Zero trust architecture: promises and documented results
- Le zero trust est un ensemble de principes, pas un produit : chaque accès est décidé à la demande
- Les preuves disponibles sont surtout des retours d'expérience et des enquêtes déclaratives
- Le modèle déplace le risque vers l'identité, qui devient la cible prioritaire
- Mesurer ses propres indicateurs avant et après vaut mieux que citer une étude d'éditeur
Combien d’intrusions le zero trust a-t-il permis d’éviter ? Personne ne peut répondre à cette question avec précision, et c’est la première chose à comprendre avant d’investir. Le terme est devenu un argument commercial omniprésent ; les doctrines publiques qui le décrivent sont pourtant prudentes, et les preuves de son efficacité sont d’une nature particulière. Cette revue examine ce que promet une architecture zero trust, ce que les sources disponibles permettent réellement d’affirmer sur l’efficacité du zero trust, et comment une organisation peut documenter ses propres résultats.
Un principe, pas un produit
La définition de référence est celle de la publication spéciale 800-207 du NIST, parue en 2020. Le zero trust y désigne un ensemble de principes : aucune confiance implicite n’est accordée à un utilisateur, à un poste ou à un flux en raison de sa position sur le réseau. Chaque accès à une ressource est décidé au moment de la demande, en fonction de l’identité, de l’état de l’appareil, du contexte et de la sensibilité de la ressource, puis réévalué régulièrement.
Le NIST décrit une architecture logique en trois composants. Un moteur de politique décide ; un administrateur de politique traduit la décision en autorisation ; un point d’application, placé devant la ressource, laisse passer ou bloque. Ce moteur s’alimente de sources d’information : annuaire, état de conformité des postes, journaux, renseignement sur les menaces.
Cette définition a une conséquence que les discours commerciaux passent souvent sous silence : on ne peut pas « acheter » le zero trust. On peut acheter des briques (fournisseur d’identité, accès conditionnel, gestion des postes, micro-segmentation, passerelle d’accès aux applications), mais la démarche consiste à réorganiser les décisions d’accès, application par application.
Cinq promesses
Les arguments en faveur du modèle se ramènent à cinq promesses. La première est de limiter les déplacements latéraux : un attaquant qui compromet un poste ne devrait plus atteindre tout ce qui se trouve sur le même réseau. La deuxième est de réduire l’impact d’un vol d’identifiants, puisque l’accès dépend aussi de l’état du poste et du contexte. La troisième est de sécuriser le travail à distance et les services en nuage sans faire transiter tout le trafic par un VPN. La quatrième est d’améliorer la visibilité, chaque décision d’accès étant journalisée. La cinquième, plus rarement mise en avant, est de simplifier à terme une architecture faite de couches de pare-feu et d’exceptions accumulées.
Ce que permettent d’affirmer les sources disponibles
Les sources publiques relèvent de cinq familles, de solidité très inégale.
Les doctrines et cadres publics. Outre le NIST, la CISA américaine publie un modèle de maturité zero trust, dont la version 2.0 date de 2023 ; la NSA a diffusé en 2021 une note d’orientation sur le sujet ; le NCSC britannique a publié des principes de conception ; l’ANSSI a fait paraître en 2021 une analyse du modèle. Aux États-Unis, le mémorandum M-22-09 de l’Office of Management and Budget a fixé en 2022 des objectifs zero trust aux agences fédérales. Ces textes décrivent ce qu’il faut faire et pourquoi ; ils ne mesurent pas de résultats.
Les retours d’expérience d’organisations pionnières. Le plus cité est celui de Google, qui a décrit à partir de 2014, dans une série d’articles consacrée à son programme BeyondCorp, le passage d’un accès fondé sur le réseau interne à un accès fondé sur l’identité et l’état des appareils. Ces récits sont précieux pour comprendre la démarche et sa durée (plusieurs années). Ils restent des témoignages d’une organisation aux moyens exceptionnels, sans groupe de comparaison.
Les enquêtes déclaratives. Le rapport annuel d’IBM sur le coût des violations de données, réalisé avec le Ponemon Institute, a associé dans plusieurs éditions le déploiement du zero trust à un coût moyen d’incident plus faible. Il s’agit d’une corrélation, établie sur des organisations qui déclarent leur niveau de déploiement ; elle ne dit pas si le zero trust est la cause de l’écart ou s’il signale simplement des organisations mieux dotées en sécurité.
Les études commandées par des éditeurs. Plusieurs fournisseurs ont financé des études d’impact économique qui chiffrent un retour sur investissement. Leur méthode repose généralement sur des entretiens avec quelques clients choisis et sur une organisation « composite » modélisée. Elles informent sur les postes de gain possibles ; elles ne constituent pas une preuve.
Les analyses d’incidents. Ce sont paradoxalement les sources les plus instructives. En 2024, le Cyber Safety Review Board américain a publié son rapport sur l’intrusion attribuée au groupe dit Storm-0558, au cours de laquelle une clé de signature dérobée avait permis de forger des jetons d’authentification et d’accéder à des messageries de services en nuage. L’épisode illustre une limite du modèle plus qu’un échec : quand l’identité devient le nouveau périmètre, la compromission du système qui la garantit ouvre toutes les portes.
| Promesse | Ce qui est documenté | Nature de la preuve | Limite principale |
|---|---|---|---|
| Limiter les déplacements latéraux | Cohérent avec les analyses d’incidents et les exercices d’attaque simulée | Raisonnement d’architecture, retours d’expérience | Dépend de la finesse réelle du cloisonnement |
| Réduire l’impact d’un vol d’identifiants | Bien établi pour l’authentification forte résistante à l’hameçonnage | Doctrines publiques, analyses d’incidents | Inopérant si le fournisseur d’identité est compromis |
| Sécuriser l’accès distant et le nuage | Démontré par les déploiements pionniers | Retours d’expérience | Applications anciennes difficiles à intégrer |
| Améliorer la visibilité | Mécanique : chaque décision est journalisée | Description d’architecture | Utile seulement si les journaux sont exploités |
| Réduire le coût des incidents | Corrélation observée dans des enquêtes | Enquêtes déclaratives, études d’éditeurs | Pas de lien de causalité établi |
La lecture d’ensemble est nuancée. Aucune source ne contredit l’intérêt du modèle, et plusieurs de ses composants, au premier rang desquels l’authentification forte, ont une efficacité largement reconnue. Mais il n’existe pas, à notre connaissance, d’étude indépendante et contrôlée qui mesure l’effet global d’une architecture zero trust en comparant des organisations semblables. Les chiffres qui circulent sur ce sujet proviennent presque tous d’enquêtes déclaratives ou d’études financées par des fournisseurs.
Ce que le modèle déplace plutôt qu’il ne supprime
Le zero trust ne fait pas disparaître le risque ; il le concentre ailleurs. Trois déplacements méritent d’être anticipés.
Le premier concerne l’identité. Le fournisseur d’identité, ses clés de signature, ses administrateurs et son support deviennent les actifs les plus critiques de l’organisation. Leur protection, leur supervision et la procédure de reprise en cas de compromission doivent être traitées avec le même sérieux qu’un centre de données.
Le deuxième concerne la complexité des politiques. Une décision par demande suppose des règles écrites, maintenues et comprises. Une organisation qui multiplie les exceptions retrouve, sous une autre forme, l’empilement de règles de pare-feu qu’elle voulait quitter.
Le troisième concerne les systèmes qui ne s’y prêtent pas : applications anciennes sans authentification moderne, équipements industriels, appareils médicaux. Pour eux, on applique les principes autour du système, par cloisonnement et contrôle des accès distants, plutôt qu’en son sein. C’est la position constante des doctrines publiques, dont celle de l’ANSSI : une transition progressive, qui ne renonce pas à la défense en profondeur ni au cloisonnement réseau.
Les bénéfices les mieux étayés tiennent à des composants précis (authentification forte, gestion des accès à privilèges, contrôle de l’état des postes, cloisonnement), pas au label. Une démarche zero trust se juge sur la part des accès réellement décidés à la demande, pas sur le nombre de produits estampillés.
Documenter ses propres résultats
Faute d’étude générale fiable, la meilleure preuve est celle que l’organisation produit sur son propre périmètre. Cela suppose de fixer, avant le déploiement, une situation de référence et quelques indicateurs mesurables.
Les plus utiles portent sur la couverture : part des applications accessibles uniquement après authentification forte, part des accès d’administration passant par un point de contrôle unique, part des postes dont l’état est vérifié avant l’accès. D’autres portent sur la réactivité : délai entre le départ d’un agent ou d’un salarié et la révocation effective de ses accès, délai de détection d’un accès anormal. Les derniers portent sur la résistance : ce qu’un exercice d’attaque simulée parvient à atteindre depuis un poste compromis, avant et après le cloisonnement.
Mesurés au départ, puis à chaque étape, ces indicateurs donnent à une direction ce qu’aucune étude d’éditeur ne lui apportera : une preuve sur ses propres systèmes. Ils s’intègrent naturellement aux exigences de gestion des risques et des accès qu’imposent des textes comme la directive NIS 2, que notre dossier complet sur NIS 2 détaille. Notre expertise cybersécurité et conformité aide à poser cette situation de référence et à choisir l’ordre des chantiers.
Notre lecture
Le zero trust est une bonne direction, mal servie par son propre vocabulaire. Ses principes sont solides et partagés par toutes les autorités qui s’y sont intéressées. Ses résultats, eux, ne se démontrent pas à coup de statistiques générales : ils se construisent et se mesurent, composant par composant, sur un périmètre connu. La question utile n’est donc pas « le zero trust est-il efficace ? », mais « quels accès décidons-nous encore sur la seule foi du réseau, et combien de temps nous faut-il pour en réduire la liste ? ».
- NIST, Special Publication 800-207, Zero Trust Architecture, 2020.
- CISA, Zero Trust Maturity Model, version 2.0, 2023.
- Office of Management and Budget, mémorandum M-22-09, Moving the U.S. Government Toward Zero Trust Cybersecurity Principles, 2022.
- NSA, note d’orientation sur le modèle de sécurité zero trust, 2021.
- NCSC (Royaume-Uni), principes de conception d’une architecture zero trust.
- ANSSI, analyse du modèle zero trust, 2021.
- Google, série d’articles BeyondCorp, à partir de 2014.
- Cyber Safety Review Board, rapport sur l’intrusion Microsoft Exchange Online de l’été 2023, 2024.
- IBM et Ponemon Institute, rapport annuel sur le coût des violations de données.
Questions fréquentes
Le zero trust remplace-t-il le pare-feu et le VPN ?
Pas du jour au lendemain. Les doctrines publiques, dont celles du NIST et de l'ANSSI, décrivent une transition progressive où la défense périmétrique reste utile pendant longtemps. Le VPN peut être remplacé, application par application, par un accès conditionné à l'identité et à l'état du poste ; le cloisonnement réseau, lui, garde tout son intérêt.
Existe-t-il une étude qui prouve l'efficacité du zero trust ?
Il n'existe pas, à notre connaissance, d'étude contrôlée et indépendante qui compare des organisations comparables avec et sans zero trust. Les sources disponibles sont des retours d'expérience, des enquêtes déclaratives qui établissent des corrélations, des études commandées par des éditeurs et des analyses d'incidents. Elles convergent sur certains bénéfices, sans les chiffrer de façon fiable.
Par où commencer une démarche zero trust ?
Par l'identité et les accès à privilèges : authentification forte résistante à l'hameçonnage, inventaire des comptes, accès d'administration passant par un point de contrôle unique. C'est là que les bénéfices sont les mieux documentés et que l'effort produit le plus rapidement un résultat mesurable.
Le zero trust s'applique-t-il aux systèmes industriels ?
Partiellement. Beaucoup d'équipements industriels ne savent pas authentifier chaque requête. On applique alors les principes autour d'eux : cloisonnement fin, accès distants contrôlés et journalisés, inventaire des flux autorisés. Le modèle sert de guide, pas de norme à appliquer à la lettre.