Le Zero Trust est un modèle d'architecture, pas une technologie ni un produit. Son principe directeur tient en une formule reprise par le NIST SP 800-207 : « ne jamais faire confiance, toujours vérifier ». Concrètement, aucune requête n'est considérée comme légitime au motif qu'elle provient de l'intérieur du réseau : chaque accès à une ressource est évalué au moment où il est demandé.
Ce que le modèle remplace
L'architecture historique repose sur un périmètre : un réseau interne réputé sûr, séparé de l'extérieur par des équipements de filtrage. Une fois franchie la frontière, un utilisateur ou un poste circule avec une confiance largement implicite.
Ce modèle a cessé de correspondre à la réalité pour trois raisons cumulatives : les applications ont migré vers des services externes, le travail à distance a normalisé les accès depuis n'importe quel réseau, et les intrusions modernes commencent presque toujours par une identité compromise — donc à l'intérieur, avec des droits légitimes. Un attaquant qui entre par la porte n'est pas arrêté par un mur.
Le Zero Trust déplace donc le contrôle : du réseau vers la ressource, et du moment de l'entrée vers chaque requête.
Les principes structurants
Le NIST SP 800-207 énonce une série de fondements. Les plus déterminants en pratique :
- Toute donnée et tout service est une ressource à protéger individuellement, y compris les services techniques et les objets connectés.
- La communication est sécurisée quel que soit l'emplacement réseau. Être « à l'intérieur » ne confère aucun avantage.
- L'accès est accordé par session et pour une ressource donnée, jamais globalement ni une fois pour toutes.
- La décision s'appuie sur une politique dynamique intégrant l'identité, l'état de l'appareil, le comportement observé et d'autres attributs de contexte.
- L'organisation surveille l'état de sécurité de ses actifs : aucun terminal n'est présumé sain.
- L'authentification et l'autorisation sont dynamiques et strictement appliquées avant chaque accès — elles ne sont pas un état acquis mais un cycle qui se rejoue.
- L'organisation collecte des données sur l'état des accès et s'en sert pour améliorer ses politiques.
Architecturalement, ces principes se traduisent par une séparation entre le point de décision (qui évalue la politique) et le point d'application (qui laisse passer ou bloque le flux). Cette séparation est détaillée dans la lecture opérationnelle du NIST SP 800-207.
Périmètre classique et Zero Trust : ce qui change
| Dimension | Modèle périmétrique | Zero Trust |
|---|---|---|
| Unité protégée | le réseau | la ressource |
| Confiance | acquise au franchissement | jamais acquise, réévaluée |
| Moment du contrôle | à l'entrée | à chaque requête |
| Portée d'un accès | large, par zone | limitée à une ressource et une session |
| Rôle de l'identité | secondaire | central |
| Effet d'une compromission | déplacement latéral facilité | déplacement contraint, mais non impossible |
| Mise en œuvre | équipements de bordure | politique, identité, télémétrie, application distribuée |
Ce que le modèle ne dit pas — et c'est essentiel
Trois angles morts méritent d'être posés clairement.
Le Zero Trust ne s'achète pas. Aucun produit ne rend une organisation « Zero Trust ». Le modèle décrit une manière d'organiser des décisions d'accès ; il se met en œuvre par étapes, à partir de l'existant, et il suppose surtout une connaissance précise des ressources, des flux et des identités. Un déploiement qui commence par un achat plutôt que par un inventaire produit rarement le résultat attendu.
La vérification hérite de la qualité de l'authentification sous-jacente. C'est la limite la plus importante, et la plus rarement énoncée. Le Zero Trust vérifie qu'une requête est légitime au regard d'une politique : bonne identité, bon appareil, contexte cohérent. Mais si la preuve d'identité qui alimente cette décision reste indirecte — un mot de passe, un code relayable, une approbation obtenue par lassitude — alors le moteur de politiques évalue rigoureusement une affirmation fausse. Une architecture parfaitement conçue peut ainsi autoriser un attaquant, sans aucune erreur de sa part : elle applique correctement une politique à une identité usurpée. Renforcer la décision sans renforcer la preuve revient à améliorer la serrure sans regarder qui tient la clé.
La session reste un angle mort. Vérifier à chaque requête suppose de disposer d'un signal frais. En pratique, beaucoup de mises en œuvre s'appuient sur un jeton émis après authentification et valide pour une durée donnée. Un jeton volé se présente alors comme une requête parfaitement conforme. C'est la raison pour laquelle l'authentification transactionnelle et le step-up complètent utilement le modèle.
Par où commencer
Une trajectoire réaliste, dans cet ordre :
- Inventorier les ressources critiques et les identités qui y accèdent. Sans cet inventaire, aucune politique n'est écrivable.
- Renforcer la preuve d'identité sur les populations les plus exposées, avec un facteur non rejouable. C'est le prérequis de toute décision fiable.
- Segmenter en commençant par un périmètre restreint et à forte valeur, plutôt que par une refonte globale.
- Instrumenter : sans télémétrie, la politique dynamique reste théorique.
- Élever le niveau au moment de l'action sensible, plutôt que de durcir uniformément l'accès.
FAQ
Le Zero Trust supprime-t-il le VPN ?
Pas nécessairement, mais il en change le rôle. Un VPN qui donne accès à un segment entier après authentification unique contredit le modèle. Un accès applicatif, réévalué par requête et limité à une ressource, s'y conforme davantage.
Peut-on être « conforme Zero Trust » ?
Non, il n'existe pas de conformité au sens d'une certification. Le NIST SP 800-207 est un document d'architecture, pas un référentiel d'audit. Certains textes réglementaires reprennent en revanche des exigences compatibles avec ce modèle.
Zero Trust et MFA, quel rapport ?
La MFA est un moyen, le Zero Trust un cadre. Le modèle suppose une authentification forte et dynamique, mais il ne précise pas quelle méthode employer. La robustesse de l'ensemble dépend directement du facteur retenu.
Faut-il tout refaire pour l'adopter ?
Non, et une refonte globale est le plus sûr moyen d'échouer. La démarche recommandée est incrémentale : un périmètre, une population, une ressource critique, puis extension progressive à partir des enseignements tirés.
Aller plus loin : ce que le facteur cognitif apporte à la vérification · NIST SP 800-207 en lecture opérationnelle · authentification adaptative · MFA résistante au phishing