Zero trust : principes, architecture et mise en œuvre progressive

Le zero trust, ou confiance zéro, est un modèle de sécurité selon lequel aucun utilisateur, aucun poste et aucun flux n'est digne de confiance du seul fait de sa position sur le réseau : chaque accès à une ressource est vérifié, selon l'identité, l'état du terminal et le contexte, et limité au strict nécessaire. Sa référence est la publication SP 800-207 du NIST, l'institut américain des normes et de la technologie. En France, l'ANSSI l'accueille favorablement tout en insistant sur un point : c'est une démarche progressive, qui complète la défense en profondeur sans la remplacer.

Le modèle classique protège un périmètre : à l'intérieur du réseau de l'entreprise, on fait confiance ; à l'extérieur, on filtre. Ce modèle a deux faiblesses. D'abord, le périmètre s'est dissous : télétravail, services en ligne, cloud, prestataires connectés, terminaux mobiles. Ensuite, un attaquant qui franchit la barrière, par un mot de passe volé ou un équipement de bordure vulnérable, circule ensuite librement d'un serveur à l'autre.

La publication NIST SP 800-207, parue en août 2020, définit le zero trust comme un ensemble de concepts destinés à réduire l'incertitude lorsqu'on décide, demande par demande, d'accorder un accès au plus juste, en considérant le réseau comme déjà compromis. L'architecture zero trust est le plan qui applique ces concepts aux flux, aux composants et aux politiques d'accès d'une organisation.

Le zero trust n'est donc ni un produit ni une technologie unique : c'est une manière de concevoir les accès, que l'on met en œuvre avec plusieurs briques (gestion des identités, authentification forte, gestion des terminaux, segmentation, journalisation).

1. Tout est ressource : données, applications, services, y compris les petits équipements et les services en ligne.
2. Toutes les communications sont protégées, quel que soit l'endroit du réseau d'où elles partent : être sur le réseau interne ne dispense ni d'authentification ni de chiffrement.
3. L'accès est accordé session par session, avec le moins de privilèges possible ; un accès à une ressource n'en ouvre pas une autre.
4. L'accès dépend d'une politique dynamique, qui tient compte de l'identité du demandeur, de l'application, de l'état du terminal et d'autres attributs de comportement ou d'environnement.
5. L'organisation surveille l'intégrité et la posture de sécurité de tous les actifs qu'elle possède ou qui y sont associés.
6. Authentification et autorisation sont dynamiques et strictement appliquées avant tout accès, et réévaluées en cours de session.
7. L'organisation collecte un maximum d'informations sur ses actifs, son réseau et ses communications, et s'en sert pour améliorer sa sécurité.

Le NIST décrit une architecture logique qui sépare clairement celui qui décide de celui qui applique :

• le moteur de politique décide d'accorder, de refuser ou de révoquer un accès, à partir de la politique de l'organisation et des signaux disponibles ;
• l'administrateur de politique exécute cette décision : il ouvre ou ferme le chemin entre le demandeur et la ressource, par exemple en délivrant un jeton de session. Les deux forment ensemble le point de décision ;
• le point d'application se place devant la ressource, laisse passer ou bloque, et surveille la connexion.

Les signaux qui nourrissent la décision viennent de nombreuses sources : annuaire et gestion des identités, état de conformité des terminaux, renseignement sur les menaces, journaux d'activité, classification des données. Le NIST distingue trois façons de bâtir l'ensemble, souvent combinées : en s'appuyant d'abord sur une gouvernance renforcée des identités, sur la microsegmentation du réseau, ou sur un périmètre défini par logiciel qui n'expose les applications qu'aux demandeurs autorisés.

Le modèle a ses propres fragilités, que le NIST recense : le point de décision devient une cible de choix (s'il est contourné ou indisponible, tout s'arrête ou tout s'ouvre), les identifiants volés restent une menace, le trafic chiffré limite la visibilité, et la dépendance à des formats propriétaires peut enfermer l'organisation chez un fournisseur. Ces composants doivent donc eux-mêmes être protégés, redondés et surveillés.

Dans son avis scientifique et technique d'avril 2021, l'ANSSI juge que le zero trust s'inscrit dans la logique de défense en profondeur qu'elle promeut depuis longtemps, tout en rompant avec le paradigme d'un périmètre strict. Elle en retient des contrôles réguliers, dynamiques et granulaires, le moindre privilège, la vérification quelle que soit l'origine réseau de la demande et la réauthentification périodique. Mais elle pose trois limites :

• la migration doit être progressive : les nouvelles solutions s'intègrent à un dispositif global de défense, elles ne le remplacent pas ;
• les solutions manquent encore de maturité : mal installées ou mal configurées, elles peuvent affaiblir le système d'information au lieu de le renforcer ;
• le risque d'un faux sentiment de sécurité est réel si l'on croit qu'un produit « zero trust » suffit.

En juin 2025, l'agence a publié Modèle Zero Trust : les fondamentaux, qui propose une douzaine de recommandations pour adopter le modèle de façon maîtrisée et progressive, à destination d'un large public : RSSI, DSI, administrateurs, développeurs et utilisateurs. Pour un RSSI, le message est clair : le zero trust se pilote comme un programme de transformation, inscrit dans la PSSI, pas comme un achat.

Aucun texte n'impose le zero trust sous ce nom. Les deux grands textes européens de cybersécurité en reprennent pourtant les briques :

• NIS 2 : le considérant 89 cite les principes de confiance zéro parmi les pratiques de cyberhygiène que les entités devraient adopter, aux côtés des mises à jour, de la segmentation du réseau, de la gestion des identités et des accès et de la sensibilisation. L'article 21 exige notamment des politiques de contrôle d'accès et l'authentification multifacteur lorsqu'elle est appropriée (voir notre chapitre sur les mesures de l'article 21).
• DORA : l'article 9 demande aux entités financières de limiter l'accès physique et logique aux actifs informationnels et informatiques à ce qui est nécessaire pour des fonctions légitimes et approuvées, et de mettre en place des mécanismes d'authentification forte. Notre guide détaille le cadre de gestion du risque lié aux TIC.

Côté cloud, une qualification comme SecNumCloud garantit le niveau de sécurité de l'hébergeur, mais la façon dont vos utilisateurs accèdent à vos applications reste de votre ressort : c'est là que le zero trust intervient.