Lexique · Sécurité des données
Zero Trust
Modèle de sécurité qui n'accorde aucune confiance implicite à un utilisateur, un appareil ou un système du seul fait de sa position sur le réseau : chaque demande d'accès est authentifiée et autorisée avant l'ouverture d'une session vers une ressource. Il est formalisé par le NIST (SP 800-207) et détaillé par l'ANSSI.
Ce que ça change pour une organisation
Le zero trust déplace la protection du périmètre réseau vers les utilisateurs, les appareils et les ressources. Selon le NIST (SP 800-207), aucune confiance implicite n’est accordée à un actif ou à un compte en raison de sa localisation sur le réseau ou de son appartenance à l’organisation ; l’authentification et l’autorisation, de l’utilisateur comme de l’appareil, sont des étapes distinctes menées avant l’ouverture d’une session vers une ressource. Ce modèle répond aux usages qui débordent du réseau interne : télétravail, appareils personnels, services cloud.
L’ANSSI, dans sa publication de juin 2025, présente comme objectif principal la réduction de la confiance implicite accordée à celui qui demande l’accès au système d’information. Elle souligne que le zero trust partage de nombreux principes avec la défense périmétrique, qu’il complète sans la remplacer, et recommande de l’intégrer à une stratégie de défense en profondeur et de le mettre en œuvre progressivement.
Exemple
En 2014, Google a décrit dans la revue ;login: son approche BeyondCorp. Le constat de départ est qu’un attaquant ayant franchi le périmètre d’un réseau protégé par pare-feu accède relativement facilement à l’intranet privilégié ; l’entreprise a donc choisi de supprimer le besoin d’un tel intranet et de déplacer ses applications d’entreprise vers Internet. Cette démarche illustre l’abandon de la confiance accordée au simple fait d’être dans le réseau interne.
À ne pas confondre avec
- La défense périmétrique : elle protège l’entrée du réseau (pare-feu, VPN), alors que le zero trust vérifie chaque accès ; l’ANSSI les juge complémentaires.
- Un produit « zero trust » : des éditeurs commercialisent des solutions sous cette appellation, alors que l’ANSSI décrit un modèle à déployer progressivement dans une démarche de défense en profondeur.
