Qu'est-ce que l'architecture zéro confiance (ZTA) ?
L'architecture zéro confiance (ZTA, Zero Trust Architecture) est une architecture de cybersécurité fondée sur un principe unique : ne jamais faire confiance, toujours vérifier. Là où les modèles de sécurité traditionnels considèrent tout ce qui se trouve à l'intérieur du périmètre réseau comme digne de confiance, une architecture zéro confiance traite chaque utilisateur, appareil, application et connexion comme non fiable par défaut, qu'il se trouve à l'intérieur ou à l'extérieur du réseau d'entreprise. Chaque demande d'accès est authentifiée, autorisée et continuellement validée sur la base de l'identité, de l'état de santé de l'appareil et du contexte, et l'accès est accordé avec le niveau de privilège minimal nécessaire. L'objectif est de réduire la surface d'attaque, prévenir les déplacements latéraux et contenir les compromissions avant qu'elles ne se propagent dans un environnement distribué de services cloud, de télétravailleurs et d'appareils connectés.
Ce qu'il faut retenir
- Ne jamais faire confiance, toujours vérifier : La ZTA élimine la confiance implicite ; chaque demande d'accès est authentifiée et autorisée, à chaque fois, indépendamment de son origine.
- Le zéro confiance est la stratégie ; la ZTA est le plan : Selon NIST SP 800-207, le zéro confiance est un ensemble de concepts, et l'architecture zéro confiance est le plan de cybersécurité d'entreprise qui met ces concepts en œuvre.
- Un cadre, pas un produit : La ZTA combine la gestion des identités et des accès (IAM, Identity and Access Management), les vérifications de la posture des appareils, la microsegmentation, un moteur de politique dynamique et la surveillance continue.
- Supposer la compromission est un principe fondamental : La ZTA est conçue sur la prémisse que les attaquants sont déjà à l'intérieur, ce qui fait de la segmentation, de la surveillance et de la réponse rapide des procédures opérationnelles standard.
- L'adoption est généralisée : Plus des deux tiers des organisations déclarent mettre en œuvre des politiques zéro confiance, et un décret exécutif américain de 2021 a imposé la ZTA aux agences fédérales.
Pourquoi l'architecture zéro confiance est importante aujourd'hui
La migration vers les services cloud, les applications Software as a Service (SaaS), le travail à distance et hybride, et l'Internet des objets (IoT) a dissous le périmètre réseau sur lequel reposait la sécurité traditionnelle. Les employés se connectent depuis n'importe où, les applications vivent dans plusieurs clouds, et de nombreux appareils accédant aux ressources d'entreprise ne sont pas gérés. Parallèlement, les attaquants qui compromettent un seul compte ou endpoint dans un réseau périmétrique peuvent exploiter la confiance implicite pour se déplacer latéralement vers les actifs critiques.
L'architecture zéro confiance est la réponse stratégique : elle remplace la confiance aveugle dans la localisation réseau par une vérification dynamique et contextuelle de chaque connexion, segmente les accès pour limiter les dommages de toute compromission, et applique une sécurité cohérente sur les environnements sur site, hybrides et multicloud. Les régulateurs ont suivi la même logique, du décret exécutif américain de 2021 exigeant que les agences fédérales adoptent la ZTA aux référentiels comme le Règlement Général sur la Protection des Données (RGPD), la Health Insurance Portability and Accountability Act (HIPAA) et la Payment Card Industry Data Security Standard (PCI DSS) qui récompensent ses contrôles d'accès stricts.
Zéro confiance vs. architecture zéro confiance : quelle est la différence ?
Les deux termes sont souvent utilisés de façon interchangeable, mais NIST SP 800-207, la publication de référence sur le sujet, trace une ligne utile. Le zéro confiance (ZT) est un ensemble de concepts et d'idées conçus pour minimiser l'incertitude dans l'application de décisions d'accès précises, au moindre privilège et par requête, sur un réseau supposé compromis. L'architecture zéro confiance (ZTA) est le plan de cybersécurité d'une entreprise qui applique ces concepts, couvrant les relations entre composants, la planification des flux de travail et les politiques d'accès. Le zéro confiance est la philosophie, et l'architecture zéro confiance est la façon dont vous l'implémentez dans votre infrastructure, vos outils et vos politiques. Une entreprise zéro confiance est ce que vous obtenez une fois le plan en place.
Du modèle château fort au zéro confiance
La sécurité héritée suivait un modèle de château fort avec douves : difficile d'y entrer de l'extérieur, mais tous ceux à l'intérieur des murs bénéficiaient d'une confiance par défaut et d'un accès large.
Le concept de zéro confiance est apparu comme une critique directe de ce modèle, introduit en 2010 par l'analyste Forrester John Kindervag comme cadre de protection des ressources via un contrôle d'accès rigoureux plutôt que par la position périmétrique. La transformation numérique a tranché le débat : avec les données réparties dans les clouds, une main-d'œuvre hybride et des politiques Bring Your Own Device (BYOD), le périmètre s'est effectivement évaporé.
Le zéro confiance déplace la question de l'endroit où se connecte un utilisateur vers qui il est, ce dont il a besoin, si son appareil est sain et si son comportement paraît risqué. Il supprime également la fonctionnalité préférée des attaquants dans l'ancien modèle : une fois à l'intérieur, il n'y a pas de déplacements latéraux libres, car chaque connexion interne est vérifiée comme une connexion externe.
Les principes fondamentaux du zéro confiance
Ne jamais faire confiance, toujours vérifier
Aucun utilisateur, appareil ou charge de travail n'est fiable par défaut, même s'il est déjà connecté au réseau d'entreprise. Chaque demande d'accès est traitée comme si elle provenait d'un réseau ouvert et doit être explicitement authentifiée et autorisée en utilisant tous les points de données disponibles : identité, localisation, état de santé de l'appareil, et plus encore.
Accès au moindre privilège
Les utilisateurs et les appareils reçoivent le niveau d'accès minimal requis pour effectuer leur tâche spécifique, et ces permissions sont révoquées à la fin de la session. La limitation des droits d'accès réduit le périmètre d'impact d'un compte compromis et limite ce à quoi un attaquant peut accéder.
Supposer la compromission
La ZTA fonctionne sur la prémisse qu'une compromission n'est pas une possibilité mais une inévitabilité, et que des attaquants sont peut-être déjà à l'intérieur. Cet état d'esprit transforme des actions comme la segmentation, la surveillance continue de chaque actif et la réponse en temps réel aux anomalies en procédures opérationnelles standard plutôt qu'en mesures d'urgence.
Surveillance et validation continues
La confiance n'est jamais une décision unique. Les connexions sont continuellement surveillées et périodiquement ré-authentifiées pendant la session, avec des politiques dynamiques évaluant les privilèges, la localisation, la posture de l'appareil, le renseignement sur les menaces et les signaux comportementaux en temps réel.
Politiques d'accès contextuelles
Les décisions d'accès sont informées par le contexte, pas seulement par les identifiants. Une politique peut refuser l'accès à des données financières sensibles depuis un réseau Wi-Fi public même si le mot de passe et l'authentification multifacteur (MFA, Multi-Factor Authentication) sont valides, car le contexte de risque a changé.
Microsegmentation
Le réseau est divisé en petites zones isolées avec leurs propres contrôles d'accès, de sorte qu'une compromission dans un segment ne peut pas se propager aux autres. Les utilisateurs non autorisés ne peuvent même pas découvrir les ressources auxquelles ils n'ont pas la permission d'accéder.
Composants clés d'une architecture zéro confiance
La ZTA n'est pas un outil unique mais un écosystème intégré. La plupart des implémentations combinent les éléments suivants, coordonnés par politique.
Les cinq piliers du zéro confiance (CISA)
Le modèle de maturité zéro confiance de la Cybersecurity and Infrastructure Security Agency (CISA), l'un des cadres de référence aux côtés de NIST SP 800-207 et du modèle Forrester, organise une implémentation zéro confiance autour de cinq piliers :
- Identité : Authentifier chaque utilisateur et accorder l'accès uniquement aux ressources approuvées, via l'IAM, le SSO et le MFA.
- Appareils : Maintenir un inventaire complet et à jour des endpoints autorisés, des ordinateurs portables aux appareils IoT et aux imprimantes, et refuser tout ce qui n'est pas autorisé ou conforme.
- Réseaux : Passer d'une segmentation grossière à la microsegmentation, chiffrer le trafic et surveiller le comportement des utilisateurs et des entités.
- Applications et charges de travail : Remplacer l'accès statique et ponctuel par une autorisation dynamique nécessitant une revalidation continue, et surveiller le trafic applicatif et API pour détecter les comportements inhabituels.
- Données : Catégoriser les données pour appliquer des contrôles d'accès ciblés, les chiffrer en transit, en cours d'utilisation et au repos, et surveiller leur traitement pour détecter des signes de compromission ou d'exfiltration.
Comment fonctionne une architecture zéro confiance
Quelle que soit la stack de l'éditeur, une décision d'accès zéro confiance suit le même flux de haut niveau.
Premièrement, vérifier l'identité : chaque requête commence par l'authentification de l'utilisateur ou de l'entité tentant d'accéder, généralement via le fournisseur d'identité avec le MFA. Deuxièmement, déterminer la destination : la plateforme identifie l'application ou la ressource demandée et confirme sa légitimité. Troisièmement, évaluer le risque : les signaux contextuels comme le comportement de l'utilisateur, la posture de l'appareil, la géolocalisation et l'heure sont évalués, de plus en plus avec l'IA et le machine learning, pour calculer le risque de la requête. Quatrièmement, appliquer la politique : l'accès est accordé, refusé ou conditionné en temps réel, par session, et uniquement à la ressource spécifique, jamais au réseau dans son ensemble.
Les utilisateurs se connectent directement aux applications plutôt qu'à un réseau plat, ce qui explique pourquoi les utilisateurs non autorisés ne peuvent pas découvrir ce à quoi ils n'ont pas la permission d'accéder. En pratique, cela nécessite un fournisseur d'identité et une solution EDR comme prérequis, avec des connexions continuellement réévaluées à mesure que le contexte évolue.
Architecture zéro confiance vs. VPN
La comparaison revient dans presque chaque projet ZTA, car l'accès réseau zéro confiance (ZTNA, Zero Trust Network Access) est la technologie le plus souvent déployée pour remplacer les réseaux privés virtuels (VPN, Virtual Private Network) d'accès distant. La différence est structurelle : un VPN connecte un utilisateur au réseau, tandis que le ZTNA connecte un utilisateur aux applications spécifiques qu'il est autorisé à utiliser, ce qui explique également pourquoi le ZTNA est un élément fondamental des architectures Secure Access Service Edge (SASE).
Bénéfices de l'architecture zéro confiance
- Visibilité améliorée : Chaque utilisateur et appareil est approuvé à chaque fois, créant un enregistrement clair de qui a accédé à quoi, pourquoi et comment.
- Risque réduit : Le refus par défaut oblige les attaquants à contourner la vérification à chaque étape plutôt qu'une seule fois, augmentant significativement le coût d'une intrusion.
- Confinement des compromissions : La segmentation basée sur l'identité et la fonction réduit la fenêtre entre la première machine compromise et les déplacements latéraux, ce que les threat hunters appellent le temps d'évasion (breakout time).
- Protection contre les menaces persistantes avancées (APT, Advanced Persistent Threat) : La vérification continue brise les déplacements latéraux discrets sur lesquels s'appuient les APT dans les réseaux plats.
- Support du travail distribué : Un modèle sans périmètre applique les mêmes contrôles quelle que soit la localisation, couvrant le télétravail, le BYOD et la migration cloud de façon cohérente.
- Meilleure expérience utilisateur que le VPN : Le SSO et le MFA adaptatif réduisent les frictions et la fatigue MFA comparés aux accès distants classiques.
- Conformité réglementaire facilitée : La ZTA s'aligne naturellement avec les exigences de contrôle d'accès et de surveillance du RGPD, de la HIPAA et de la PCI DSS.
Cas d'usage courants
- Accès distant sécurisé sans VPN : Le ZTNA vérifie les identités des employés et les connecte uniquement aux applications dont ils ont besoin, évolue mieux que le VPN et élimine les chemins de déplacements latéraux.
- Sécurité multicloud et SaaS : Le contrôle d'accès basé sur l'identité plutôt que sur la localisation réseau protège les environnements hybrides et multicloud de façon cohérente, et étend le moindre privilège aux applications SaaS comme Microsoft 365 ou Salesforce.
- Risque de la chaîne d'approvisionnement et tiers : L'authentification continue et contextuelle s'applique également aux fournisseurs et prestataires, de sorte qu'un compte fournisseur compromis ne peut pas atteindre vos ressources les plus sensibles.
- Atténuation des menaces internes : Le moindre privilège et la surveillance comportementale limitent ce à quoi un initié malveillant ou négligent peut accéder et signalent rapidement toute activité inhabituelle.
- Visibilité et contrôle des IoT : Chaque appareil IoT est inventorié, suivi pour la localisation, le statut et l'état de santé, et traité comme potentiellement hostile, avec des contrôles d'accès et des communications chiffrées appliqués.
Comment mettre en œuvre une architecture zéro confiance
Le zéro confiance ne peut pas être acheté comme un produit unique ; il est implémenté par phases. Une séquence pragmatique, alignée sur NIST SP 800-207 et la pratique terrain, ressemble à ceci :
- Évaluer l'organisation : Définir la surface d'attaque et identifier les Données, Actifs, Applications et Services (DAAS) sensibles à protéger. Auditer chaque identifiant, comptes humains et de service, réviser les privilèges et accorder le niveau de protection le plus élevé aux joyaux de la couronne.
- Inventorier les actifs et cartographier les flux de transactions : Déterminer où vivent les informations sensibles, qui y accède et comment les composants DAAS interagissent. Supprimer les protocoles d'authentification obsolètes comme NT LAN Manager (NTLM), lister les services cloud sanctionnés, purger les comptes inactifs et imposer la rotation des mots de passe.
- Établir des mesures préventives : Déployer le MFA partout, déclenché de façon adaptative par le risque et le comportement ; appliquer le moindre privilège avec vérification continue ; et segmenter les identités avec des micro-périmètres qui agissent comme des contrôles frontaliers internes.
- Surveiller le réseau en continu : Inspecter, analyser et journaliser tout le trafic sans interruption, escalader les authentifications anormales et préparer des plans de réponse clairs pour les anomalies de comptes de service et autres ressources critiques.
- Déployer de façon incrémentale : Commencer par les actifs les plus critiques et un groupe pilote, et prévoir que le programme mûrisse sur des trimestres plutôt que des semaines.
Défis et limites
88 % des Responsables de la Sécurité des Systèmes d'Information (RSSI) déclarent rencontrer des difficultés significatives dans l'implémentation du zéro confiance. Il n'existe pas de standard d'implémentation universel, les organisations doivent donc traduire des référentiels comme NIST SP 800-207 et le modèle de maturité CISA dans leur propre environnement.
Les systèmes hérités et les protocoles obsolètes résistent à l'authentification par requête. La cartographie des flux de données et le maintien d'inventaires précis des actifs et des identités demandent un effort soutenu, et des politiques trop agressives peuvent frustrer les utilisateurs si elles sont déployées sans ajustement.
Plus important encore, la ZTA réduit la probabilité et le périmètre d'impact d'une compromission, mais son propre principe de supposer la compromission concède que la prévention échouera parfois. Une ZTA qui n'est pas associée à des capacités solides de détection et de réponse laisse la dernière ligne de cette architecture sans défense.
Regard d'expert : supposer la compromission signifie détecter et répondre
Le principe de supposer la compromission est l'aveu que les vérifications d'identité, la posture des appareils et la microsegmentation seront parfois déjouées : par des sessions volées, par un compte de fournisseur d'identité compromis, par un initié de confiance, par une attaque par la chaîne d'approvisionnement qui arrive avec des identifiants valides. Quand cela se produit, la valeur de votre architecture zéro confiance dépend entièrement de la rapidité avec laquelle vous le remarquez et agissez. Le zéro confiance génère exactement la télémétrie nécessaire pour ce travail : les journaux du fournisseur d'identité, les décisions d'accès ZTNA et proxy, les signaux EDR et les violations de segmentation sont parmi les sources de détection les plus riches qu'un Security Operations Center (SOC) puisse obtenir.
C'est là que Sekoia s'intègre dans une stratégie zéro confiance. La plateforme AI SOC Sekoia ingère cette télémétrie via plus de 300 intégrations, des fournisseurs d'identité aux proxies zéro confiance ; l'intégration Zscaler ZIA en est un exemple concret, corrélant les journaux d'accès avec des règles Sigma, détectant les anomalies par machine learning et effectuant automatiquement un retro-hunting de chaque nouvel indicateur de compromission (IoC) sur les événements passés.
Sekoia Defend applique près de 1 000 règles de détection mappées sur MITRE ATT&CK, y compris les techniques d'accès aux identifiants, d'élévation des privilèges et de déplacements latéraux qu'une tentative de compromission zéro confiance produit, enrichies par la Cyber Threat Intelligence (CTI) native de Sekoia Intelligence et de l'équipe interne de Threat Detection & Research (TDR).
Pour les organisations européennes qui adoptent souvent le zéro confiance avec des exigences de souveraineté et de RGPD en tête, Sekoia apporte quelque chose que les plateformes américaines mettent rarement en avant : un éditeur européen avec une véritable posture de souveraineté des données. Associé à la réponse automatisée aux incidents, une session suspecte peut être investiguée et confinée en quelques minutes. Construisez l'architecture zéro confiance pour prévenir, et mettez la détection et la réponse derrière elle, car c'est ce que supposer la compromission vous demande réellement.
Questions fréquentes
Qu'est-ce qu'une architecture Zero Trust (ZTA) ?
L'architecture Zero Trust est un modèle de cybersécurité qui élimine toute confiance implicite : chaque utilisateur, appareil et application doit être authentifié, autorisé et validé en continu pour chaque demande d'accès, qu'elle provienne de l'intérieur ou de l'extérieur du réseau. Elle combine la gestion des identités et des accès (IAM), la vérification de la conformité des appareils, la microsegmentation, l'application dynamique de politiques et une surveillance continue.
Quelle est la différence entre le « zero trust » et l'architecture « zero trust » ?
Selon la norme NIST SP 800-207, le « zero trust » désigne l'ensemble des concepts et idées visant à appliquer le principe du moindre privilège et des décisions d'accès par requête sur un réseau supposé compromis, tandis que l'architecture « zero trust » (ZTA) constitue le plan de cybersécurité de l'entreprise qui met en œuvre ces concepts à travers ses composants, ses flux de travail et ses politiques d'accès. Le « zero trust » est la philosophie ; la ZTA est sa mise en œuvre.
Quels sont les principes fondamentaux du modèle « zero trust » ?
Les principes fondamentaux sont les suivants : ne jamais faire confiance, toujours vérifier ; accès au moindre privilège ; présomption de compromission ; surveillance et validation continues ; politiques d'accès contextuelles ; et micro-segmentation. Bien que les différents cadres les formulent différemment, tous partagent l'élimination de la confiance implicite et la vérification à chaque requête.
Comment fonctionne une architecture Zero Trust ?
Chaque demande d'accès suit le même processus : vérification de l'identité du demandeur, identification de la ressource cible, évaluation des risques en fonction du contexte (état de l'appareil, comportement et localisation), puis application de la politique en temps réel, session par session. Les utilisateurs se connectent directement aux applications autorisées plutôt qu'au réseau dans son ensemble.
Qu'est-ce que la norme NIST SP 800-207 ?
La publication spéciale 800-207 du NIST est le document de référence sur l'architecture « zero trust », publié par l'Institut national américain des normes et de la technologie. Il définit le concept de « zero trust » et l'architecture ZTA, décrit les composants logiques de cette architecture, et présente les modèles de déploiement ainsi que les étapes de migration. Ce document est devenu la norme pour les agences fédérales américaines suite au décret présidentiel de 2021 et est largement utilisé par les organisations privées.
Quels sont les cinq piliers du Zero Trust ?
Le modèle de maturité Zero Trust de la CISA définit cinq piliers : l'identité, les appareils, les réseaux, les applications et charges de travail, ainsi que les données. Les organisations évaluent et améliorent leur maturité sur chacun de ces piliers, en s'appuyant sur des capacités transversales telles que la visibilité, l'analyse et l'automatisation.
Quelle est la différence entre le ZTA et un VPN ?
Un VPN authentifie les utilisateurs une seule fois avant de les connecter au réseau, où une confiance implicite permet un accès étendu et des déplacements latéraux potentiels. Le ZTNA, technologie d'accès à distance propre au ZTA, connecte les utilisateurs uniquement aux applications spécifiques qu'ils sont autorisés à utiliser, vérifie leur identité en continu et n'expose jamais le réseau lui-même. De nombreuses organisations adoptent le ZTA précisément pour remplacer leurs VPN.
Quels sont les avantages d'une architecture Zero Trust ?
Les principaux avantages incluent une meilleure visibilité sur les utilisateurs et les appareils, une réduction des risques grâce à un accès par défaut refusé, le confinement des failles via la microsegmentation, une protection contre les déplacements latéraux et les menaces persistantes avancées (APT), une prise en charge sécurisée du travail à distance et du multicloud, une expérience utilisateur supérieure à celle d'un VPN, ainsi qu'une mise en conformité simplifiée avec des réglementations telles que le RGPD, HIPAA et PCI DSS.
Quels sont les principaux défis liés à la mise en œuvre du zéro trust ?
Les défis les plus souvent cités sont l'absence de norme de mise en œuvre universelle, les systèmes et protocoles hérités qui résistent à la vérification par requête, la difficulté de maintenir des inventaires précis des actifs et des identités, les frictions pour les utilisateurs en cas de politiques mal ajustées, et la nécessité d'associer la prévention à la détection et à la réponse, puisque le principe de « présomption de compromission » admet que les contrôles peuvent parfois échouer. 88 % des RSSI signalent des difficultés importantes dans la mise en œuvre de leur stratégie zéro trust.
Le « zero trust » est-il un produit que l'on peut acheter ?
Non. Le modèle « zero trust » est un ensemble de principes de conception mis en œuvre via une stratégie opérationnelle, des politiques et de multiples technologies intégrées telles que l'IAM, le MFA, le ZTNA, la microsegmentation, l'EDR et la surveillance continue. Les fournisseurs vendent des composants et des plateformes qui prennent en charge ce modèle, mais l'architecture elle-même est quelque chose qu'une organisation conçoit et fait évoluer au fil du temps.