Dans cet article
Le Zero Trust repose sur une règle simple : être connecté au réseau de l'entreprise ne donne, en soi, accès à rien. Chaque demande est vérifiée : qui est la personne, depuis quel équipement elle se connecte et à quelle ressource elle veut accéder. Dans une PME de 10 à 200 postes, l'essentiel se met en place en trois mois environ, surtout avec des outils que l'entreprise paie déjà : Microsoft 365, pare-feu et équipements gérés. Ce n'est pas un produit qu'on achète, c'est une façon d'organiser les accès.
En résumé
- Principe Toujours vérifier, ne donner que le nécessaire, tout journaliser.
- Périmètre Quatre chantiers, dans cet ordre : identité, équipements, réseau et accès minimal.
- Délai Environ trois mois dans une entreprise de 10 à 200 postes.
- Raison Selon Verizon (2026), 55 % des violations de données dans les PME impliquaient des tiers et 45 % comportaient un facteur humain.
Du château à l'aéroport : le changement de modèle
Pendant des années, la sécurité des entreprises a imité un château : une muraille solide (le pare-feu) et une confiance totale envers ceux qui étaient à l'intérieur. Ce modèle ne fonctionne plus. Aujourd'hui, il y a le télétravail, Microsoft 365 dans le cloud, les smartphones et des fournisseurs avec accès à distance. Et la plupart des attaques ne font pas tomber la muraille : elles entrent avec le mot de passe de quelqu'un.
Un aéroport fonctionne autrement. Entrer dans le terminal ne suffit pas pour embarquer : la carte d'embarquement est contrôlée au poste de sécurité, de nouveau à la porte, et ne donne accès qu'à un avion et à un siège. Le Zero Trust applique la même logique aux systèmes de l'entreprise.
Pour la direction, le gain est concret : si un mot de passe est volé ou un ordinateur portable infecté, les dégâts restent limités à une personne et à une partie des systèmes, et non à toute l'entreprise.
Pourquoi on ne peut plus attendre
Le rapport 2026 de Verizon sur les violations de données indique que, dans les PME, 55 % des violations analysées impliquaient des tiers (fournisseurs, partenaires, prestataires) et 45 % comportaient un élément humain : un clic, une erreur, un mot de passe réutilisé. Aucun pare-feu périmétrique ne règle cela à lui seul.
La directive européenne NIS2 exige, parmi les mesures de gestion des risques, le contrôle des accès, la gestion des actifs et l'authentification multifacteur. Elle ne parle pas de Zero Trust, mais les quatre chantiers couvrent une grande partie de ce travail technique. Si votre entreprise est concernée, consultez le guide NIS2 pour les PME.
Les quatre chantiers d'un Zero Trust réaliste
1. Les comptes : l'identité comme première barrière
- MFA partout En commençant par Microsoft 365 et les administrateurs.
- Départs traités le jour même Comptes des anciens collaborateurs désactivés le jour de leur départ.
- Peu d'administrateurs Deux ou trois personnes identifiées, avec des comptes séparés pour les tâches d'administration.
- Pas de comptes partagés Fini les « contact@ » ou « boutique1 » pour se connecter aux systèmes.
C'est le chantier au meilleur retour : un mot de passe obtenu par phishing ne suffit plus. Avec la plupart des licences Microsoft 365, il n'y a aucun coût supplémentaire ; l'effort est d'ordre organisationnel. Plus de détails dans l'authentification multifacteur en entreprise et les gestionnaires de mots de passe pour les équipes.
2. Les équipements : savoir ce qui existe et dans quel état
- Inventaire Tous les ordinateurs et smartphones ayant accès aux données de l'entreprise.
- Protection et mises à jour Actives sur tous.
- Accès conditionnel Dans Microsoft 365, seuls les équipements conformes accèdent aux données.
Les équipements qui ne sont plus pris en charge sont la première correction, comme Windows 10 depuis le 14 octobre 2025. Voir que faire face à la fin du support de Windows 10.
3. Le réseau : des zones séparées et un pare-feu qui arbitre
Le réseau cesse d'être un espace unique. Postes, serveurs, invités, imprimantes et caméras se trouvent dans des zones distinctes, et le pare-feu géré décide de ce qui circule entre elles. Un ordinateur infecté reste confiné dans sa zone et ne parvient pas à chiffrer serveurs et sauvegardes. Avec des switches administrables et un pare-feu géré, c'est de la configuration, pas un achat.
4. L'accès minimal : chacun n'accède qu'à ce dont il a besoin
- Autorisations revues Dossiers partagés, SharePoint et Teams.
- Pas d'administration locale Utilisateurs sans droits d'administrateur sur leur propre ordinateur.
- Accès à distance par application Au lieu d'un accès à tout le réseau, comme nous l'expliquons dans pourquoi le VPN ne suffit plus.
C'est le chantier le plus laborieux, car il touche aux habitudes, et c'est pourquoi il vient en dernier. Il est devenu urgent avec Copilot et d'autres outils d'IA, qui montrent à chacun tout ce qu'il peut ouvrir. Lisez les règles à fixer avant ChatGPT et Copilot.
Calendrier sur 90 jours
Délais pour une entreprise de 10 à 200 postes, avec un partenaire IT dédié et une direction impliquée :
| Période | Travaux | Responsables | Impact sur l'équipe |
|---|---|---|---|
| Mois 1 | MFA sur tous les comptes ; nettoyage des anciens comptes et des administrateurs ; inventaire des équipements | La direction approuve ; l'IT exécute | Confirmation sur le téléphone à l'ouverture de session |
| Mois 2 | Protection et mises à jour sur tous les équipements ; accès conditionnel dans Microsoft 365 ; plan de remplacement des équipements non pris en charge | L'IT exécute ; la direction financière approuve les remplacements | Les équipements personnels ne peuvent plus télécharger de données |
| Mois 3 | Réseau segmenté ; réseau invités isolé ; VPN restreint et comptes individuels pour les fournisseurs | L'IT exécute lors d'une intervention planifiée | Presque aucun ; bien fait, c'est invisible |
| Ensuite | Revue trimestrielle des autorisations ; retrait des droits d'administrateur ; transition progressive vers l'accès par application | Les managers valident ; l'IT applique | L'installation de logiciels passe par l'IT |
Ce qui reste volontairement hors du plan
Il existe des solutions Zero Trust avancées : analyse comportementale des utilisateurs, segmentation par application, vérification continue de l'état de chaque équipement. Dans la plupart des PME, elles coûtent cher et apportent peu tant que les quatre chantiers de base ne sont pas réalisés.
L'ordre compte. Le MFA sans segmentation protège les comptes, mais pas le réseau ; la segmentation sans MFA protège le réseau, mais pas les comptes.
En pratique : un parc Windows et Mac avec les mêmes règles
Dans le bureau lisboète de Reltio by SAP, éditeur américain de logiciels de données, DataRoad assure la maintenance permanente et la gestion du réseau : 125 points de réseau structuré, un pare-feu, trois switches et des points d'accès Wi-Fi Cisco Meraki, ainsi qu'un support spécialisé pour 35 équipements Dell et 40 MacBook Pro.
C'est l'illustration du deuxième chantier : un parc mixte où les règles doivent être identiques quel que soit le système. Avec un inventaire réalisé et un réseau géré depuis un point unique, appliquer le Zero Trust devient une question de méthode.
Questions fréquentes
Le Zero Trust est-il un produit ?
Non. C'est une façon de concevoir les accès. Certains produits aident, mais dans la plupart des PME, les quatre chantiers se réalisent avec Microsoft 365, le pare-feu et les équipements existants.
Le travail va-t-il être ralenti ?
Très peu, si la mise en œuvre est bien faite. Le MFA demande une confirmation sur le téléphone et l'accès conditionnel est imperceptible lorsque l'équipement respecte les règles. Le changement le plus visible est de ne plus pouvoir installer de programmes sans passer par l'IT, et c'est voulu.
Une entreprise de 15 postes en a-t-elle besoin ?
Le MFA et un réseau invités séparé ont du sens dans toute entreprise. Le contrôle des équipements et l'accès minimal prennent de l'importance avec la taille et la sensibilité des données.
La NIS2 impose-t-elle le Zero Trust ?
Elle n'emploie pas le terme, mais exige contrôle des accès, gestion des actifs et MFA. Les quatre chantiers couvrent une bonne partie de ce travail technique. DataRoad met en œuvre les mesures techniques ; l'analyse juridique relève d'un avocat.
Prochaine étape : un diagnostic Zero Trust en 10 jours ouvrés
Nous évaluons comptes, équipements, réseau et autorisations, vous indiquons où en est votre entreprise et vous remettons le plan des trois mois suivants. La cybersécurité gérée (pare-feu, protection des équipements, MFA et alertes) est incluse dans IT Unlimited Premium. Demandez une proposition sans engagement. Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone.
