De la forteresse au scepticisme permanent
Pendant des décennies, la sécurité informatique reposait sur un modèle simple : protéger le périmètre réseau et faire confiance à tout ce qui se trouve à l'intérieur. Ce paradigme de "château fort" a volé en éclats avec la montée du télétravail, du cloud et des architectures microservices. Les données ne sont plus concentrées dans un datacenter unique, les collaborateurs ne se connectent plus depuis des bureaux, et les menaces évoluent plus vite que les pare-feu.
L'Architecture Zero Trust (ZTA) incarne cette nouvelle réalité : ne jamais faire confiance, toujours vérifier. Plutôt que d'ériger des murs, on met en place un système de contrôle d'accès continu, granulaire, basé sur l'identité, le contexte et la conformité des appareils.
Cette approche, formalisée par le NIST SP 800-207 en août 2020, est devenue la référence. L'exécutif américain l'a mandatée pour toutes les agences fédérales. Chez SHPV, nous aidons nos clients à sécuriser leurs infrastructures selon ces principes.
Plan de l'article
- Les 7 principes du Zero Trust
- Architecture : Policy Engine, Policy Administrator, PEP
- Les 4 approches de déploiement
- Implémenter progressivement
- Outils et solutions
- Perspectives complémentaires
- Conclusion
Les 7 principes du Zero Trust (NIST SP 800-207)
1. Vérification stricte de l'identité
Chaque utilisateur, appareil et service doit prouver son identité avec des preuves solides : authentification multi-facteurs, certificats, assertions fédérées. Pas d'exception.
2. Principe du moindre privilège
Accorder uniquement les droits nécessaires pour une tâche spécifique. Une révision régulière élimine les droits obsolètes.
3. Microsegmentation
Diviser le réseau en zones de sécurité granulaires (par rôle, service, département). Le trafic entre zones est explicitement autorisé.
4. Assumer une compromission
Supposer que chaque accès peut être malveillant. Implémenter une détection et réponse continue.
5. Vérification du contexte et de l'appareil
La confiance dépend du contexte : localisation, heure, santé de l'appareil (antivirus à jour, disque chiffré), réseau utilisé.
6. Chiffrement de toutes les données
En transit (TLS 1.3, mTLS) et au repos. Aucune donnée sensible en clair.
7. Journalisation et audit exhaustifs
Enregistrer chaque tentative d'accès, chaque action. Analyser pour détecter les anomalies.
Architecture : les trois composants clés
Le NIST SP 800-207 définit trois éléments fondamentaux :
┌──────────────────────────────────────────┐
│ Policy Engine (PE) │
│ Décision : accès accordé / refusé │
└──────────────────┬───────────────────────┘
│
▼
┌──────────────────────────────────────────┐
│ Policy Administrator (PA) │
│ Exécute la décision, met à jour règles │
└──────────────────┬───────────────────────┘
│
▼
┌──────────────────────────────────────────┐
│ Policy Enforcement Point (PEP) │
│ Applique au moment du contrôle d'accès │
└──────────────────────────────────────────┘
Policy Engine reçoit la demande d'accès (qui ? de où ? vers quoi ?) et évalue les règles de sécurité en temps réel.
Policy Administrator traduit la décision en configurations appliquées aux pare-feu, load-balancers, API gateways.
Policy Enforcement Point valide chaque paquet/requête au point d'accès (applicatif, réseau, conteneur).
Les 4 approches de déploiement
| Approche | Cible | Avantage | Défi |
| Enhanced Identity Governance (EIG) | Identités, accès utilisateur | Fondation solide, adoptée en premier | Complexité IAM |
| Software-Defined Perimeter (SDP) | Accès réseau | Cloisonnement strict, "zero-knowledge" | Infrastructure réseau lourde |
| Microsegmentation | Trafic intra-datacenter/cloud | Limitation de la latéralité | Visibilité réseau requise |
| SASE (Secure Access Service Edge) | Edge + cloud | Intégré, scalable globalement | Dépendance vendeur |
Plutôt que d'en choisir une seule, construire progressivement en commençant par EIG.
Implémenter Zero Trust étape par étape
Phase 1 : Identité et authentification
- Activer MFA sur tous les comptes critiques
- Déployer un fournisseur d'identité fédérée (Okta, Azure AD)
- Implémenter SAML/OIDC pour les applications
Phase 2 : Évaluation des appareils
- Collecter les signaux de conformité : OS à jour, antivirus actif, disque chiffré
- Instrumenter les appareils (Jamf, Intune, Kandji)
- Conditionner l'accès à la santé de l'appareil
Phase 3 : Segmentation réseau
- Cartographier les flux existants (utiliser des outils de visibilité)
- Identifier les zones critiques (données financières, secrets)
- Implémenter des ACL fines, micro-segmentation
Phase 4 : Sécurisation des workloads
- Chiffrer le trafic inter-services avec mTLS
- Enforcer des politiques d'admission (Kubernetes: OPA/Gatekeeper)
- Auditer les logs d'accès
Phase 5 : Protection des données
- Classifier les données
- Appliquer le chiffrement, DLP (Data Loss Prevention)
- Restreindre les exportations
Outils et solutions
Open-Source
- OPA (Open Policy Agent) : moteur de décision généraliste pour Zero Trust
- SPIFFE/SPIRE : identité cryptographique pour services et workloads
- Boundary : SSH/RDP access broker multi-cloud
- Cilium : networking/security policies au niveau eBPF (voir Cilium + eBPF pour la sécurité réseau)
Commercial
- Zscaler : SASE, SSE leader du marché
- Cloudflare Access : identity-first access proxy
- CrowdStrike Falcon : EDR + Zero Trust
- Palo Alto Networks : suites intégrées
Perspectives complémentaires
Pour approfondir votre sécurité d'infrastructure :
- Cilium + eBPF pour la sécurité réseau : implémenter Zero Trust au kernel
- Sécurisation des APIs : protéger vos interfaces applicatives
- mTLS avec Nginx/Apache : chiffrement mutuel pour les services
Sources et références
- NIST SP 800-207 (Aug 2020) : https://csrc.nist.gov/pubs/sp/800/207/final
- NIST SP 800-207A (2023) : Zero Trust Architecture for Multi-Cloud Environments
- Executive Order 14028 (May 2021) : cybersecurity for federal agencies
- NCCoE : 19 implémentations interopérables
- CyberArk : https://www.cyberark.com/what-is/nist-sp-800-207-cybersecurity-framework/
Conclusion
Le Zero Trust n'est pas une technologie unique, mais une posture de sécurité : supposer que chaque accès est potentiellement malveillant et vérifier continuellement. En commençant par la gouvernance des identités, en renforçant la visibilité sur les appareils, en segmentant progressivement le réseau et en chiffrant tout, vous bâtissez une infrastructure résiliente.
Chez SHPV, nous aidons les entreprises à opérationnaliser Zero Trust sur leurs infrastructures hébergées ou multicloud. Notre expertise en sécurité réseau et en micro-segmentation vous permet de déployer ces principes sans rupture de service.
Le voyage vers Zero Trust est itératif. Commencez par l'identité, mesurez, ajustez, progressez.
