Livre blanc — Zero Trust : sécuriser l’entreprise distribuée

Livre blanc · Janvier 2026

Zero Trust : sécuriser l'entreprise distribuée

De la confiance implicite à la vérification continue

« On ne demande plus d'où vient la connexion — on demande qui la porte, sur quel appareil, vers quelle donnée, et ce qui se passe si elle ment. Tout ce livre tient dans ce déplacement de question. »

5 chantiers

1 intrusion

1 trimestre

Identités, postes, accès, cloisonnement, détection — ordonnés, avec leurs seuils de sortie

Disséquée étape par étape, avec le contrôle qui la coupe à chaque maillon

La feuille de route des 90 premiers jours, de l'inventaire des accès au premier périmètre verrouillé

Pour les directions générales, DSI et RSSI de PME et d'ETI — avec une doctrine d'accès à copier, une grille d'exigences fournisseurs, un glossaire sans jargon et un auto-diagnostic en vingt questions.

Zero Trust

Sommaire

Avant-propos 03 La bascule — sept renversements de réflexe 04 Par où entrer, selon votre fonction 06 1 Le périmètre s'est dissous Où sont passés vos accès · Anatomie d'une intrusion moderne · La facture de la confiance implicite · Trois points de départ 07 2 Trois principes, zéro dogme Vérifier explicitement · Le moindre privilège · Supposer la brèche · De chaque principe à son exigence contractuelle 11 3 L'identité d'abord La double authentification qui résiste au phishing · Naissance, vie et mort d'un compte · Les privilèges, les comptes techniques et les prestataires 15 4 Postes, réseaux, données : réduire le rayon d'explosion Le poste sain comme condition d'entrée · Cloisonner ce qui fait mal · Le SaaS et la donnée qui voyage 19

5 Le chemin de déploiement Cinq chantiers ordonnés — inventorier, verrouiller les identités, conditionner les accès, cloisonner et détecter, faire vivre — chacun avec son seuil de sortie 23 6 Six manières d'échouer Le VPN repeint · La double authentification à trous · Le compte fantôme · L'exception éternelle · L'alerte sans lecteur · L'utilisateur qui contourne 28 7 Ce qui s'impose à vous — NIS2, assurance, IA offensive Le calendrier réglementaire · Ce que l'assureur exige déjà · Le phishing à l'ère des deepfakes 32 8 Le premier trimestre Trois tests pour situer le départ · La frise J1-J90 · Cinq nombres pour piloter · La feuille de route à afficher 36 Passer à l'exécution 40 Annexes — Grille fournisseurs, auto-diagnostic, glossaire 41

Le parti pris

On ne « passe » pas au Zero Trust comme on change de pare-feu. On retire la confiance implicite accès par accès, en commençant par ceux qui peuvent tuer l'entreprise — et chaque retrait se constate : un compte de moins, un privilège de moins, une minute de détection de moins.

Avant-propos Zero Trust

Avant-propos

Le mot de passe est tombé un vendredi soir — un courriel de fournisseur imité, un prestataire pressé, un compte « technique » que la double authentification n'avait jamais atteinte. Le temps d'un week-end, la connexion a franchi le VPN, circulé de serveur en serveur sur un réseau où tout le monde voit tout le monde, et trouvé les sauvegardes. Cette entreprise avait un pare-feu récent, un antivirus à jour, un audit rassurant. Rien de tout cela n'a pesé, car tout reposait sur une hypothèse que plus rien ne justifiait : à l'intérieur, on est entre nous. Il n'y a plus d'intérieur.

Le terme « Zero Trust » a quinze ans, et il a été abîmé par ceux qui l'ont mis sur toutes les plaquettes. Débarrassé du marketing, il désigne quelque chose de simple et d'exigeant : aucun accès n'est accordé parce qu'il vient « de l'intérieur » — chacun est vérifié explicitement, limité à ce dont il a besoin, et observé pendant qu'il s'exerce. Ce n'est ni un produit, ni une architecture réseau, ni un projet qu'on termine : c'est une discipline qui se déploie chantier par chantier, et dont chaque avancée se compte — en comptes protégés, en privilèges retirés, en minutes de détection gagnées.

Nous écrivons en tant que praticiens : nous concevons, déployons et exploitons des systèmes pour des PME et des ETI, et nous arrivons souvent après l'incident. Ce que nous y voyons ne ressemble pas aux plaquettes : les programmes de sécurité échouent rarement sur la technique — ils échouent sur un compte de prestataire oublié, une exception « provisoire » qui a fêté ses deux ans, un utilisateur qui s'est construit un chemin de traverse parce que le chemin officiel le ralentissait. Ce document s'attarde précisément là.

L'usage prévu. Chaque chapitre se suffit ; la page 6 vous oriente selon votre fonction. Pressé ? La bascule (p. 4-5), le chemin de déploiement (ch. 5) et le premier trimestre (ch. 8) forment un tout cohérent en dix pages. Et si vous ne deviez faire qu'une chose après cette lecture : l'inventaire des accès du chantier 1 — il tient en deux semaines et change la conversation.

Bonne lecture — et puissiez-vous ne jamais vivre le lundi matin de la première page.

Cédric Guittard

Anna Hoang

cedric.guittard@clarendis.com

anna.hoang@clarendis.com

pour l'équipe Clarendis — janvier 2026

La bascule Zero Trust

La bascule, en sept renversements

Le Zero Trust n'ajoute pas une couche : il renverse des réflexes installés depuis vingt ans. Sept bascules résument le programme — à gauche le réflexe hérité, à droite ce qui le remplace, et où ce livre l'outille.

→

On quittait

On installe

« La connexion vient du réseau interne, donc elle est légitime. »

Chaque accès prouve qui il est — identité forte, appareil connu, contexte cohérent — d'où qu'il vienne. (ch. 2, 3)

→

On quittait

On installe

« Le VPN protège le télétravail. »

L'accès applicatif, pas l'accès réseau : on ouvre une application à une identité, jamais tout le réseau à un tunnel. (ch. 4)

→

On quittait

On installe

« Les droits s'accumulent avec l'ancienneté — on ne retire jamais rien. »

Le moindre privilège avec date de péremption : tout droit a un propriétaire, une justification et une revue — l'accès dormant tombe de lui-même. (ch. 3)

→

On quittait

On installe

« L'incident est une hypothèse — on investit pour l'empêcher. »

La brèche comme hypothèse de travail : on conçoit chaque périmètre en se demandant ce qui se passe quand — pas si — un maillon cède. (ch. 2, 4)

La bascule Zero Trust

→

On quittait

On installe

« La sécurité est l'affaire de l'IT — les métiers subissent. »

Le contrôle conçu avec son parcours utilisateur : SSO avant double authentification, friction réservée au sensible — une sécurité qui gêne finit contournée, donc aveugle. (ch. 6)

→

On quittait

On installe

« La sécurité se prouve par l'audit annuel. »

Cinq nombres lus chaque mois : couverture de la double authentification, comptes dormants, délai de révocation, part des accès conditionnés, délai de détection. (ch. 8)

→

On quittait

On installe

« Le Zero Trust est un grand projet : budget, cabinet, deux ans. »

Cinq chantiers ordonnés, le premier en 90 jours : l'essentiel du risque tombe avec les identités et les accès — souvent avec les licences déjà payées. (ch. 5, 8)

Ce que nous ne vous dirons pas

Que le Zero Trust s'achète (aucun produit ne le contient), qu'il se termine (c'est un régime, pas une cure), ni qu'il faut tout refaire (la plupart des ETI possèdent déjà, dans leurs licences actuelles, la moitié des briques du chantier 2). Ce livre ne compare pas les éditeurs : il vous arme pour leur poser les bonnes questions — la grille de la page 41 est faite pour être posée sur la table.

La question qui ordonne tout le programme :si cette identité était compromise ce soir, que verrait l'attaquant, jusqu'où irait-il, et en combien de temps le saurions-nous ? Posée à chaque compte, chaque application, chaque prestataire, elle remplace avantageusement la plupart des comités d'architecture.

Par où entrer Zero Trust

Par où entrer, selon votre fonction

Personne ne lit un livre blanc de bout en bout un mardi. Voici le chemin le plus court vers ce qui vous engage — et l'action qui peut suivre dès cette semaine.

Direction générale

La bascule (p. 4-5) → ch. 1 → ch. 7 → ch. 8. Vous y trouverez ce que coûte la confiance implicite, ce que NIS2 et votre assureur exigent déjà, et les trois décisions qui ne peuvent venir que de vous.

40 minutes

Dès cette semaine : demandez le taux de couverture de la double authentification de l'entreprise — dirigeants et prestataires compris. La réponse (ou son absence) situe tout le reste.

DSI

Ch. 3 → ch. 4 → ch. 5. L'ordre des chantiers est le cœur de votre arbitrage budgétaire : identités avant réseau, accès conditionnel avant micro-segmentation — et ce qui se fait avec les licences que vous payez déjà.

Lecture intégrale utile ; ch. 3-5 en priorité

Dès cette semaine : listez les applications accessibles sans passer par votre SSO. C'est votre carte des angles morts.

RSSI / référent sécurité

Ch. 5 → ch. 6 → annexes. Les seuils de sortie des chantiers sont vos jalons de programme ; les six échecs types, votre revue mensuelle ; la grille fournisseurs, votre prochaine consultation.

Vos outils de travail : ch. 5, 6 et annexes

Dès cette semaine : comptez les exceptions de sécurité actives et leur âge médian. Au-delà de 90 jours, une exception est une règle qui ne dit pas son nom.

Vous sortez d'un incident

Anatomie d'une intrusion (p. 8) → chantiers 1-2 (p. 24-25) → auto-diagnostic (p. 42). Vous saurez quel maillon a cédé chez vous, ce qui l'aurait coupé, et dans quel ordre reconstruire — sans céder au réflexe du grand achat sous pression.

Le chemin d'urgence

Chapitre 1

Le périmètre s'est dissous

1

Où sont réellement vos accès aujourd'hui, comment se déroule une intrusion moderne maillon par maillon, ce que la confiance implicite coûte quand elle casse — et trois points de départ selon votre organisation.

1.1 Où sont passés vos accès

Faites l'exercice sur une feuille : d'un côté, ce qui vivait derrière votre pare-feu il y a dix ans — la messagerie, l'ERP, les fichiers, la paie. De l'autre, où chacun vit aujourd'hui. La messagerie est chez un hyperscaler, le CRM et la paie en SaaS, l'ERP accessible aux commerciaux depuis leur mobile, la comptabilité ouverte à l'expert-comptable, la GMAO au mainteneur, l'EDI aux fournisseurs. Ajoutez le télétravail deux jours par semaine et les ordinateurs portables qui dorment dans les trains : la majorité de vos connexions quotidiennes ne traverse plus jamais vos murs. Le pare-feu protège désormais une salle serveur — pas l'entreprise.

Ce déplacement ne s'est pas décidé : il s'est déposé, usage après usage, sans que le modèle de sécurité soit jamais remis sur la table. On a gardé l'architecture du château fort — un dedans sûr, un dehors hostile, un pont-levis — en vidant le château de ses habitants. Les attaquants l'ont compris avant les défenseurs : pourquoi forcer une muraille quand il suffit d'emprunter un badge ? Le phishing, la réutilisation de mots de passe et le vol de session ne sont pas des attaques techniques ; ce sont des attaques contre la confiance implicite.

Le renversement fondateur. Le périmètre défendable qui reste — le seul — c'est le point de rencontre entre une identité, un appareil et une ressource. C'est là que le Zero Trust place tous ses contrôles : non pas où passe la connexion, mais qui la porte, sur quoi, vers quoi, et dans quel état.

1

Chapitre 1 — Le périmètre s'est dissous Zero Trust

1.2 Anatomie d'une intrusion moderne — et le contrôle qui coupe chaque maillon

L'intrusion de l'avant-propos n'a rien d'exotique : c'est le scénario le plus documenté des rapports d'incident, celui que nous retrouvons dans la grande majorité des dossiers de réponse. Le lire maillon par maillon montre une chose que les organigrammes de produits cachent : chaque étape a un contrôle qui la coupe, et aucun de ces contrôles n'est un pare-feu.

#

Le maillon de l'attaque

Ce qui se passe

Ce qui l'aurait coupé

1

L'hameçonnage

Un courriel imite un fournisseur ; le prestataire saisit son mot de passe sur une fausse page

Double authentification résistante au phishing : le mot de passe volé ne suffit plus (ch. 3)

2

La connexion illégitime

Connexion à 23 h depuis un pays inhabituel, sur une machine inconnue — acceptée sans question

Accès conditionnel : contexte anormal = vérification renforcée ou refus (ch. 4)

3

L'entrée par le VPN

Le tunnel ouvre l'ensemble du réseau, pas une application : l'attaquant voit tout ce que voit le prestataire — et plus

Accès applicatif : une identité n'atteint que ses applications nommées (ch. 4)

4

Le déplacement latéral

De serveur en serveur sur un réseau plat, en réutilisant des identifiants d'administration trouvés en chemin

Cloisonnement + comptes d'administration séparés et éphémères (ch. 3, 4)

5

L'escalade silencieuse

Trois jours d'exploration sans bruit : personne ne lit les journaux, aucune alerte n'est branchée sur les connexions anormales

Supervision des identités : l'anomalie d'accès déclenche, quelqu'un répond (ch. 5)

6

Le chiffrement final

Les sauvegardes, accessibles depuis le réseau bureautique, sont chiffrées en premier — puis la production

Sauvegardes isolées et immuables, testées en restauration (ch. 4)

Lisez la colonne de droite comme un budget. Six contrôles, dont quatre relèvent de l'identité et des accès — pas du réseau. C'est tout l'ordre de bataille de ce document : les chapitres 3 à 5 remontent cette colonne, du plus rentable au plus structurant. Et remarquez ce qui n'y figure pas : aucun de ces six contrôles ne s'appelle « acheter un nouveau pare-feu ».

1

Chapitre 1 — Le périmètre s'est dissous Zero Trust

1.3 La facture de la confiance implicite

La confiance implicite ne coûte rien tant qu'elle tient — c'est sa perversité budgétaire : elle est gratuite jusqu'au jour où elle est ruineuse. Pour arbitrer entre « on continue comme ça » et un programme Zero Trust, il faut donc chiffrer l'événement, pas l'abonnement. La reconstitution ci-dessous suit un cas type d'ETI industrielle de 200 personnes frappée par le scénario de la page 8 — chaque poste se recalcule chez vous en une réunion avec le DAF :

Le coût d'un chiffrement réussi — ETI industrielle type, 200 personnes

Arrêt de production & carnet décalé (12 jours)

620 k€

Reconstruction du SI & réponse à incident

280 k€

Surprime d'assurance & clients perdus (3 ans)

210 k€

Reconstitution d'un cas type à partir de dossiers de réponse à incident — hors rançon, que nous déconseillons de payer et de budgéter. Vos chiffres différeront ; l'ordre de grandeur, rarement.

Face à cette colonne, le chantier qui coupe les maillons 1 à 4 — double authentification généralisée, cycle de vie des comptes, accès applicatif — se mesure en dizaines de milliers d'euros et en trimestres, pas en millions ni en années. Le Zero Trust n'est pas une dépense de plus dans le budget sécurité : c'est le remplacement d'un risque non assurable par un programme amortissable. C'est aussi, de plus en plus souvent, la condition d'obtention de la police d'assurance elle-même (ch. 7).

L'argument pour le comité : présentez les trois barres ci-dessus recalculées avec vos chiffres, à côté du coût du chantier 2 (souvent largement couvert par des licences déjà payées). La décision se prend d'elle-même — il ne reste qu'à la dater.

1

Chapitre 1 — Le périmètre s'est dissous Zero Trust

1.4 Trois points de départ — reconnaissez le vôtre

Les principes ne varient pas ; le premier geste, si. Trois situations couvrent l'essentiel de ce que nous rencontrons :

La PME sans référent sécurité

10-80 personnes

L'IT est portée par un prestataire ou un salarié polyvalent ; la sécurité, par personne. Tout est en SaaS ou presque — et c'est un avantage décisif : pas de dette réseau à défaire, des briques Zero Trust déjà incluses dans les abonnements existants.

Votre premier geste : activer la double authentification sur la messagerie et la suite bureautique — la semaine même —, puis dérouler le chantier 1 avec votre prestataire, contractualisé sur les seuils de ce document.

L'ETI au réseau historique

80-1 000 personnes

Un vrai SI, un annuaire ancien qui a sédimenté quinze ans de comptes et de droits, un VPN généreux, des applications métier qui ne connaissent pas le SSO — et souvent un site industriel où l'informatique de production complique tout. C'est le cœur de cible de ce document.

Votre premier geste : l'inventaire des accès (chantier 1) — vous découvrirez plus de comptes que de salariés, et c'est précisément le chiffre qui déclenche le programme.

Le groupe multi-entités

1 000+ personnes, filiales, rachats

Plusieurs annuaires, des niveaux de maturité disparates hérités des acquisitions, des interconnexions réseau tissées au fil des rachats. Le risque dominant : la filiale la moins protégée sert de porte d'entrée vers toutes les autres.

Votre premier geste : traiter chaque interconnexion inter-entités comme un accès externe — vérifié, limité, observé — et imposer le socle du chantier 2 comme standard de groupe, y compris aux nouvelles acquisitions dès le closing.

Ce que les trois ont en commun : le premier geste ne coûte presque rien et ne demande aucun achat. Le Zero Trust commence toujours par voir clair dans ses accès — jamais par un appel d'offres.

Chapitre 2

Trois principes, zéro dogme

2

Vérifier explicitement, accorder le moindre privilège, supposer la brèche : trois phrases faciles à réciter, difficiles à tenir. Ce chapitre les traduit en exigences vérifiables — celles qu'on écrit dans un contrat, un cahier des charges ou une revue trimestrielle.

2.1 Vérifier explicitement — la fin du bénéfice du doute

Le premier principe interdit une chose précise : accorder un accès sur la foi d'un signal hérité — l'adresse IP interne, le tunnel VPN établi, la session ouverte depuis mardi. À la place, chaque demande d'accès présente ses preuves au moment où elle se produit : une identité forte (la double authentification a eu lieu, récemment, par un facteur résistant au phishing), un appareil identifié et sain (connu de l'entreprise, chiffré, à jour), un contexte plausible (l'heure, le lieu, le comportement ne jurent pas avec l'historique). Trois preuves, réévaluées en continu — pas une fois à l'entrée.

L'objection classique — « on ne va pas re-authentifier les gens toutes les dix minutes » — confond vérification et friction. La vérification continue est silencieuse : les signaux se réévaluent en arrière-plan, et l'utilisateur n'est sollicité que quand quelque chose change — nouvel appareil, action sensible, comportement inhabituel. Bien réglé, le Zero Trust sollicite moins l'utilisateur légitime que l'ancien monde : le SSO a remplacé quinze mots de passe, et la session de confiance dure tant que rien ne bouge.

L'exigence qui en découle — à écrire telle quelle dans vos cahiers des charges : « Toute application accessible aux utilisateurs passe par l'annuaire central et le SSO ; toute authentification exige un second facteur résistant au phishing ; aucune liste blanche d'adresses IP ne vaut authentification. » Un fournisseur qui ne peut pas signer cette phrase n'est pas compatible avec votre programme.

2

Chapitre 2 — Trois principes, zéro dogme Zero Trust

2.2 Le moindre privilège — l'accès comme un prêt, jamais comme un don

Dans la plupart des organisations, les droits s'accordent à l'arrivée, s'ajoutent à chaque changement de poste et ne se retirent jamais : au bout de dix ans, le contrôleur de gestion devenu directeur commercial ouvre encore les dossiers de paie. Ce n'est la faute de personne — c'est la pente naturelle de tout système où accorder est un geste et retirer est un projet. Le moindre privilège inverse la pente : tout droit naît avec une justification, un propriétaire et une échéance, et c'est son maintien qui demande un geste — pas son retrait.

En pratique, trois mécanismes suffisent à tenir le principe sans créer une bureaucratie : des rôles plutôt que des droits individuels (on entre dans « comptable fournisseurs », on n'accumule pas quarante autorisations nominatives), la revue semestrielle par le responsable métier (trente minutes : chaque membre de son équipe, chaque rôle, garder ou retirer), et l'élévation à la demande pour l'administration (les droits d'administrateur s'empruntent pour une tâche et une durée, puis retombent — personne n'est administrateur « en permanence »).

Le gain n'est pas théorique. Reprenez le maillon 4 de la page 8 : le déplacement latéral vit des droits accumulés — chaque privilège dormant est un couloir de plus pour l'attaquant. Réduire les droits, c'est littéralement rétrécir le bâtiment qu'il peut visiter. C'est aussi le contrôle le moins cher du programme : retirer un droit ne coûte rien.

L'exigence qui en découle :« Tout droit d'accès a un propriétaire métier nommé et une date de revue ; tout droit non confirmé à sa revue tombe automatiquement ; les droits d'administration s'obtiennent à la demande, pour une durée bornée, et chaque élévation est journalisée. »

2

Chapitre 2 — Trois principes, zéro dogme Zero Trust

2.3 Supposer la brèche — concevoir pour le jour où ça casse

Le troisième principe est le plus contre-intuitif pour un comité de direction : on ne conçoit plus le système pour empêcher l'intrusion, on le conçoit aussi pour le jour où elle a réussi. Non par fatalisme, mais par arithmétique : il suffit d'un clic sur des milliers pour que le maillon 1 cède — l'hypothèse « personne ne se fera jamais avoir » perd à tous les coups. La question de conception devient : quand une identité ou un poste tombe, qu'est-ce que l'attaquant voit, jusqu'où va-t-il, en combien de temps le sait-on ?

Trois conséquences pratiques. Le rayon d'explosion se mesure : pour chaque poste de travail et chaque compte, on doit savoir dire ce qui est atteignable depuis lui — si la réponse est « à peu près tout », le chantier 4 est prioritaire. La détection est un contrôle de premier rang, pas un luxe : un journal que personne ne lit n'existe pas ; une alerte sans responsable nommé non plus. La restauration se répète : des sauvegardes isolées, immuables, et un exercice de restauration réel par an — pas une attestation du prestataire.

Ce principe a une vertu politique sous-estimée : il rend la sécurité discutable en comité. « Sommes-nous protégés ? » n'a pas de réponse honnête ; « combien de temps pour détecter une connexion anormale sur la paie ? » en a une, chiffrée, améliorable. Supposer la brèche, c'est remplacer une promesse invérifiable par des questions qui se mesurent.

L'exigence qui en découle :« Les sauvegardes sont inaccessibles depuis le réseau bureautique et testées en restauration au moins une fois par an ; toute connexion anormale sur un système sensible déclenche une alerte portée par un responsable nommé ; le rayon d'explosion des périmètres critiques est documenté et revu. »

Pourquoi trois principes et pas dix : tout le reste — SSO, accès conditionnel, segmentation, PAM, supervision — n'est que l'outillage de ces trois phrases. Quand un fournisseur vous présente un produit, demandez-lui lequel des trois principes il sert, et comment cela se mesurera chez vous. Le silence est une réponse.