Zero Trust.

De la confiance périmétrique à la vérification de chaque requête

Le modèle traditionnel considérait le réseau de l'entreprise comme une zone de confiance. Une fois à l'intérieur du pare-feu, à travers le VPN, derrière le périmètre, vous étiez implicitement autorisé à vous déplacer latéralement. Le Zero Trust rejette cette hypothèse. Il n'existe pas d'intérieur de confiance. Une requête provenant d'un ordinateur portable connecté au réseau local du bureau est traitée avec la même suspicion qu'une requête émise depuis un café, car l'emplacement ne suffit plus à mériter la confiance. Chaque décision d'accès est prise à neuf : qui demande, depuis quel appareil, avec quelle posture, pour quelle ressource, dans quel contexte, et cette combinaison est-elle autorisée à cet instant précis.

Cela compte parce que le périmètre s'est dissous en pratique depuis des années. Le personnel travaille depuis son domicile, les applications vivent dans le SaaS d'un tiers, et un seul identifiant hameçonné permettait autrefois de se déplacer librement dans tout le parc. Le Zero Trust réduit ce rayon d'impact. L'attaquant qui dérobe un mot de passe se heurte encore aux contrôles d'appareil, à l'autorisation continue et à la segmentation à chaque étape, de sorte qu'une seule compromission ne dégénère plus en violation totale.

Ce que les praticiens construisent réellement

Allez au-delà des présentations commerciales des éditeurs. Le Zero Trust est une architecture et un modèle opérationnel, pas une boîte que l'on achète. NIST SP 800-207 le décrit en termes de moteur de politique qui prend les décisions, d'administrateur de politique qui les applique, et de points d'application de la politique placés devant les ressources. Le travail concret consiste à faire de l'identité le plan de contrôle et à vérifier chaque requête au regard de la politique. Les briques récurrentes sont les suivantes :

• Identité et authentification fortes, avec le MFA comme socle plutôt que comme option supplémentaire, afin que l'identité à l'origine d'une requête soit véritablement vérifiée.
• Posture et état de santé de l'appareil, car un utilisateur vérifié sur un appareil compromis ou non géré reste un risque qu'il convient d'évaluer.
• Moindre privilège et accès juste-à-temps, en n'accordant que les droits les plus restreints nécessaires et en supprimant les accès permanents que les attaquants adorent hériter.
• Micro-segmentation, afin qu'un point d'ancrage dans une charge de travail n'ouvre pas un chemin plat vers tout le reste.
• Évaluation et journalisation continues, car la confiance est réévaluée à mesure que le contexte change, et non accordée une fois à la connexion puis oubliée.

En quoi cela diffère des notions voisines

Le Zero Trust est facile à confondre avec les principes sur lesquels il s'appuie. Le moindre privilège en est un ingrédient : il limite ce qu'une identité peut atteindre, mais à lui seul il suppose encore que le réseau est de confiance. La défense en profondeur est l'instinct plus ancien et plus large consistant à superposer des contrôles indépendants ; le Zero Trust est une manière spécifique de supprimer l'intérieur tendre et de confiance que les défenses en couches classiques laissaient souvent en place.

La gestion des identités et des accès fournit la mécanique, les annuaires, l'authentification et l'autorisation, que le Zero Trust utilise comme fondation. En résumé, l'IAM, le MFA et le moindre privilège sont des composants, tandis que le Zero Trust est la philosophie de conception qui les orchestre en une vérification continue et contextuelle.

Dans le paysage des normes et des politiques, l'idée est désormais courante. NIST SP 800-207 en est la définition de référence, et le NIST a publié des recommandations de mise en œuvre complémentaires. Aux États-Unis, des mandats gouvernementaux ont poussé les agences vers des architectures Zero Trust, et des organismes européens tels que l'ENISA le citent comme une orientation pour une sécurité résiliente et centrée sur l'identité. Les auditeurs s'attendent de plus en plus à voir les principes reflétés dans la conception des accès, même lorsqu'un référentiel ne nomme pas explicitement le Zero Trust.