Zero Trust pour une PME : par où commencer sans tout reconstruire

Le Zero Trust se résume en une phrase : ne jamais faire confiance par défaut, toujours vérifier. Ni à un utilisateur parce qu’il est au bureau, ni à un poste parce qu’il est sur le réseau interne, ni à une application parce qu’elle a fonctionné hier. Le terme fait peur aux dirigeants de PME, parce qu’il est souvent vendu comme un grand programme de transformation. En réalité, il se met en œuvre en cinq chantiers successifs, sans remplacer l’existant, et en s’appuyant largement sur des outils que l’entreprise possède déjà. Voici l’ordre que nous suivons, ce que chaque chantier change, et les erreurs qui font perdre du temps.

Pourquoi le périmètre ne protège plus

Le modèle classique, un pare-feu à l’entrée et une confiance totale à l’intérieur, date d’une époque où tout vivait dans les murs. Aujourd’hui, la messagerie et les fichiers sont dans Microsoft 365, les collaborateurs travaillent depuis chez eux ou chez un client, les prestataires se connectent à distance, et un seul mot de passe volé par hameçonnage donne accès à tout. Les attaques par ransomware que nous décrivons dans ransomware : 7 mesures pour une PME exploitent presque toutes cette confiance implicite : une fois à l’intérieur, l’attaquant circule librement jusqu’aux serveurs et aux sauvegardes.

Le Zero Trust ne supprime pas le pare-feu. Il ajoute des contrôles à chaque étape : qui se connecte, depuis quel appareil, vers quelle ressource, et avec quels droits.

Les trois principes à retenir

• Vérifier explicitement : chaque connexion est évaluée selon l’identité, l’état du poste, le lieu et la sensibilité de la ressource.
• Donner le minimum de droits : un utilisateur accède à ce dont il a besoin pour travailler, pas à tout le réseau.
• Supposer la compromission : on organise le système pour qu’un poste infecté ou un compte volé ne suffise pas à tout faire tomber.

Ces principes se traduisent en cinq chantiers, à mener dans l’ordre, parce que chacun s’appuie sur le précédent.

Chantier 1. L’identité, avec MFA partout

L’identité est le nouveau périmètre. La double authentification sur chaque compte, sans exception pour la direction, bloque à elle seule la grande majorité des compromissions de comptes. Priorité aux comptes administrateurs, à la messagerie, au VPN et aux consoles d’administration (pare-feu, sauvegarde, hébergement). Nous détaillons le déploiement dans notre guide MFA en entreprise.

Trois compléments indispensables :

• un gestionnaire de mots de passe d’entreprise, pour que chaque compte ait un mot de passe unique ;
• la suppression des comptes partagés (« compta@ », « accueil@ » utilisés avec un mot de passe connu de tous), remplacés par des boîtes partagées ou des accès nominatifs ;
• la désactivation des anciens protocoles de messagerie qui contournent le MFA.

Chantier 2. Des postes conformes, ou pas d’accès

Un poste sans protection à jour, sans chiffrement de disque ou sans les derniers correctifs ne devrait pas accéder aux données de l’entreprise. Un EDR remplace l’antivirus classique : il détecte les comportements suspects et remonte l’état de chaque machine (voir EDR ou antivirus pour une PME).

Avec Microsoft Intune, inclus dans Business Premium, chaque poste est inscrit, configuré de la même façon et déclaré « conforme » ou non selon des règles simples : disque chiffré, système à jour, pare-feu local actif, EDR présent. C’est cette conformité qui servira de condition d’accès au chantier suivant. Les téléphones qui lisent la messagerie professionnelle entrent aussi dans le périmètre, au minimum avec une protection des applications.

Chantier 3. Les accès conditionnels

Une fois l’identité et les postes maîtrisés, les règles d’accès conditionnel de Microsoft 365 décident au cas par cas. Quelques exemples de règles que nous posons presque toujours :

• connexion depuis un pays où l’entreprise n’a aucune activité : bloquée ;
• poste non géré : accès en lecture seule depuis le navigateur, sans téléchargement ;
• administration du tenant : MFA exigé à chaque connexion, depuis un poste conforme uniquement ;
• anciens protocoles d’authentification : bloqués pour tous.

Ces règles sont incluses dans la licence Business Premium, comparée aux autres formules dans notre article sur les licences Microsoft 365. Elles se déploient d’abord en mode « rapport seul », pour mesurer leur effet avant de les appliquer, puis s’activent sans surprise pour les utilisateurs.

Chantier 4. Segmenter le réseau

Le réseau interne n’a plus à être une zone de confiance unique. Sur un pare-feu FortiGate ou WatchGuard, séparer les postes, les serveurs, la téléphonie, les imprimantes, les caméras et le WiFi invité en réseaux distincts, avec des règles explicites entre eux, empêche un ransomware présent sur un poste d’atteindre les serveurs et les sauvegardes. Les caméras et imprimantes, rarement mises à jour, n’ont par exemple aucune raison de joindre le serveur de fichiers.

C’est le chantier le plus technique, et celui qui limite le plus les dégâts le jour J. Il se prépare avec une cartographie des flux : qui doit parler à qui, sur quels ports. Les réglages de base à vérifier sur le pare-feu sont détaillés dans les 10 réglages de sécurité d’un FortiGate.

Chantier 5. Accès distant sans VPN ouvert

Le VPN traditionnel donne accès à tout le réseau une fois connecté. Le ZTNA (Zero Trust Network Access), disponible sur FortiGate et proposé par WatchGuard, n’ouvre que l’application demandée, après vérification de l’identité et de l’état du poste. Un prestataire qui maintient un logiciel métier n’accède qu’à ce serveur, et seulement pendant la durée prévue. Ce chantier supprime une porte d’entrée classique des attaquants : le portail VPN exposé sur internet.

Dans quel ordre, et avec quel effort

Chantier	Ce qu’il bloque	Prérequis	Effort pour les utilisateurs
MFA et gestionnaire de mots de passe	Mot de passe volé ou réutilisé	Inventaire des comptes	Faible
EDR et conformité des postes	Poste infecté ou non à jour	Inventaire du parc	Nul
Accès conditionnels	Connexion anormale, poste non géré	Chantiers 1 et 2	Faible
Segmentation réseau	Propagation d’un poste aux serveurs	Cartographie des flux	Nul
ZTNA	Accès distant trop large	Chantiers 1 et 2	Faible

La durée totale dépend du nombre de postes, de sites et d’applications métier, et de l’état de départ du parc. Aucun de ces chantiers n’impose d’arrêter l’activité : ils se déploient par groupes d’utilisateurs, en commençant par un pilote.

Les erreurs les plus fréquentes

• Acheter un produit « Zero Trust » avant d’avoir activé le MFA partout.
• Exempter la direction du MFA ou des accès conditionnels « pour ne pas la gêner », alors que ses comptes sont les plus ciblés.
• Activer les accès conditionnels directement en blocage, sans période en mode rapport, et verrouiller des utilisateurs légitimes.
• Oublier un compte administrateur de secours, protégé et exclu des règles, en cas d’erreur de configuration.
• Segmenter le réseau sans cartographier les flux, puis ouvrir des règles « tout autorisé » pour dépanner.
• Garder le VPN ouvert à tous après la mise en place du ZTNA.

Comment nous le mettons en œuvre

Nous commençons par un état des lieux : comptes et droits, licences Microsoft 365, état des postes, configuration du pare-feu, accès distants. L’audit initial est offert. Nous en tirons une feuille de route par chantier, avec les prérequis et les points de décision pour la direction.

Le déploiement se fait par vagues : un groupe pilote, puis le reste de l’entreprise, avec une communication courte aux équipes à chaque étape. Une fois en place, la supervision 24/7 suit les alertes de l’EDR, les connexions bloquées et les tentatives anormales, et un incident critique est pris en charge en moins de 15 minutes. Des exemples de projets menés sont présentés sur notre page réalisations.

Checklist pour démarrer

• La liste de tous les comptes, y compris administrateurs et comptes de service, est-elle à jour ?
• Le MFA est-il actif sur la messagerie, le VPN et chaque compte administrateur ?
• Existe-t-il encore des comptes partagés avec un mot de passe connu de plusieurs personnes ?
• Chaque poste est-il chiffré, à jour et couvert par un EDR dont quelqu’un lit les alertes ?
• Vos licences Microsoft 365 incluent-elles les accès conditionnels et Intune ?
• Le réseau sépare-t-il postes, serveurs, caméras, téléphonie et WiFi invité ?
• Les prestataires accèdent-ils à tout le réseau, ou seulement à ce dont ils ont besoin ?

Passer à l’action

Le Zero Trust n’est pas un produit, c’est une méthode : vérifier chaque accès et limiter chaque droit. Nous intégrons ces cinq chantiers dans notre offre cybersécurité entreprise, avec les pare-feu de nos partenaires et l’administration de Microsoft 365. Pour savoir par quel chantier commencer dans votre entreprise, contactez-nous : nous répondons sous 24 h ouvrées.