02. Cybersécurité
Zero Trust, segmentation et SASE en conditions réelles
Ce que coûte réellement la segmentation d’un réseau en production, comment on bascule sans interruption, et pourquoi la plupart des projets Zero Trust s’arrêtent après l’audit.
L’essentiel
- Segmenter un réseau en production suppose d’accepter de casser quelque chose ; tout le travail consiste à choisir quoi.
- La cartographie des flux réels précède la conception : le schéma officiel décrit rarement ce qui circule.
- Le mode observation avant le mode blocage est ce qui rend la bascule réversible.
- Le Zero Trust n’impose pas de tout remplacer : il impose de savoir qui accède à quoi.
La plupart des projets Zero Trust s’arrêtent après le rapport
Vous avez payé une cartographie, le rapport a été remis, et six mois plus tard rien n’a été coupé. La phase d’analyse est confortable, la bascule ne l’est pas : personne ne veut être celui qui coupe un flux le lundi matin. Le coût est engagé, le risque est inchangé.
Ce blocage n’est pas technique, il est organisationnel. Couper un flux suppose de savoir à quoi il sert, qui s’en plaindra, et sous quel délai on peut revenir en arrière. Sans ces trois réponses écrites, aucun responsable d’exploitation raisonnable n’autorise la bascule.
C’est pourquoi nous traitons la segmentation comme un projet d’exploitation et non comme un projet de sécurité. Les décisions se prennent avec les équipes applicatives, pas contre elles, et chaque étape dispose de sa fenêtre de retour arrière. Le calendrier est plus long que celui de la plupart des propositions, et c’est aussi pour cela que ces bascules aboutissent.
Segmenter sans interrompre le service, en quatre temps
Écoute passive des flux réels, définition des zones avec les équipes métier, application des règles en mode observation, puis bascule en mode blocage zone par zone. Les trois premiers temps ne coupent rien.
- L’écoute passive. On observe ce qui circule réellement, sur une durée qui couvre les cycles d’activité : fin de mois, clôture, sauvegardes nocturnes. Un flux rare est un flux qu’on coupe par erreur.
- La définition des zones. Elle se décide avec les responsables applicatifs, parce qu’eux seuls savent ce qui doit parler à quoi. Une zone dessinée depuis un schéma réseau produit des exceptions permanentes.
- Le mode observation. Les règles sont écrites et évaluées, mais ne bloquent rien. Les écarts remontent sans conséquence pour les utilisateurs.
- La bascule zone par zone. Une zone à la fois, avec un critère de succès et une fenêtre de retour arrière effectivement essayée, pas seulement documentée.
Ce que le Zero Trust impose vraiment
Il interdit la confiance implicite accordée à un utilisateur ou à un équipement du seul fait qu’il se trouve à l’intérieur du réseau. Cela suppose une identité vérifiable, une autorisation explicite par ressource et une journalisation exploitable. Cela n’impose pas de remplacer l’infrastructure existante.
Le contresens le plus répandu consiste à le confondre avec un produit. Aucun éditeur ne vend le Zero Trust : c’est un principe d’architecture que l’on applique avec les composants dont on dispose, en comblant les manques. Le second contresens est d’y voir un état à atteindre, alors que c’est une trajectoire.
La bonne question de départ n’est donc pas « comment devenir Zero Trust » mais « où la confiance implicite nous expose-t-elle le plus aujourd’hui », en commençant par les systèmes de paiement, les données sensibles et les accès d’administration.
Du VPN au SASE : ce qui change réellement
Un VPN ramène le trafic vers le centre de données avant de le laisser repartir, ce qui pénalise les applications infonuagiques et accorde souvent un accès large au réseau interne. Le SASE rapproche la sécurité de l’utilisateur et autorise par application plutôt que par tunnel.
La différence se voit sur deux points : la performance du travail hybride, puisqu’un utilisateur qui accède à une application infonuagique n’a aucune raison de transiter par le siège ; et le périmètre d’accès, puisqu’un tunnel ouvre généralement bien plus que ce dont l’utilisateur a besoin.
Ce n’est pas pour autant une réponse universelle : l’autorisation se déplaçant vers l’identité, une organisation dont les comptes sont mal tenus déplacerait son problème sans le résoudre. Nous le vérifions avant de recommander cette architecture.
Ce que nous observons sur le terrain
Ce que révèle systématiquement la cartographie
La cartographie des flux réels produit presque toujours trois surprises, et ce sont les mêmes d’une organisation à l’autre.
La première est le flux oublié : une application qui parle à un serveur que plus personne n’administre, héritée d’un projet clos depuis des années. La deuxième est l’accès d’un prestataire, permanent et plus large que nécessaire, dont l’existence n’apparaît dans aucun schéma. La troisième concerne les postes d’administration, régulièrement utilisés pour la bureautique courante, ce qui annule l’essentiel du bénéfice d’une segmentation. Tendances observées dans nos mandats, pas statistique.
Questions fréquentes
Faut-il remplacer notre infrastructure pour segmenter ?
Rarement en totalité. La segmentation s’appuie d’abord sur ce qui existe : commutateurs, pare-feu, contrôleurs d’accès, annuaire. Le travail consiste à en exploiter les capacités réelles, souvent sous-utilisées, et à repérer les rares points où un composant manque. Comme nous ne revendons aucune licence, cette conclusion ne nous rapporte rien.
Combien de temps dure un projet de segmentation ?
Cela dépend du nombre de zones, de la qualité de la documentation et de la disponibilité des équipes applicatives : nous ne l’annonçons pas à l’avance. Ce qui est constant, c’est le découpage : l’écoute couvre un cycle d’activité complet, et chaque bascule est suivie d’une période d’observation.
Comment prouver la conformité après une segmentation ?
Par la traçabilité des accès inter-zones, qui devient exploitable une fois les zones définies. C’est l’un des bénéfices les moins anticipés : un réseau plat ne permet pas de démontrer grand-chose, un réseau segmenté produit naturellement les preuves que demandent les auditeurs.
Peut-on segmenter un environnement industriel en production ?
Oui, mais la séquence diffère : on commence par l’inventaire des actifs connectés, car ces environnements comportent presque toujours des équipements inconnus du service informatique. Le mode observation y est plus long, et certaines bascules se planifient sur des fenêtres d’arrêt programmé.
Travaillez-vous avec nos équipes ou à leur place ?
Avec elles, par défaut. La segmentation produit des règles que quelqu’un devra maintenir pendant des années : si vos équipes n’ont pas participé aux arbitrages, elles hériteront d’un dispositif qu’elles n’oseront pas modifier.
Savoir si votre réseau est segmentable aujourd’hui
Un premier échange permet d’évaluer l’état de votre documentation, la maturité de votre gestion des identités, et par quelle zone il serait raisonnable de commencer.
Sources
- NIST SP 800-207, Zero Trust Architecture · définition de référence du modèle
- Centre canadien pour la cybersécurité · orientations sur la segmentation et le contrôle d’accès
- CIS Critical Security Controls · contrôles de référence, dont l’inventaire des actifs
Pour aller plus loin
Réseau & connectivité
L’architecture sur laquelle repose toute segmentation.
Nos réalisations
Les interventions documentées, avec leurs contraintes réelles.
Fondations de sécurité TI
La déclinaison de ces principes à l’échelle d’une PME.
Votre infrastructure est-elle prête pour la prochaine menace ?
Un appel de découverte, sans engagement, pour comprendre votre réalité avant de recommander quoi que ce soit.