la cyber.