La plupart des PME vivent dans un drôle d’entre deux. D’un côté, on a des usages ultra modernes. Cloud, SaaS, télétravail, prestataires, M365, parfois un bout d’ERP, un NAS qui traîne, des applis métiers accessibles depuis l’extérieur « juste pour dépanner ». Et de l’autre, on a une sécurité qui repose encore sur une idée simple, presque rassurante.
« Si je suis dans le réseau de l’entreprise, je suis digne de confiance. »
Le problème, c’est que ça ne colle plus du tout avec la réalité. Aujourd’hui, l’attaquant peut être déjà dedans. Ou bien il peut passer par un compte compromis, un poste infecté, un VPN mal configuré, un prestataire trop ouvert. Et une fois qu’il a un pied, il se déplace. Très vite.
Zero trust, à la base, c’est juste dire l’inverse. Personne n’est automatiquement digne de confiance, même « à l’intérieur ». Chaque demande d’accès est vérifiée, limitée, surveillée. Et surtout, si ça casse quelque part, ça ne doit pas donner accès à tout.
Sauf que… quand on est une PME, le mot « zero trust » fait peur. On imagine un projet à six chiffres, des consultants, une refonte totale, des outils partout.
On va faire plus simple. Beaucoup plus concret. Par où commencer vraiment, avec des priorités, des choix réalistes, et ce que vous pouvez mettre en place dès maintenant.
Le vrai objectif : réduire le rayon d’explosion
Avant de parler outils, parlons but. Le zero trust n’est pas une « solution ». C’est une stratégie, un ensemble de garde fous.
Le but, c’est :
- limiter ce qu’un compte compromis peut faire
- limiter jusqu’où un poste infecté peut se déplacer
- détecter plus tôt ce qui n’est pas normal
- et garder la main, même quand il y a un incident
Si vous avez déjà eu un ransomware en PME, ou même juste un gros incident, vous savez que la question n’est pas « est ce que ça va arriver ». C’est plutôt « quand, et à quel point ça va se propager ».
Les 5 idées de base du zero trust (version terrain)
Sans jargon inutile, on peut résumer comme ça :
- vérifier explicitement : on ne suppose pas, on vérifie l’identité, l’appareil, le contexte.
- accès minimal : chacun a seulement ce dont il a besoin, pas plus.
- supposer la compromission : on part du principe que quelque chose peut être infecté.
- segmenter : tout ne doit pas parler avec tout.
- journaliser et surveiller : sinon vous ne voyez rien venir.
On ne met pas ça en place en une semaine. Mais on peut commencer par des briques qui changent tout, même sans gros budget.
Je vous propose une approche « étapes courtes ». Parce que c’est là où ça marche le mieux. Vous faites des gains rapides, vous réduisez les risques, et ensuite vous affinez.
Les 30 premiers jours : l’identité, sinon rien
Le plus gros raccourci des attaquants aujourd’hui, c’est l’identité. Les mots de passe réutilisés, le phishing, les tokens, les boîtes mail. Donc on commence par là, même si ça ne fait pas « réseau », même si c’est moins sexy.
1) Activer le MFA partout où c’est possible, vraiment partout
- messagerie (M365, Google Workspace)
- VPN
- accès admin (firewall, hyperviseur, NAS, console cloud)
- outils RH, compta, CRM
- accès prestataires
Et pas « MFA par SMS si possible ». Le SMS, c’est mieux que rien, mais si vous pouvez, privilégiez une appli (TOTP) ou une clé FIDO2.
Astuce terrain : commencez par les comptes à risque. Admin, direction, finance, IT. Puis élargissez. L’erreur fréquente, c’est d’attendre d’avoir tout prêt pour tout le monde. Non. Faites une première vague.
2) Nettoyer les comptes : supprimer ce qui ne doit pas exister
Ça paraît basique, mais c’est souvent catastrophique en PME.
- comptes d’anciens salariés encore actifs
- comptes partagés (« compta@ », « atelier@ ») utilisés par 6 personnes
- comptes admin utilisés pour naviguer sur le web
- prestataires avec accès permanent alors qu’ils interviennent 2 fois par an
Objectif : un humain = un compte nominatif. Et les droits admin séparés.
3) Mettre en place un vrai modèle de rôles
Pas besoin d’un IAM complexe au début. Mais vous devez au moins avoir :
- un rôle « utilisateur standard »
- un rôle « support / technicien »
- un rôle « admin système »
- un rôle « admin sécurité / tenant »
Et des règles simples : on n’utilise pas un compte admin pour lire ses mails. Jamais.
4) Verrouiller l’accès à la messagerie
Parce que la messagerie, c’est la porte d’entrée numéro un.
- désactiver les protocoles hérités si présents (POP/IMAP legacy, auth basique)
- activer les alertes de connexion suspecte
- vérifier les règles de transfert automatique
- surveiller les créations de règles en boîte
Si vous êtes en environnement Microsoft, regardez aussi les paramètres d’accès conditionnel. Sans tomber dans l’usine à gaz. Mais un minimum.
Les 60 jours : les postes, parce que c’est là que ça tombe
Une fois l’identité mieux verrouillée, on s’attaque aux machines. C’est souvent le point faible invisible, parce que « ça marche ». Oui, jusqu’au jour où non.
5) Standardiser et patcher, sans discussion
Zero trust ou pas, si vos postes et serveurs sont en retard de patchs, vous jouez contre vous même.
- inventaire des machines (poste, serveur, VM, NAS, équipements réseau)
- cycles de mises à jour
- exceptions documentées (et temporaires)
- fin des systèmes hors support, ou isolement strict
C’est typiquement un sujet parfait pour un lab pédagogique. Sur BTS SIO2 SISR Tech Lab (https://sio1blog.blogspot.com/), ce genre de démarche « inventaire → durcissement → supervision » est exactement le quotidien qu’on veut apprendre à tenir propre.
6) Activer le chiffrement disque et protéger les secrets
- BitLocker ou équivalent, avec récupération maîtrisée
- coffre fort de mots de passe (même un bon gestionnaire, ça change tout)
- interdiction des mots de passe stockés dans des fichiers texte, oui ça existe encore
7) Mettre un EDR ou au minimum un antivirus correctement géré
Là, on peut débattre des marques, mais l’idée est simple : il faut une visibilité centralisée. Sinon vous ne savez pas quel poste a déclenché quoi.
Minimum acceptable :
- protection temps réel
- remontée centralisée
- alertes
- isolement possible (si EDR)
Et surtout, ne laissez pas ça « en local ». Un poste qui a un AV non à jour, ça arrive. Sans console, vous ne le voyez pas.
8) Retirer les droits admin locaux aux utilisateurs
Ça fait grincer des dents. Parce que certains outils métiers demandent des droits élevés, parce que « on a toujours fait comme ça ». Mais c’est une des mesures les plus rentables.
Stratégie réaliste :
- retirer admin local à 80 % des postes
- traiter les exceptions une par une
- fournir une méthode d’élévation contrôlée (compte admin séparé, JIT, outil d’élévation)
Les 90 jours : segmenter et contrôler les accès aux ressources
C’est là qu’on commence à ressembler à du zero trust « réseau », au sens où on arrête de tout laisser plat.
9) Segmenter le réseau, même un peu
En PME, on voit encore trop souvent : un LAN unique, un Wi Fi qui donne accès à tout, des imprimantes partout, des caméras IP au même endroit que les postes.
Commencez simple :
- VLAN utilisateurs
- VLAN serveurs
- VLAN invités / Wi Fi invité
- VLAN IoT (caméras, TV, badges, imprimantes)
- filtrage inter VLAN avec règles minimales
Objectif : si un poste utilisateur est compromis, il ne doit pas pouvoir scanner et attaquer tout le reste.
10) Limiter les accès admin aux seuls postes d’admin
Ça, c’est une mesure très zero trust, très efficace, et assez accessible.
Principe : l’administration (RDP, SSH, consoles web d’équipements) ne se fait que depuis des postes dédiés, durcis, et surveillés.
Même une PME peut le faire. Deux ou trois machines « postes admin » suffisent, avec une politique stricte.
11) Repenser le VPN : moins de réseau, plus d’applications
Le VPN traditionnel donne souvent accès à « le réseau ». C’est trop large.
Approche plus zero trust :
- accès par application quand possible
- accès conditionnel (MFA, conformité du poste, localisation)
- suppression des tunnels permanents
- journalisation des accès
Si vous ne pouvez pas sortir du VPN, réduisez au moins les routes et les droits. Un VPN full access, c’est un cadeau en cas de compromission.
Vouloir acheter un outil « zero trust » et penser que c’est fini
Zero trust n’est pas une licence. Vous pouvez acheter des briques, oui. Mais si vous ne faites pas l’hygiène de base (comptes, MFA, patching, segmentation), ça ne tient pas.
Tout faire en même temps, épuiser l’équipe, puis abandonner
Prenez des étapes courtes. Une mesure, un bénéfice, un contrôle. Puis la suivante.
Oublier les prestataires
Les accès prestataires sont souvent trop larges, trop permanents, et pas assez surveillés.
Règle simple :
- accès nominatif
- MFA obligatoire
- accès limité dans le temps
- traçabilité minimale
Ne pas journaliser
Sans logs, vous êtes aveugle. Et en incident, vous ne savez même pas ce qui s’est passé.
Minimum :
- logs d’authentification (tenant, VPN, firewall)
- logs EDR/AV centralisés
- logs serveurs critiques
- sauvegarde des journaux sur une durée raisonnable
Identité
- MFA sur messagerie, VPN, admin, SaaS
- comptes nominaux uniquement
- suppression des comptes inactifs
- comptes admin séparés
- accès conditionnel minimal (si possible)
Postes et serveurs
- inventaire à jour
- patch management en place
- chiffrement disque
- EDR ou antivirus centralisé
- pas d’admin local utilisateur (sauf exceptions maîtrisées)
Réseau et accès
- VLAN invités séparé
- VLAN IoT séparé
- filtrage inter VLAN
- accès admin depuis postes dédiés
- VPN réduit, journalisé, MFA obligatoire
Sauvegardes et reprise
Ce n’est pas « zero trust » au sens strict, mais c’est vital.
- règle 3 2 1
- copie hors ligne ou immuable
- tests de restauration
- comptes de sauvegarde protégés (MFA si possible, mots de passe forts, droits minimaux)
Je vais être volontairement sobre ici.
Indispensable en PME, dans 80 % des cas :
- un annuaire/identité propre (souvent Entra ID, ou AD + synchronisation)
- MFA
- un pare feu correctement configuré
- une solution de protection endpoint gérée
- une supervision minimale et des logs
- un système de sauvegarde sérieux
Le reste, vous le construisez après. NAC, ZTNA avancé, micro segmentation fine, PAM complet. Ce sont de bonnes briques, mais pas des prérequis absolus pour commencer.
Imaginez :
- un utilisateur clique sur une pièce jointe
- le poste est compromis
- l’attaquant récupère un token de session, tente de se connecter à la messagerie, puis de rebondir vers un serveur
Avec quelques mesures de base :
- le compte a le MFA, et une connexion anormale déclenche une alerte
- le poste n’a pas de droits admin local, l’élévation est limitée
- le réseau est segmenté, le poste ne voit pas les serveurs critiques
- l’accès admin ne se fait que depuis un poste d’admin, donc rebond compliqué
- l’EDR détecte un comportement suspect et isole la machine
Résultat : incident, oui. Mais pas catastrophe.
C’est ça, le zero trust en PME. Réduire le scénario catastrophe.
Si vous êtes étudiant, formateur, ou admin en mode « j’apprends en faisant », ce sujet est parfait pour des petits labs progressifs.
Quelques idées simples à transformer en TP :
- déployer MFA et tester des politiques d’accès conditionnel
- créer une OU « postes admin » et appliquer un durcissement
- simuler une segmentation VLAN et valider les flux nécessaires
- mettre en place une collecte de logs et créer 5 alertes utiles
- tester une restauration de sauvegarde sur une VM
Sur BTS SIO2 SISR Tech Lab (https://sio1blog.blogspot.com/), ce type de contenu a totalement sa place. Si vous tenez un parc, ou si vous apprenez à en tenir un, vous pouvez documenter vos étapes, vos erreurs, vos choix. Même un petit retour d’expérience sur « comment on a retiré admin local sans casser l’appli métier » vaut de l’or.
Le zero trust en PME, ce n’est pas une refonte totale du jour au lendemain. C’est une série de décisions pragmatiques.
Commencez par l’identité. Puis sécurisez les postes. Ensuite, segmentez et contrôlez les accès. Et tout au long, gardez de la visibilité.
Si vous devez retenir une phrase, juste une :
réduisez le rayon d’explosion, étape par étape.
Et quand vous aurez posé ces bases, là oui, vous pourrez dire que vous faites du zero trust. Pas parce que c’est à la mode, mais parce que ça change vraiment votre niveau de risque.
Questions fréquemment posées
Qu'est-ce que la stratégie Zero Trust et pourquoi est-elle essentielle pour les PME ?
La stratégie Zero Trust consiste à ne faire confiance à aucun utilisateur ou appareil automatiquement, même à l'intérieur du réseau de l'entreprise. Chaque demande d'accès est vérifiée, limitée et surveillée afin de réduire les risques liés aux comptes compromis ou aux postes infectés. Pour les PME, adopter cette approche est crucial car elle permet de limiter la propagation des attaques et de garder le contrôle en cas d'incident.
Quels sont les cinq principes fondamentaux du Zero Trust adaptés aux PME ?
Les cinq idées clés du Zero Trust sont : 1) Vérifier explicitement l'identité, l'appareil et le contexte ; 2) Appliquer le principe d'accès minimal, donnant uniquement les droits nécessaires ; 3) Supposer que des compromissions peuvent exister ; 4) Segmenter le réseau pour limiter les communications inutiles ; 5) Journaliser et surveiller toutes les activités pour détecter rapidement les anomalies.
Comment une PME peut-elle commencer à mettre en place une démarche Zero Trust sans gros budget ?
Il est conseillé d'adopter une approche par étapes courtes. Commencez par des actions simples mais efficaces comme activer la double authentification (MFA) sur tous les comptes sensibles, nettoyer les comptes inutilisés ou partagés, puis étendre progressivement ces mesures. Cette méthode permet des gains rapides en sécurité sans nécessiter une refonte totale ni un investissement massif.
Pourquoi faut-il prioriser la gestion des identités dans la mise en œuvre du Zero Trust ?
L'identité est la principale porte d'entrée des attaquants via des techniques comme le phishing ou la réutilisation de mots de passe. En sécurisant en priorité l'accès aux comptes critiques (direction, finance, IT) avec des outils comme le MFA robuste (applications TOTP ou clés FIDO2), on réduit considérablement le risque d'intrusion et on pose une base solide pour la suite de la démarche Zero Trust.
Quels sont les risques liés à la gestion inadéquate des comptes utilisateurs dans une PME ?
Une mauvaise gestion peut entraîner la présence de comptes d'anciens salariés toujours actifs ou l'utilisation excessive de comptes partagés accessibles par plusieurs personnes. Cela augmente considérablement le risque de compromission et complique la traçabilité des actions. Nettoyer régulièrement ces comptes est donc essentiel pour renforcer la sécurité globale.
Pourquoi le modèle traditionnel « confiance interne » ne suffit plus pour sécuriser une PME ?
Le modèle qui considère tout utilisateur ou appareil à l'intérieur du réseau comme digne de confiance ne correspond plus à la réalité actuelle où les attaquants peuvent déjà être présents dans le système via un compte compromis ou un VPN mal configuré. Ce modèle expose donc l'entreprise à des déplacements rapides d'attaquants internes, rendant indispensable une approche Zero Trust qui vérifie chaque accès indépendamment de sa provenance.
0 Commentaires