TI gérées · 6 min de lecture
Le Zero Trust pour les entreprises de taille moyenne : par où commencer en 2026
Le Zero Trust n’est pas un produit qu’on achète. C’est un ensemble de décisions touchant l’identité, les appareils et l’accès. Une séquence de démarrage pratique pour les organisations qui n’ont pas de grande équipe de sécurité.
· Bhargava Group
« Ne jamais faire confiance, toujours vérifier » : facile à dire, difficile à planifier. Le Zero Trust remplace l’ancien modèle, dans lequel tout ce qui se trouvait à l’intérieur du réseau du bureau était considéré comme fiable, par un modèle où chaque demande d’accès est vérifiée en fonction de qui la fait, à partir de quel appareil, pour quelle ressource, et à ce moment précis.
Des cadres comme le Zero Trust Maturity Model de la CISA organisent le travail en piliers : identité, appareils, réseaux, applications et charges de travail, et données. Pour une entreprise de taille moyenne, l’ordre dans lequel on les aborde compte davantage que le schéma.
1. L’identité d’abord
L’identité est le nouveau périmètre, et c’est là que commencent la plupart des attaques.
- Un seul fournisseur d’identité pour tout, avec authentification unique à toutes les applications d’affaires que vous pouvez y relier.
- Une authentification multifacteur résistante à l’hameçonnage, en commençant par les administrateurs.
- Des politiques d’accès conditionnel fondées sur l’utilisateur, l’emplacement, l’état de l’appareil et le risque.
- Supprimez les droits d’administration permanents. Recourez à l’élévation juste-à-temps pour les tâches privilégiées.
2. Des appareils dont vous pouvez répondre
Les décisions d’accès ne valent que ce que vaut votre connaissance de l’appareil.
- Inscrivez les ordinateurs portables et les téléphones de l’entreprise dans la gestion des appareils.
- Définissez ce qu’est un appareil « conforme » : chiffré, à jour, protégé par une solution de détection et de réponse aux menaces sur les terminaux (EDR), et doté d’un système d’exploitation pris en charge.
- Exigez des appareils conformes pour les applications sensibles. Accordez aux appareils non gérés un accès limité, par navigateur seulement.
3. Les applications plutôt que les réseaux
Cessez d’accorder un large accès au réseau pour atteindre une seule application.
- Publiez les applications internes au moyen de mandataires d’accès tenant compte de l’identité plutôt que de tunnels RPV complets.
- Segmentez les réseaux restants afin qu’un ordinateur portable compromis ne puisse pas atteindre les serveurs, les sauvegardes et les interfaces de gestion.
4. Des données qui se protègent elles-mêmes
- Classez les renseignements sensibles au moyen d’étiquettes qui intègrent des règles de chiffrement et de partage.
- Appliquez la prévention des pertes de données au courriel, au stockage infonuagique et aux outils d’IA.
- Revoyez chaque trimestre qui a accès à vos référentiels les plus sensibles.
5. Visibilité et intervention
Centralisez les journaux de connexion, des terminaux et du nuage, et assurez-vous que quelqu’un les surveille en tout temps, qu’il s’agisse de votre équipe ou d’un service géré de détection et de réponse.
Un échéancier réaliste
La plupart des organisations de taille moyenne peuvent établir les fondations en matière d’identité et d’appareils en un ou deux trimestres, puis faire progresser l’accès aux applications et la protection des données au cours de l’année suivante. Chaque étape réduit le risque à elle seule. Nul besoin d’avoir terminé pour en tirer profit.
Notre pratique TI gérées et cybersécurité élabore des feuilles de route Zero Trust et les réalise par étapes, en commençant par les contrôles d’identité qui bloquent la plupart des attaques.