ZTA – Zero Trust Architecture

1. Définition

ZTA signifie "Zero Trust Architecture", en français "Architecture à Confiance Zéro".

C’est un modèle de cybersécurité basé sur le principe que rien ni personne ne doit être automatiquement confiance, même à l’intérieur du réseau de l’entreprise. Chaque accès doit être continuellement vérifié et autorisé.

2. Objectif

L’objectif du ZTA est de :

• Réduire les risques de compromission en supprimant la confiance implicite dans les réseaux internes.

• Assurer un contrôle strict des accès, peu importe l’origine (interne ou externe).

• Limiter la surface d’attaque et les mouvements latéraux en cas d’intrusion.

3. Principes clés

• Vérification continue : chaque demande d’accès est authentifiée et autorisée en temps réel.

• Moindre privilège : les utilisateurs et systèmes n’obtiennent que les accès nécessaires pour leurs tâches.

• Micro-segmentation : segmentation fine du réseau pour isoler les ressources.

• Visibilité et analyse : surveillance constante des comportements et des accès.

• Assurance du device : évaluation de la sécurité de l’appareil avant d’accorder l’accès.

4. Fonctionnement

• Lorsqu’un utilisateur ou une application demande l’accès à une ressource, plusieurs vérifications sont effectuées (identité, contexte, posture de sécurité).

• L’accès est accordé uniquement si toutes les conditions sont satisfaites.

• Tout accès est limité dans le temps et dans l’étendue (ex : accès à un seul service).

• Les activités sont surveillées pour détecter les comportements anormaux.

5. Avantages

• Renforce la sécurité globale en supprimant la confiance par défaut.

• Réduit les risques liés aux comptes compromis ou aux menaces internes.

• Améliore la gestion des accès dans un environnement de travail hybride (télétravail, cloud).

• Facilite la conformité avec les normes et réglementations.

6. Limites

• Mise en œuvre complexe et nécessitant une transformation organisationnelle.

• Peut impacter la performance si mal configuré.

• Nécessite des outils et une infrastructure adaptés.

• Besoin d’une gestion continue et d’une culture de sécurité forte.

7. Exemple concret

Un employé en télétravail tente d’accéder à une application interne.

Le système vérifie son identité, l’état de son appareil (antivirus, patchs), sa localisation, et la politique d’accès.

Si tout est conforme, l’accès est autorisé pour une durée limitée et à des fonctionnalités précises.

8. Résumé