Ce que les Éditeurs ne Vous Disent pas sur le Zero Trust

Sommaire

1. Le périmètre a disparu, votre VPN ne le sait pas encore
2. Zero Trust : trois principes, aucun produit
3. VPN ou ZTNA : ce qui change vraiment
4. Par où démarrer quand l’équipe informatique tient en deux personnes
5. Les cinq erreurs qui font échouer un projet
6. Ce que le contexte suisse ajoute à l’équation
7. Les compétences qui manquent le plus
8. Conclusion
9. FAQ

Tapez « zero trust » dans un moteur de recherche. Les dix premiers résultats appartiennent à des éditeurs de solutions de sécurité. Tous racontent la même histoire : le modèle traditionnel est mort, leur plateforme le remplace, une démonstration vous attend. Ce discours n’est pas faux. Il est toutefois incomplet, et cette omission coûte cher.

Car le Zero Trust ne s’achète pas. En réalité, il se décide, puis il se construit. D’ailleurs, il s’appuie le plus souvent sur des outils que vous possédez déjà. Et sur le terrain, la difficulté se révèle rarement technique. Elle est presque toujours organisationnelle. Voici donc l’article que les éditeurs n’écriront pas, parce qu’il ne se termine pas par un bon de commande.

Le périmètre a disparu, votre VPN ne le sait pas encore

Pendant vingt ans, la sécurité informatique a reposé sur une idée simple. Il existe un intérieur et un extérieur. Concrètement, le pare-feu marque la frontière et le VPN sert de pont-levis. Ensuite, tout ce qui a franchi le pont devient légitime. Ce modèle tenait tant que les données restaient dans la salle serveur.

Or cette géographie a disparu. Vos fichiers vivent dans Microsoft 365. Votre comptabilité tourne sur une application hébergée en Irlande. Vos commerciaux, quant à eux, se connectent depuis un train entre Genève et Zurich. Autrement dit, le périmètre ne délimite plus rien. Par conséquent, la bonne question change : cette personne devrait-elle accéder à ce fichier précis, maintenant, depuis cet appareil ?

Les chiffres suisses illustrent bien ce basculement. En effet, dans son rapport semestriel 2026/1, l’Office fédéral de la cybersécurité relève une hausse des signalements d’hameçonnage liés à Microsoft 365. Les attaquants prennent le contrôle d’une boîte professionnelle. Ensuite, ils se font passer pour le support informatique ou pour un cadre, puis déclenchent des virements. Aucun pare-feu n’arrête cette attaque : le compte reste authentique, et le VPN laisse passer.

Zero Trust : trois principes, aucun produit

Le terme intimide souvent. Il recouvre pourtant une idée brutale : ne faites confiance à rien par défaut, pas même à ce qui se trouve dans vos murs. La référence reste la publication NIST SP 800-207, parue en 2020. Elle décrit une architecture, pas une gamme de logiciels. Trois principes la résument.

• Vérifier explicitement. Le système évalue chaque demande sur plusieurs signaux : identité, appareil, localisation, sensibilité de la ressource. Une authentification réussie hier ne vaut donc pas autorisation aujourd’hui.
• Accorder le minimum. Un collaborateur reçoit les droits nécessaires à sa tâche, pour la durée de cette tâche. De ce fait, le compte administrateur permanent devient l’exception.
• Présumer la compromission. Vous partez du principe qu’un compte est déjà tombé. Toute l’architecture vise ainsi à limiter ce qu’un attaquant atteint depuis ce point d’entrée.

Remarquez qu’aucun de ces principes ne mentionne un produit. En pratique, une PME équipée de Microsoft 365 possède déjà l’essentiel des briques : authentification multifacteur, accès conditionnel, gestion des appareils. Le travail consiste à les activer et à les configurer. Surtout, il faut décider qui a droit à quoi. Cette décision, aucun éditeur ne la prendra à votre place.

Précisons aussi ce que cette approche ne fait pas. Elle ne remplace ni vos sauvegardes, ni votre antivirus, ni la sensibilisation de vos équipes. Elle ne rend pas non plus l’hameçonnage impossible. En revanche, elle réduit considérablement ce qu’un attaquant obtient une fois entré. Autrement dit, le Zero Trust travaille sur les conséquences d’une compromission, pas sur sa probabilité. Cette nuance change la façon de mesurer le résultat : vous ne comptez plus les attaques bloquées, vous mesurez jusqu’où un intrus parvient à aller.

VPN ou ZTNA : ce qui change vraiment

Le sigle ZTNA, pour Zero Trust Network Access, désigne la brique qui remplace peu à peu le VPN d’entreprise. La différence tient en une phrase. En clair, le VPN ouvre le réseau, alors que le ZTNA ouvre une seule application. Le tableau ci-dessous résume les écarts concrets.

Attention toutefois à un raccourci répandu. En effet, installer un ZTNA ne suffit pas à devenir Zero Trust. Vous gardez des comptes administrateurs partagés, des mots de passe sans second facteur et des droits accumulés depuis dix ans ? Vous aurez simplement remplacé un tunnel par un autre. En réalité, le gain vient du ménage effectué en amont, pas de la technologie posée par-dessus.

Par où démarrer quand l’équipe informatique tient en deux personnes

La documentation des grands éditeurs décrit des programmes de dix-huit mois, pilotés par des équipes dédiées. Dans une entreprise de cent postes avec deux personnes à l’informatique, cette approche reste théorique. Voici plutôt une progression réaliste, étape par étape. Chaque étape apporte un bénéfice mesurable, même si la suivante attend.

Étape 1 : reprendre le contrôle des identités

Commencez par l’authentification multifacteur généralisée, sans exception pour la direction ni pour les comptes de service. Ensuite, inventoriez les comptes à privilèges. En effet, la plupart des audits révèlent des accès administrateurs attribués à des personnes parties depuis longtemps. Ce nettoyage ne coûte que du temps, et il ferme la porte d’entrée la plus utilisée.

Étape 2 : conditionner l’accès au contexte

Une fois les identités assainies, définissez des règles d’accès conditionnel. Un appareil non géré n’atteint pas les données sensibles. De même, une connexion depuis un pays où vous n’avez aucune activité déclenche une vérification supplémentaire. Attention au détail qui coince : l’accès conditionnel demande une licence Microsoft Entra ID P1, incluse dans Microsoft 365 Business Premium et E3, mais absente des offres Business Basic et Standard. Côté Google Workspace, l’équivalent arrive avec les éditions supérieures. Ces règles restent d’ailleurs largement sous-utilisées par ceux qui y ont déjà droit.

Étape 3 : segmenter avant de remplacer le VPN

Beaucoup d’équipes veulent supprimer le VPN dès les premières semaines. Prenez plutôt le temps d’identifier vos applications critiques, puis isolez-les les unes des autres. Autrement dit, la microsegmentation passe avant le grand remplacement. Vous réduisez ainsi le risque tout de suite, et la bascule vers un ZTNA devient une formalité.

Quel rythme tenir sans épuiser l’équipe

Une petite équipe avance par paliers trimestriels. Le premier trimestre absorbe l’authentification multifacteur et l’inventaire des comptes. Vient ensuite l’accès conditionnel, en commençant par un groupe pilote plutôt que par toute l’entreprise. Au troisième trimestre, vous attaquez la segmentation des applications les plus sensibles. De cette manière, chaque palier reste réversible en cas de blocage métier. Prévoyez surtout du temps de communication interne : un accès refusé sans explication génère plus de tickets qu’une panne.

Les cinq erreurs qui font échouer un projet

Les projets Zero Trust échouent rarement sur un défaut technique. En pratique, ils échouent parce que l’entreprise a sauté une marche. Voici celles qui reviennent le plus souvent.

• Acheter avant de cartographier. Sans inventaire des applications et des flux, vous ignorez quoi protéger en priorité. De ce fait, la licence dort dans un tiroir.
• Oublier les partenaires externes. Fiduciaire, prestataire informatique, agence, intérimaires : leurs accès échappent souvent aux règles internes. Or ils constituent une voie d’entrée classique.
• Négliger l’expérience utilisateur. Une politique trop rigide provoque du contournement. Les collaborateurs basculent alors sur leur messagerie personnelle, et vous perdez toute visibilité.
• Traiter le sujet comme un projet informatique. Décider qui accède à quoi relève du métier. Sans arbitrage de la direction, l’équipe informatique s’enlise.
• S’arrêter à la mise en production. Les droits dérivent, les effectifs changent. Sans revue périodique, l’architecture se dégrade en silence.

Ce que le contexte suisse ajoute à l’équation

Le débat Zero Trust nous arrive des États-Unis, où des exigences fédérales l’ont largement popularisé. En Suisse, deux éléments changent pourtant la donne.

D’abord, l’obligation d’annonce. Depuis le 1er avril 2025, les exploitants d’infrastructures critiques doivent signaler toute cyberattaque à l’OFCS dans les 24 heures qui suivent sa détection. Un régime d’amendes s’applique depuis octobre de la même année. Cette obligation vise notamment les administrations cantonales et communales, les entreprises de transport et les fournisseurs d’énergie. Or annoncer un incident en 24 heures suppose de savoir ce qui s’est passé. Une architecture qui journalise les accès par application répond à cette question. Un VPN opaque, non.

Ensuite, le volume. L’OFCS a reçu 27 128 signalements volontaires et 200 annonces obligatoires au premier semestre 2026. Il a par ailleurs recensé 79 cas de rançongiciel sur la même période. La menace ne vise donc pas que les grands groupes. Elle touche des structures moyennes, souvent via un compte de messagerie compromis. Nos articles sur les mesures de protection contre les rançongiciels et sur la directive NIS2 complètent ce panorama.

La protection des données joue dans le même sens

Enfin, la nouvelle loi suisse sur la protection des données, la nLPD, pousse dans la même direction. Elle impose de savoir qui accède aux données personnelles et de documenter ces traitements. Or un réseau plat, où chaque collaborateur connecté atteint tous les partages, rend cette démonstration impossible. À l’inverse, une architecture qui accorde le minimum et journalise les accès fournit naturellement la preuve attendue. Le Zero Trust sert donc deux objectifs à la fois : il limite l’impact d’une intrusion, et il documente vos accès pour le régulateur.

Les compétences qui manquent le plus

Une architecture Zero Trust réussie repose sur un profil précis. Il faut en effet quelqu’un capable de traduire une exigence métier en règle d’accès, puis de vérifier que cette règle tient dans la durée. Ce n’est ni un administrateur système classique, ni un consultant en gouvernance. C’est un architecte. Or ce profil reste rare, et il se recrute difficilement.

Deux domaines méritent donc un investissement en formation. Le premier concerne la conception : modéliser les flux, définir une stratégie d’identité, arbitrer entre sécurité et fluidité. Le second touche à l’exploitation quotidienne, c’est-à-dire la revue des accès et la réaction aux alertes. La certification Microsoft SC-100 couvre précisément le premier volet, avec une approche architecture qui dépasse la configuration d’outils.

Si votre équipe part de plus loin, une progression par les fondamentaux de la sécurité informatique vaut mieux qu’une plongée directe dans l’architecture. En somme, consolidez les bases avant d’empiler des concepts sur un socle fragile.

Conclusion

Le Zero Trust n’est pas une case à cocher, et surtout pas une ligne de facture. C’est une manière de reformuler une question ancienne. Qui accède à quoi, sur quelle base, et comment le vérifions-nous en continu ? Les entreprises qui réussissent commencent par l’inventaire et par l’assainissement des identités. Elles ne commencent pas par un appel d’offres.

Autrement dit, faites le ménage avant d’acheter le mobilier. Pour commencer, activez l’authentification multifacteur partout. Ensuite, supprimez les droits dormants. Enfin, segmentez vos applications critiques. Les deux premiers ne coûtent que du temps, et ils apportent déjà l’essentiel du gain. Vérifiez en revanche votre édition avant de compter sur l’accès conditionnel. Le reste suivra naturellement, y compris le remplacement du VPN.

FAQ

Le Zero Trust convient-il à une PME de 50 personnes ?
Oui, et souvent mieux qu’à un grand groupe. Le périmètre applicatif se cartographie plus vite, et les décisions d’accès se prennent plus facilement.

Faut-il supprimer le VPN pour être Zero Trust ?
Non. En pratique, le VPN cohabite très bien pendant la transition. Réduisez ce qu’il expose, puis vérifiez chaque accès applicatif.

Combien de temps dure une mise en oeuvre réaliste ?
Comptez six à douze mois pour les identités et l’accès conditionnel dans une structure moyenne. La segmentation réseau demande davantage.

Le Zero Trust protège-t-il contre les rançongiciels ?
Il ne les empêche pas d’entrer. En revanche, il limite fortement leur propagation, car un compte compromis n’ouvre plus tout le réseau.

Quelle certification viser pour piloter ce type de projet ?
La SC-100 forme à l’architecture de sécurité et couvre la stratégie Zero Trust. Elle suppose toutefois une première expérience Microsoft 365 ou Azure.