Zero Trust : principes et implementation

Never trust, always verify

Le Zero Trust n’est pas une technologie mais un changement de philosophie. Le modele perimetre traditionnel (“faire confiance a tout ce qui est a l’interieur du reseau”) a montre ses limites : une fois a l’interieur, un attaquant peut se deplacer librement. Le Zero Trust inverse cette logique en exigeant une verification continue pour chaque acces, quel que soit l’emplacement de l’utilisateur ou de l’appareil.

Le terme a ete formalise par John Kindervag (Forrester) en 2010, mais son adoption generalisee s’est acceleree avec la pandemie de 2020 et le passage massif au travail distant. Les NIST SP 800-207 et les frameworks de Google BeyondCorp ont fourni des references d’implementation concretes.

Les 5 principes du Zero Trust

  1. Verification explicite : authentifier et autoriser chaque requete en fonction de tous les signaux disponibles
  2. Moindre privilege : limiter l’acces au minimum necessaire, avec du JIT (Just-In-Time) et du JEA (Just-Enough-Access)
  3. Presumer la compromission : minimiser le rayon d’explosion, segmenter l’acces, verifier le chiffrement de bout en bout
  4. Micro-segmentation : diviser le reseau en zones de confiance granulaires
  5. Surveillance continue : monitoring en temps reel des comportements et des anomalies

Le principe “presumer la compromission” est le plus transformateur : il pousse les organisations a concevoir leurs systemes en partant du principe qu’un attaquant est deja present. Plutot que de tout investir dans la prevention, on investit aussi dans la detection, la limitation des degats potentiels et la capacite de reponse.

Les piliers techniques du Zero Trust

Identite : la fondation. Chaque utilisateur, appareil et service doit avoir une identite verifiable. L’authentification doit etre forte (MFA resistant au phishing) et continue (re-evaluation periodique de la session).

Appareils : l’etat de l’appareil est un signal d’acces. Un appareil non patche, sans EDR actif, ou non enregistre dans le MDM doit avoir acces limite. Les solutions d’acces conditionnel evaluent l’etat de conformite en temps reel.

Reseau : le reseau n’est plus de confiance. Le chiffrement de bout en bout (TLS mutuel, VPN interne) protege les communications meme sur le reseau interne. La micro-segmentation limite la portee d’une compromission.

Applications : acces granulaire aux applications plutot qu’acces au reseau. Le Zero Trust Network Access (ZTNA) remplace le VPN traditionnel : l’utilisateur obtient l’acces a une application specifique, pas a un segment reseau entier.

Donnees : classification et controle d’acces base sur la sensibilite des donnees. Les outils DLP (Data Loss Prevention) surveillent les mouvements de donnees sensibles.

Implementation progressive

Phase 1 : Identite (mois 1-3)

  • MFA sur tous les comptes (priorite aux admins)
  • Inventaire des comptes a privileges
  • Politique de mots de passe renforcee

Commencer par l’identite est le choix le plus impactant par rapport au cout. MFA sur les comptes admin cible directement le vecteur d’attaque le plus utilise dans les breches severes.

Phase 2 : Appareils (mois 3-6)

  • Inventaire des appareils
  • Conformite des postes (patch level, EDR actif)
  • Acces conditionnel base sur l’etat de l’appareil

L’acces conditionnel (Conditional Access dans Entra ID, ou equivalent) permet de bloquer automatiquement les connexions depuis des appareils non conformes, sans intervention manuelle.

Phase 3 : Reseau (mois 6-12)

  • Micro-segmentation
  • Chiffrement du trafic interne
  • Suppression du VPN au profit du ZTNA (Zero Trust Network Access)

Le ZTNA est souvent present dans les solutions SASE (Secure Access Service Edge) qui combinent reseau et securite dans une solution cloud-native. Les principaux acteurs incluent Zscaler, Cloudflare Access, et Palo Alto Prisma Access.

Phase 4 : Donnees (mois 12+)

  • Classification des donnees
  • DLP (Data Loss Prevention)
  • Chiffrement au repos et en transit

Pieges courants

Confondre VPN et Zero Trust : un VPN donne acces a un segment reseau entier, ce qui est l’oppose du Zero Trust. Le ZTNA donne acces a une application specifique.

Negliger les identites non humaines : les service accounts et les cles API representent souvent 80 % des identites d’une organisation et sont frequemment surprivilegies.

Tout faire en une fois : le Zero Trust est un voyage de plusieurs annees, pas un projet a livrer en 6 mois. Une approche progressive par phases et par actifs critiques est plus realiste.

Oublier l’experience utilisateur : une friction excessive pousse les utilisateurs a trouver des contournements. La cle est d’etre transparent pour les acces normaux et de n’ajouter de friction que pour les acces inhabituels.

Mesure du niveau Zero Trust

Le CISA (Cybersecurity and Infrastructure Security Agency) a publie un modele de maturite Zero Trust avec 5 piliers et 3 niveaux (Traditionnel, Initial, Avance, Optimal). Ce referentiel permet aux organisations d’evaluer leur position actuelle et de planifier leur progression.

Des certifications comme la FedRAMP (pour les organisations travaillant avec le gouvernement americain) ou le cadre de l’ANSSI en France definissent egalement des niveaux d’exigence alignes avec les principes Zero Trust.

Publicité