Zero Trust pour PME : le modèle expliqué sans jargon

Pendant des années, la sécurité d'une PME ressemblait à un château fort : un pare-feu en guise de muraille, un VPN en guise de pont-levis, et une fois à l'intérieur, on circulait partout. Le poste de la réception pouvait joindre le serveur comptable, et le compte du stagiaire voyait les mêmes dossiers partagés que celui de la directrice.

Ce modèle supposait que l'ennemi reste dehors. Or vos données vivent désormais dans l'infonuagique, vos employés travaillent de la maison et votre fournisseur TI se connecte à distance. Surtout, un attaquant qui vole un mot de passe par hameçonnage n'a plus à franchir la muraille : il entre par la grande porte, avec un badge valide.

Le Zero Trust (le Centre canadien pour la cybersécurité parle de « modèle à vérification systématique » ou d'« architecture zéro confiance ») part du principe inverse : aucune connexion n'est digne de confiance par défaut. Voici ce que ça veut dire, concrètement, pour une PME.

Le Zero Trust en une phrase

La publication de référence est le NIST SP 800-207, publié par l'institut américain des normes en août 2020. Son idée centrale : on n'accorde aucune confiance implicite à un compte ou à un appareil du seul fait de son emplacement réseau, ni parce que l'appareil appartient à l'entreprise.

Le Centre canadien pour la cybersécurité résume la même philosophie par une formule : « Ne jamais se fier, toujours vérifier ». Il ajoute deux précisions utiles. D'abord, la confiance doit être réévaluée chaque fois qu'on demande l'accès à une nouvelle ressource. Ensuite, il faut planifier comme si une intrusion avait déjà eu lieu.

Concrètement, chaque demande d'accès passe par un point de décision qui se pose trois questions : qui est cette personne, avec quel appareil se connecte-t-elle, et a-t-elle vraiment besoin de cette ressource en ce moment ?

Pourquoi le château fort ne tient plus

Prenons un cabinet de comptables de Laval de 22 employés. Une technicienne clique sur un faux avis de livraison et saisit son mot de passe. Sans MFA, l'attaquant ouvre une session à distance. Comme le réseau est « plat », il atteint le serveur de fichiers, puis le serveur de sauvegarde. C'est le scénario classique décrit dans notre article sur l'anatomie d'une attaque par rançongiciel : le vol d'identifiants, puis le déplacement latéral.

Dans un modèle Zero Trust, chaque étape aurait rencontré un obstacle. La connexion depuis un appareil inconnu aurait exigé un second facteur. Le compte de la technicienne n'aurait pas eu accès au serveur de sauvegarde. Et la tentative inhabituelle aurait déclenché une alerte.

Les principes, traduits pour une PME

Le NIST énonce sept principes, et le Centre canadien propose ses propres priorités. Voici leur traduction en gestes concrets.

Par où commencer : une feuille de route en cinq étapes

Le Centre canadien recommande de commencer par l'authentification forte, des décisions d'accès fondées sur l'utilisateur et l'appareil, le moindre privilège et des postes dédiés à l'administration. Dans une PME, ça donne la séquence suivante.

1. Identités. Activez la MFA sur tous les comptes, sans exception, et retirez les méthodes faibles là où c'est possible. Notre guide pour choisir sa méthode d'authentification multifacteur compare les options.
2. Appareils. Inscrivez les postes et téléphones dans un outil de gestion (Intune, par exemple), exigez le chiffrement et les mises à jour, puis configurez l'accès conditionnel pour bloquer les appareils non conformes. Microsoft 365 Business Premium inclut Microsoft Entra ID P1, donc l'accès conditionnel.
3. Privilèges. Séparez les comptes d'administration des comptes de tous les jours. Un compte administrateur ne lit pas ses courriels et ne navigue pas sur le Web.
4. Accès aux applications. Remplacez graduellement l'accès réseau complet par un accès par application. Pour savoir si un VPN suffit encore chez vous, consultez notre comparatif VPN ou ZTNA pour le télétravail.
5. Visibilité. Conservez les journaux de connexion et faites-les surveiller, par vous ou par votre fournisseur.

Checklist de démarrage :

• MFA activée sur 100 % des comptes, y compris ceux des fournisseurs.
• Inventaire des appareils qui accèdent aux données de l'entreprise.
• Accès conditionnel : appareil conforme exigé pour les données sensibles.
• Comptes d'administration distincts, peu nombreux et protégés par une méthode résistante à l'hameçonnage.
• Droits sur les dossiers partagés revus selon les fonctions réelles.
• Sauvegardes isolées du domaine et des comptes courants.
• Alertes configurées pour les connexions inhabituelles.

Ce que le Zero Trust n'est pas

Ce n'est pas un projet tout ou rien. Le Centre canadien rappelle que la démarche exige un engagement soutenu sur plusieurs années. Une PME qui coche les trois premières étapes a déjà retiré l'essentiel de la confiance implicite.

Ce n'est pas une boîte qu'on branche. Un produit étiqueté « Zero Trust » peut aider, mais sans inventaire des accès ni politique claire, il ne fait que déplacer le problème.

Ce n'est pas une raison d'abandonner les bases. Les correctifs, les sauvegardes et la sensibilisation restent nécessaires. Les contrôles de base du Centre canadien pour les petites et moyennes organisations demeurent le socle.

Ce n'est pas réservé aux grandes entreprises. Un manufacturier de la Beauce de 40 employés qui exige des postes gérés, limite l'accès de son fournisseur TI aux heures d'intervention et sépare son réseau de production applique déjà les principes du NIST.

Mesurer le chemin parcouru

Pour savoir où vous en êtes, posez trois questions simples à votre équipe ou à votre fournisseur :

• Qu'arrive-t-il si un employé se connecte depuis un ordinateur personnel jamais vu ?
• Combien de comptes ont des droits d'administration, et qui les utilise au quotidien ?
• Un compte compromis à la réception pourrait-il atteindre les sauvegardes ?

Si une réponse commence par « je pense que… », il y a du travail à faire. Notre équipe peut configurer l'accès conditionnel, la gestion des appareils et la séparation des privilèges dans le cadre de notre service de remédiation et durcissement, en partant de ce que vos licences incluent déjà.