02. Cybersécurité
Zero Trust, segmentation et SASE en conditions réelles
Ce que coûte réellement la segmentation d'un réseau en production, comment on bascule sans interruption, et pourquoi la plupart des projets Zero Trust s'arrêtent après l'audit.
L'essentiel
- Segmenter un réseau en production suppose d'accepter de casser quelque chose ; tout le travail consiste à choisir quoi.
- La cartographie des flux réels précède la conception : un schéma d'architecture officiel décrit rarement ce qui circule.
- Le mode observation avant le mode blocage est ce qui rend la bascule réversible.
- Le Zero Trust n'impose pas de tout remplacer : il impose de savoir qui accède à quoi, et de le vérifier.
Pourquoi la plupart des projets Zero Trust s'arrêtent après l'audit
Parce que la phase d'analyse est confortable et la bascule ne l'est pas. La cartographie est produite, le rapport est remis, et personne ne veut être celui qui coupe un flux le lundi matin. Le projet reste alors au stade documentaire, avec un coût engagé et aucune réduction de risque.
Ce blocage n'est pas technique, il est organisationnel. Couper un flux suppose de savoir à quoi il sert, qui s'en plaindra, et sous quel délai on peut revenir en arrière. Sans ces trois réponses écrites, aucun responsable d'exploitation raisonnable n'autorise la bascule.
C'est pourquoi nous traitons la segmentation comme un projet d'exploitation, pas comme un projet de sécurité. Les décisions se prennent avec les équipes applicatives, pas contre elles, et chaque étape dispose de sa fenêtre de retour arrière.
La conséquence est un calendrier plus long qu'annoncé par la plupart des propositions. C'est aussi la raison pour laquelle nos bascules aboutissent.
Comment segmente-t-on sans interrompre le service ?
En quatre temps, dont trois sont réversibles. Écoute passive des flux réels, définition des zones avec les équipes métier, application des règles en mode observation, puis bascule en mode blocage zone par zone. À chaque palier, un critère de validation écrit et une fenêtre de retour arrière testée.
- L'écoute passive. On observe ce qui circule réellement, sur une durée qui couvre les cycles d'activité : fin de mois, clôture, sauvegardes nocturnes. Un flux rare est un flux qu'on coupe par erreur.
- La définition des zones. Elle se décide avec les responsables applicatifs, parce qu'eux seuls savent ce qui doit parler à quoi. Une zone dessinée depuis un schéma réseau produit des exceptions permanentes.
- Le mode observation. Les règles sont écrites et évaluées, mais ne bloquent rien. Les écarts remontent sans conséquence pour les utilisateurs, et se corrigent à froid.
- La bascule zone par zone. Une zone à la fois, avec un critère de succès et une fenêtre de retour arrière effectivement essayée : pas seulement documentée.
Qu'est-ce que le Zero Trust impose vraiment ?
De ne plus accorder de confiance implicite à un utilisateur ou à un équipement du seul fait qu'il se trouve à l'intérieur du réseau. Concrètement, cela suppose une identité vérifiable, une autorisation explicite par ressource, et une journalisation exploitable. Cela n'impose pas de remplacer l'infrastructure existante.
Le contresens le plus répandu consiste à confondre Zero Trust avec un produit. Aucun éditeur ne vend le Zero Trust : c'est un principe d'architecture que l'on applique avec les composants dont on dispose, en comblant les manques.
Le second contresens est de croire qu'il s'agit d'un état à atteindre. C'est une trajectoire : on réduit progressivement la confiance implicite, en commençant par les zones où elle coûte le plus cher : les systèmes de paiement, les données sensibles, les accès d'administration.
La bonne question de départ n'est donc pas « comment devenir Zero Trust » mais « où la confiance implicite nous expose-t-elle le plus aujourd'hui ».
SASE ou VPN : qu'est-ce qui change réellement ?
Un VPN ramène le trafic vers le centre de données avant de le laisser repartir, ce qui pénalise les applications infonuagiques et accorde souvent un accès large au réseau interne. Le SASE rapproche la sécurité de l'utilisateur et autorise par application plutôt que par tunnel. Le gain est autant opérationnel que sécuritaire.
La différence se voit surtout sur deux points. La performance du travail hybride, d'abord : un utilisateur qui accède à une application infonuagique n'a aucune raison de transiter par le siège. Le périmètre d'accès ensuite : un tunnel VPN ouvre généralement bien plus que ce dont l'utilisateur a besoin.
Le SASE n'est pas pour autant une réponse universelle. Il suppose une gestion des identités mature, parce que l'autorisation se déplace vers l'identité. Une organisation dont les comptes sont mal tenus déplacera son problème sans le résoudre.
C'est un point que nous vérifions avant de recommander cette architecture, et qui conduit parfois à traiter d'abord la gestion des identités.
Questions fréquentes
Rarement en totalité. La segmentation s'appuie d'abord sur ce qui existe : commutateurs, pare-feu, contrôleurs d'accès, annuaire. Le travail consiste à en exploiter les capacités réelles, souvent sous-utilisées, et à identifier les rares points où un composant manque. Nous établissons cet écart avant toute recommandation d'achat, et comme nous ne revendons aucune licence, cette conclusion ne nous rapporte rien.
Cela dépend du nombre de zones, de la qualité de la documentation existante et de la disponibilité des équipes applicatives : nous ne l'annonçons pas à l'avance. Ce qui est constant, c'est le découpage : la phase d'écoute doit couvrir un cycle d'activité complet, et chaque bascule de zone est suivie d'une période d'observation avant la suivante.
Par la traçabilité des accès inter-zones, qui devient exploitable une fois les zones définies. C'est d'ailleurs l'un des bénéfices les moins anticipés du chantier : un réseau plat ne permet pas de démontrer grand-chose, tandis qu'un réseau segmenté produit naturellement les preuves que demandent les auditeurs et les régulateurs.
Oui, mais la séquence diffère : on commence par l'inventaire des actifs connectés, car les environnements industriels comportent presque toujours des équipements inconnus du service informatique. Le mode observation y est plus long, et certaines bascules se planifient sur des fenêtres d'arrêt programmé. La réversibilité compte encore davantage qu'ailleurs.
Avec elles, par défaut. La segmentation produit des règles que quelqu'un devra maintenir pendant des années : si vos équipes n'ont pas participé aux arbitrages, elles hériteront d'un dispositif qu'elles n'oseront pas modifier. Le transfert de compétences fait partie du travail, pas d'une option en fin de projet.
Sources
- NIST SP 800-207, Zero Trust Architecture · définition de référence du modèle
- Centre canadien pour la cybersécurité · orientations sur la segmentation et le contrôle d'accès
- CIS Critical Security Controls · contrôles de référence, dont l'inventaire des actifs
Votre infrastructure est-elle prête pour la prochaine menace ?
Un diagnostic initial, sans engagement, pour évaluer votre posture de sécurité.