Zero Trust : 4 demi-vérités à bannir et prochaines étapes

Cet article a été relu par Teresa Wu, Vice President, Smart Credentials & Smart Integrate chez IDEMIA Public Security.

Le « Zero Trust » semble être un terme à la mode. On retrouve l’expression dans les présentations de fournisseurs, les livres blancs et les webinaires, alors qu’elle recouvre souvent des réalités très différentes. Derrière ce brouhaha se cachent des demi-vérités qui ne sont pas réellement fausses, mais pas non plus tout à fait vraies. Une demi-vérité est beaucoup plus difficile à contester en réunion, à évaluer sincèrement et à corriger avant qu’un problème survienne. Voici les quatre demi-vérités les plus courantes, chacune illustrée par un incident réel, suivies d’une check-list pratique à adapter à votre organisation.

Repenser le Zero Trust : 4 demi-vérités

Demi-vérité n° 1 : « Zero Trust signifie ne faire confiance à personne »

LES FAITS

En mai 2021, des attaquants ont pénétré dans le réseau de Colonial Pipeline grâce au mot de passe VPN d’un compte dormant sans authentification multi-facteurs (Turton & Mehrotra, 2021 ; Blount, 2021). L’entreprise a versé une rançon d’environ 4,4 millions de dollars, dont près de 2,3 millions ont ensuite été récupérés par le département américain de la Justice. Entre-temps, le plus grand réseau d’oléoducs de carburant des États-Unis a été interrompu pendant six jours. Cet incident illustre le risque créé par des accès anciens qui restent disponibles sans véritables contrôles d’authentification : l’accès est accordé une fois, et n’est plus jamais réexaminé ensuite.

LA RÉALITÉ

Le Zero Trust, ce n’est pas retirer la confiance à tous, c’est simplement assortir la confiance d’une date d’expiration à la confiance. Le niveau de maturité le plus élevé de la fonction Authentification repose sur une validation continue de l’identité, et non sur une identité jamais validée (CISA, 2023, tableau 2, p. 13). Contrairement à l’expérience subie par Colonial, la solution n’est pas un mot de passe plus robuste, mais une décision d’accès renouvelée.

Demi-vérité n° 2 : « Le Zero Trust est un produit qui s’achète »

LES FAITS

« Nous avons acheté une solution ZTNA/microseg : notre processus Zero Trust est donc terminé » est une idée reçue fréquente.

Le modèle BeyondCorp proposé par Google consiste à ne plus fonder les décisions d’accès sur un réseau interne privilégié, mais sur les informations relatives à l’utilisateur et à son appareil, avec des vérifications effectuées par un moteur de contrôle d’accès et une migration progressive des applications sur plusieurs années (Ward & Beyer, 2014). Il s’agit d’une transformation à la fois de l’architecture, des opérations et des technologies, et non de l’acquisition d’un produit unique.

LA RÉALITÉ

Les produits contribuent à mettre en œuvre le Zero Trust, mais les politiques et les opérations quotidiennes doivent tout de même être définies. John Kindervag, auteur du terme en 2010 et souvent présenté comme le « père » du Zero Trust, le formule clairement : le Zero Trust est une stratégie, qui ne s’achète pas (Kindervag & Farnum, 2024). La CISA dit de même de son propre modèle, qu’elle décrit comme l’une des nombreuses voies possibles (CISA, 2023, p. 7) et comme une orientation générale plutôt qu’un ensemble strict d’exigences (p. 12). Le NIST ajoute qu’il n’existe pas d’architecture unique adaptée à toutes les organisations (NCCoE, 2025, p. 5).

Demi-vérité n° 3 : « Nous avons mis en place l’authentification multi-facteurs, donc nous appliquons le Zero Trust »

LES FAITS

En septembre 2022, un attaquant aurait acheté sur le dark web le mot de passe professionnel d’un prestataire d’Uber, vraisemblablement après l’exposition de celui-ci par un logiciel malveillant. Il a ensuite multiplié les tentatives de connexion jusqu’à ce que le téléphone du prestataire soit saturé de demandes d’approbation. À chaque tentative, le prestataire recevait une demande d’approbation à deux facteurs, ce qui bloquait initialement l’accès. Il a fini par accepter l’une d’entre elles, ce qui a permis à l’attaquant de se connecter. Selon les informations fournies par Uber, l’attaquant a ensuite accédé aux comptes de plusieurs autres collaborateurs et obtenu des privilèges élevés sur un certain nombre d’outils (Uber, 2022). L’authentification multi-facteurs n’a jamais été contournée, simplement utilisée.

LA RÉALITÉ

Disposer d’une authentification multi-facteurs est une bonne chose, mais ce qui compte, c’est qu’elle puisse résister à une attaque. Sur l’échelle de la CISA, une authentification multi-facteurs susceptible d’inclure encore un mot de passe se situe au niveau Initial, le deuxième des quatre niveaux. L’authentification résistante au phishing et sans mot de passe, utilisant FIDO2 ou PIV, ne correspond qu’au niveau Avancé. La validation continue relève du niveau Optimal (CISA, 2023, tableau 2, p. 13). En considérant l’authentification multi-facteurs comme une finalité, on peut donc surestimer donc la maturité de l’organisation de deux niveaux.

Le passage réel au niveau supérieur est autant une décision d’achat qu’une décision stratégique. ID Key Bolt d’IDEMIA Public Security correspond à la description du niveau  Avancé : une clé de sécurité USB unique intégrant à la fois des applets FIDO2 et PIV, permettant à une organisation d’adopter une authentification résistante au phishing et sans mot de passe sans renoncer à ses investissements existants dans une infrastructure PKI. Le  flux FIDO2 ne prévoit pas de demandes d’approbation push : les méthodes résistantes au phishing ne sont donc pas vulnérable à la technique utilisée contre Uber.

Demi-vérité n° 4 : « Si nous subissons encore des violations de sécurité, c’est que le Zero Trust ne fonctionne pas »

LES FAITS

En juin 2017, NotPetya a touché Maersk par l’intermédiaire d’une mise à jour logicielle compromise. Le logiciel malveillant s’est propagé de manière autonome, sans qu’aucun élément au sein du réseau ne ralentisse sa progression. Maersk a dû reconstruire 4 000 serveurs, 45 000 PC et 2 500 applications en dix jours, pour des dommages estimés entre 250 et 300 millions de dollars (Snabe, 2018).

LA RÉALITÉ

Une intrusion ne signe pas l’échec du Zero Trust ; en revanche, l’absence de confinement des accès est un échec. Le Zero Trust part du principe que des éléments ont déjà été compromis. Selon le NIST, dans cette approche, les décisions d’accès sont prises en considérant le réseau comme déjà compromis (NIST, 2020). L’objectif est de limiter le chemin que peut parcourir un intrus et la durée de sa présence dans le réseau, et non de garantir que personne ne puisse entrer.

Il faut donc mesurer le confinement plutôt que le nombre d’incidents. Deux indicateurs sont utiles : la part des sessions privilégiées utilisant un accès juste-à-temps (just-in-time), qui correspond au niveau Optimal pour la gestion des accès selon la CISA (CISA, 2023, tableau 2, p. 14), et l’ancienneté de l’identifiant non renouvelé le plus ancien.

Que recouvre donc le Zero Trust et quel est l’intérêt du modèle de maturité ?

Tout d’abord, il faut poser la définition. Le NIST décrit le Zero Trust comme un moyen de réduire l’incertitude en appliquant des décisions d’accès précises, fondées sur le principe du moindre privilège et prises à chaque demande, le réseau étant considéré comme déjà compromis (NIST, 2020). La notion essentielle est celle de la décision « à chaque demande ».

Zero Trust – Les cinq piliers du modèle de maturité de la CISA

La CISA a transformé ce principe en une grille comportant cinq piliers, trois capacités transversales à tous les piliers et quatre niveaux de maturité, chaque pilier progressant à son propre rythme (CISA, 2023, pp. 6–9).

Les cinq piliers reposent sur trois capacités transversales : Visibilité et analytique, Automatisation et orchestration, et Gouvernance. Les quatre niveaux sont Traditionnel, Initial, Avancé et Optimal.

Un point mérite d’être précisé : ce modèle a été conçu pour les agences fédérales américaines. Il doit donc être considéré comme un point de référence, et non comme des règles applicables dans le monde entier. Il constitue néanmoins la description publique la plus claire de la maturité, et vous avez donc tout intérêt à l’utiliser pour évaluer votre propre organisation.

Évaluez-vous : le pilier Identité en quatre critères

Imprimez cette grille. Cochez honnêtement une case par ligne et inscrivez la date afin de pouvoir évaluer votre niveau de maturité Zero Trust.

La plupart des organisations se situent au niveau Traditionnel ou Initial dans au moins deux critères. Ce n’est pas un échec, mais le point de départ pour mettre en œuvre le Zero Trust dès maintenant.

Où se situe l’identité et quelle est la contribution d’IDEMIA Public Security ?

L’identité constitue l’un des cinq piliers du Zero Trust. Vérifier l’appareil ne permet pas de savoir qui l’utilise. Un ordinateur portable peut satisfaire aux exigences de sécurité alors que la personne qui demande l’accès est un imposteur. C’est là qu’intervient IDEMIA Public Security, en aidant les organisations à vérifier l’identité de la personne à l’origine d’une demande d’accès.

En novembre 2025, IDEMIA Public Security a annoncé être partenaire de lancement de Microsoft Entra Verified ID lors de l’ouverture du service à tous, pour des cas d’usage couvrant l’intégration des collaborateurs, la récupération des mots de passe et des comptes, les communications des centres de contact et l’appui du service d’assistance (IDEMIA Public Security, 2025). Dans le cadre de ce processus, IDEMIA Public Security prend en charge l’étape de vérification de l’identité, à l’aide de la vérification de documents et de la détection du vivant. Microsoft Entra vérifie ensuite l’identité validée par rapport au compte, conformément aux règles configurées par l’organisation, avant d’autoriser l’utilisateur à enregistrer de nouvelles méthodes de connexion. Tout l’intérêt réside dans cette séparation : vérifier l’identité d’une personne et confirmer que cette personne est bien autorisée à récupérer un compte donné sont deux questions différentes. Répondre à la première grâce à une vérification biométrique de l’identité permet de simplifier la décision qu’un agent du service d’assistance doit prendre à partir d’un simple appel téléphonique.

Ce que les organisations peuvent faire

1. Identifier tous les accès accordés une fois et qui n’ont jamais fait l’objet d’une nouvelle décision. Comptes dormants, accès VPN permanents, fenêtres d’authentification unique trop longues, badge valable jusqu’à minuit. Ces accès doivent être classés en fonction des éléments que pourrait obtenir un attaquant s’il parvenait à les compromettre.

2. Noter pour chaque achat Zero Trust le pilier et le niveau de maturité concernés. Cinq piliers, quatre niveaux, selon les termes de la CISA.

3. Évaluer votre score pour le critère Authentification et noter la date. Si l’authentification multi-facteurs inclut encore un mot de passe, la réponse honnête est Initial. Il faut dans un premier temps imposer aux comptes privilégiés une authentification résistante au phishing : cela concerne un petit nombre d’utilisateurs, mais avec l’impact le plus important.

4. Auditer les six événements qui conduisent à la délivrance ou au rétablissement d’un accès. Arrivée d’un nouveau collaborateur, remplacement d’un appareil, récupération via le service d’assistance, perte d’un identifiant, attribution d’un compte privilégié, modification d’un compte à haut risque. Il faut comparer le niveau de preuve exigé à chacune de ces étapes : l’écart entre la première et la troisième est généralement révélateur.

5. Réévaluer le score de maturité au bout de six mois et comparer les dates. C’est le différentiel, et non l’étiquette apposée, qui constitue le véritable programme.

Et une question à poser à tout fournisseur

« Lorsque le niveau de risque évolue au cours d’une session, qu’est-ce qui est réellement re-vérifié : la personne, l’appareil ou uniquement le token ? »

Une identité de confiance. Des accès sécurisés partout.

SOURCES:
Blount, J. A., Jr. (2021, June 8). Testimony before the U.S. Senate Committee on Homeland Security and Governmental Affairs: Threats to critical infrastructure – Examining the Colonial Pipeline cyber attack. https://www.hsgac.senate.gov/wp-content/uploads/imo/media/doc/Testimony-Blount-2021-06-08.pdf
Cybersecurity and Infrastructure Security Agency. (2023). Zero trust maturity model (Version 2.0). U.S. Department of Homeland Security. https://www.cisa.gov/sites/default/files/2023-04/zero_trust_maturity_model_v2_508.pdf
IDEMIA Public Security. (2025, November 20). IDEMIA Public Security expands collaboration with Microsoft as a launch partner of Microsoft Entra Verified ID. https://na.idemia.com/2025/11/20/idemia-public-security-expands-collaboration-with-microsoft-as-a-launch-partner-of-microsoft-entra-verified-id/
Kindervag, J., & Farnum, M. (2024, July 31). 5 zero trust myths busted. Illumio. https://www.illumio.com/blog/5-zero-trust-myths-busted-by-john-kindervag-and-michael-farnum
National Cybersecurity Center of Excellence. (2025). Implementing a zero-trust architecture (NIST Special Publication 1800-35). National Institute of Standards and Technology. https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture
National Institute of Standards and Technology. (2020). Zero trust architecture (NIST Special Publication 800-207). https://doi.org/10.6028/NIST.SP.800-207
Snabe, J. H. (2018, January 24). Remarks during « Securing a common future in cyberspace » [Panel]. World Economic Forum Annual Meeting, Davos, Switzerland. https://www.weforum.org/videos/securing-a-common-future-in-cyberspace-3e0cd313d2
Turton, W., & Mehrotra, K. (2021, June 4). Hackers breached Colonial Pipeline using compromised password. Bloomberg. https://www.bloomberg.com/news/articles/2021-06-04/hackers-breached-colonial-pipeline-using-compromised-password
Uber. (2022, September 19). Security update. Uber Newsroom. https://www.uber.com/us/en/newsroom/security-update/
Ward, R., & Beyer, B. (2014). BeyondCorp: A new approach to enterprise security. ;login: 39(6), 6–11. https://www.usenix.org/publications/login/dec14