Le Zero Trust part d'une idée simple : ne plus faire confiance à un utilisateur ou à une machine simplement parce qu'il se trouve « à l'intérieur » du réseau. Chaque accès est vérifié, à chaque fois, et ne donne droit qu'au strict nécessaire. Pour une PME, ce n'est pas un produit à acheter mais une démarche, qui commence par cinq chantiers accessibles : des identités solides avec double authentification, des droits minimaux, des services qui ne sont pas exposés à internet sans raison, un réseau découpé, et des journaux pour savoir qui a fait quoi.
Pourquoi l'ancien modèle ne suffit plus
Le modèle classique ressemble à un château fort : un mur épais, le pare-feu, et une fois à l'intérieur, on circule librement. Il fonctionnait quand tout le monde travaillait au bureau, sur des serveurs installés dans la salle informatique.
Aujourd'hui, vos équipes travaillent depuis chez elles ou en déplacement, vos outils sont en ligne, vos serveurs dans des centres de données. Et la plupart des intrusions commencent par un mot de passe volé : l'attaquant entre par la grande porte, avec de vrais identifiants. Une fois à l'intérieur du château, plus rien ne l'arrête.
Les trois principes
- Vérifier explicitement : chaque accès est authentifié et autorisé selon l'identité, l'appareil et le contexte, pas selon l'endroit d'où il vient.
- Le moindre privilège : chacun n'accède qu'à ce dont il a besoin pour son travail, et seulement le temps nécessaire.
- Supposer la compromission : on organise tout comme si un attaquant était déjà dans la place, pour limiter ce qu'il pourrait atteindre.
Chantier 1 : des identités solides
L'identité devient le nouveau périmètre. C'est le chantier le plus rentable :
- un compte nominatif par personne, jamais de compte partagé du type « admin » ou « compta » ;
- la double authentification partout où elle existe, en commençant par la messagerie, les outils financiers et les accès d'administration ;
- une procédure de départ : le jour où quelqu'un quitte l'entreprise, ses accès sont coupés, tous.
Si vos outils le permettent, une authentification centralisée (un seul compte pour accéder à plusieurs applications) simplifie énormément ce travail.
Chantier 2 : le moindre privilège
Faites l'inventaire : qui est administrateur de quoi ? Dans beaucoup de PME, la réponse est « presque tout le monde, de presque tout ». Réduisez :
- les droits d'administration aux seules personnes qui en ont besoin ;
- les accès aux dossiers sensibles, paie, contrats, aux personnes concernées ;
- sur vos serveurs, un utilisateur personnel par administrateur plutôt que le compte root partagé.
Chantier 3 : ne pas exposer ce qui n'a pas à l'être
Chaque service ouvert sur internet est une porte à surveiller. Une base de données, une interface d'administration ou un ERP interne n'ont souvent aucune raison d'être joignables par le monde entier.
Sur un serveur, cela veut dire un pare-feu qui n'ouvre que les ports utiles. Pour aller plus loin, placez les services internes derrière un accès qui authentifie l'utilisateur avant même de montrer l'application : un VPN, ou mieux, une solution d'accès réseau Zero Trust (ZTNA) qui donne accès à une application précise plutôt qu'à tout le réseau.
Chantier 4 : découper le réseau
Si un serveur tombe, l'attaquant ne doit pas pouvoir rebondir sur tous les autres. Séparez :
- le site public de la base de données ;
- les serveurs de production des serveurs de test ;
- les postes des utilisateurs des serveurs.
Chez PassRoyal, les réseaux privés servent exactement à cela : vos serveurs se parlent entre eux, à l'abri d'internet, jusqu'à huit réseaux par serveur sans supplément. Le site garde son adresse publique, la base de données n'en a pas besoin. Voyez comment tout s'assemble.
Chantier 5 : tracer pour comprendre
Sans journaux, impossible de savoir ce qui s'est passé après un incident. Conservez au minimum les connexions aux comptes sensibles et les actions d'administration. Passroyal Panel tient par exemple un journal d'audit de chaque opération, avec son auteur, l'heure et l'adresse d'origine, et enregistre les sessions du terminal web.
Par où commencer, concrètement
- Cette semaine : activez la double authentification sur la messagerie et les comptes d'administration.
- Ce mois-ci : faites l'inventaire des comptes et des droits, supprimez les comptes inutiles et partagés.
- Ce trimestre : fermez les services exposés sans raison, séparez vos serveurs en réseaux privés, centralisez les journaux.
Questions fréquentes
Le Zero Trust, est-ce réservé aux grandes entreprises ?
Non. Les grandes entreprises ont plus de systèmes à couvrir, mais les principes s'appliquent à toutes les tailles, et les premières étapes ne coûtent presque rien.
Faut-il abandonner le pare-feu ?
Non. Le pare-feu reste utile ; il n'est simplement plus la seule ligne de défense.
Un VPN, c'est du Zero Trust ?
Pas vraiment : un VPN classique donne accès à tout un réseau une fois connecté. Le ZTNA donne accès application par application, après vérification de l'identité et souvent de l'appareil.
Et ensuite ?
Pour les menaces concrètes qui visent vos sites, lisez les 7 attaques les plus courantes contre un site web. Et pour construire une infrastructure découpée en réseaux privés, découvrez notre offre de cloud computing.