« Zero Trust » — vous avez probablement croisé le terme dans une plaquette commerciale, un webinaire ou la bouche d'un fournisseur qui promet de « déployer une architecture Zero Trust » clé en main. Le message implicite : c'est un produit, ça se signe, ça se branche. C'est faux, et cette confusion coûte cher aux PME qui repoussent le sujet en pensant qu'il faut un budget de grand groupe.
Le Zero Trust n'est pas une brique logicielle. C'est un principe de conception : ne jamais accorder la confiance par défaut, même à l'intérieur de son propre réseau. Pendant longtemps, la sécurité a fonctionné comme un château fort — des murs épais, un pont-levis, et une confiance totale une fois à l'intérieur. Le problème, c'est qu'une seule identité compromise (un mot de passe volé par phishing, un ordinateur portable perdu) donne alors accès à tout.
Pour une PME de 20, 50 ou 200 personnes, la bonne nouvelle est que le Zero Trust s'adopte par étapes, sans tout casser ni tout remplacer. Cet article démonte le mythe et propose un chemin réaliste et priorisé, que vous pouvez commencer cette semaine avec les outils que vous avez déjà.
Le Zero Trust en quatre principes (sans jargon)
Derrière le terme, quatre idées simples qui tiennent en une phrase chacune :
- Ne jamais faire confiance par défaut : un utilisateur, un appareil ou une application ne mérite aucun accès du seul fait qu'il est « dans le réseau de l'entreprise ».
- Vérifier explicitement : chaque demande d'accès est authentifiée et évaluée (qui, quel appareil, d'où), à chaque fois — pas seulement à la connexion du matin.
- Moindre privilège : chacun n'obtient que les droits strictement nécessaires à son poste, pour la durée nécessaire — ni plus, ni « au cas où ».
- Supposer la compromission : on conçoit le système en partant du principe qu'un compte finira par être piraté, afin de limiter les dégâts quand cela arrive.
Aucun de ces principes n'exige un logiciel précis. Ce sont des décisions d'organisation, appliquées avec des outils que vous possédez déjà : votre suite Microsoft 365 ou Google Workspace, votre gestionnaire de mots de passe, votre pare-feu.
Étape 1 : verrouiller les identités (le meilleur rapport effort/gain)
Dans un modèle Zero Trust, l'identité remplace le périmètre réseau comme première ligne de défense. C'est aussi le chantier le plus rentable pour une PME, car le vol d'identifiants — via phishing notamment — reste l'une des portes d'entrée les plus courantes.
Deux actions concrètes :
- Activer l'authentification multifacteur (MFA) partout, sans exception : messagerie, VPN, outils métier, console d'administration cloud. Un compte administrateur sans MFA est une porte ouverte.
- Basculer vers les passkeys (standard FIDO2/WebAuthn) quand vos outils le permettent. Contrairement au code reçu par SMS, une passkey résiste au phishing : elle est liée au site légitime et ne peut pas être « rejouée » sur un faux formulaire. Microsoft 365, Google et un nombre croissant de SaaS les supportent nativement.
Exemple concret : un cabinet comptable de 30 personnes peut, en une après-midi, imposer le MFA sur Microsoft 365 pour tous les comptes et exiger une passkey pour ses deux comptes administrateurs. Coût : zéro euro de licence supplémentaire.
Étape 2 : savoir qui a accès à quoi
On ne protège que ce qu'on connaît. Le principe de moindre privilège suppose un inventaire, même modeste.
- Listez vos applications critiques (messagerie, ERP, CRM, partage de fichiers, banque en ligne) et, pour chacune, qui dispose d'un accès administrateur.
- Traquez le Shadow IT : les outils SaaS souscrits par une équipe sans passer par la DSI. Un tableau partagé depuis un compte personnel est un angle mort classique.
- Repérez les comptes orphelins : prestataire dont la mission est finie, ancien salarié encore actif, compte de service oublié.
Une revue des accès trimestrielle — une heure, un tableur — suffit à couper l'essentiel du risque. La question à poser pour chaque ligne : « Cette personne a-t-elle encore besoin de cet accès aujourd'hui ? »
Étape 3 : segmenter et journaliser, sans tout reconstruire
Vous n'avez pas besoin de refondre votre réseau. Quelques séparations simples appliquent déjà l'esprit « supposer la compromission » :
- Isolez ce qui doit l'être : un réseau Wi-Fi invité distinct du réseau interne, les serveurs sensibles séparés des postes bureautiques, les sauvegardes hors de portée d'un poste infecté.
- Activez la journalisation sur vos outils clés (connexions Microsoft 365, accès VPN, pare-feu). Sans journaux, une intrusion reste invisible — et vous ne pouvez ni réagir sur le moment, ni comprendre après coup.
- Vérifiez ce que votre entreprise expose côté Internet : ports ouverts, sous-domaines oubliés, certificats TLS expirés, enregistrements SPF/DKIM/DMARC de messagerie. C'est la surface qu'un attaquant observe en premier.
Une discipline, pas un produit
Le Zero Trust ne s'achète pas, il s'applique — une identité vérifiée, un accès justifié, un journal à la fois. La bonne question n'est pas « quel outil ? » mais « qui a accès à quoi, et pourquoi ? ».
Votre plan d'action
Un ordre de priorité réaliste pour une PME, du plus rentable au plus structurant :
- Activez le MFA sur tous les comptes, en commençant par les comptes administrateurs et la messagerie.
- Déployez des passkeys pour les accès sensibles là où vos outils les supportent.
- Dressez l'inventaire de vos applications critiques et de leurs administrateurs.
- Supprimez les comptes orphelins et retirez les droits d'administration inutiles.
- Instaurez une revue des accès trimestrielle (un tableur, une heure suffisent).
- Séparez les réseaux (invité / interne / sensible) et mettez vos sauvegardes à l'abri.
- Activez la journalisation sur la messagerie, le VPN et le pare-feu.
- Cartographiez votre surface d'attaque externe et corrigez les expositions évidentes.
Aucune de ces étapes ne nécessite de « tout casser ». Chacune réduit le risque indépendamment des autres — commencez par la première, avancez à votre rythme.
Comment Sedona peut aider
Le Zero Trust commence par une question simple : que voit un attaquant de votre entreprise depuis Internet ? Sedona Radar évalue votre surface d'attaque externe — ports exposés, configuration DNS et messagerie (SPF, DKIM, DMARC), certificats TLS, vulnérabilités connues, sous-domaines oubliés — et restitue un score de conformité indicatif au regard de plusieurs référentiels. Ce n'est pas une certification, mais un point de départ objectif pour prioriser vos chantiers d'accès et de segmentation. Pour aller plus loin, notre équipe accompagne les PME sur l'inventaire des accès, la stratégie d'authentification et l'audit de surface, sans jamais survendre ce qui n'est pas nécessaire.
Testez gratuitement votre exposition avec le plan Découverte de Sedona Radar, ou parlez-en à un expert.
