Le VPN d’entreprise a rendu service pendant vingt ans. Il reposait sur une idée simple : à l’intérieur du réseau, on fait confiance ; à l’extérieur, non. Cette frontière n’existe plus. Les applications sont dans le cloud, les collaborateurs travaillent depuis chez eux, les prestataires se connectent avec leurs propres machines. Le périmètre à défendre s’est dissous.
Ce que le modèle Zero Trust change réellement
Zero Trust n’est pas un produit qu’on achète, c’est un principe : aucune connexion n’est fiable par défaut, quelle que soit sa provenance. Chaque accès est évalué au moment où il se produit, en fonction de trois éléments. Qui demande l’accès, avec quel niveau d’authentification. Depuis quel appareil, et cet appareil est-il connu, à jour et chiffré. Vers quelle ressource, et cet utilisateur en a-t-il réellement besoin.
Concrètement, un commercial qui ouvre son CRM depuis un Mac géré par l’entreprise, à jour, avec authentification forte, passe sans friction. Le même commercial depuis un poste inconnu dans un aéroport se voit refuser l’accès ou demander une vérification supplémentaire. Le VPN, lui, ne faisait pas la différence : une fois le tunnel ouvert, tout était accessible.
Le vrai défaut du VPN
Le reproche principal n’est pas la lenteur, même si elle agace. C’est la latéralité. Un poste compromis connecté au VPN donne accès à l’ensemble du réseau interne, serveurs de fichiers compris. C’est précisément le chemin qu’empruntent la plupart des rançongiciels : une seule machine infectée, puis une progression silencieuse vers les partages et les sauvegardes.
Zero Trust supprime cette latéralité. Chaque ressource est protégée individuellement. Une compromission reste circonscrite à ce que l’utilisateur avait le droit de voir.
Une PME peut-elle s’y mettre ?
Oui, et souvent sans investissement supplémentaire. Une entreprise déjà équipée de Microsoft 365 dispose des briques nécessaires : Entra ID pour l’identité, l’accès conditionnel pour les règles, Intune ou un MDM tiers pour l’état des appareils. Côté Apple, Kandji ou Jamf remontent la conformité des Mac vers ces mêmes règles.
La bascule se fait progressivement. On commence par imposer l’authentification multifacteur, puis on exige un appareil géré pour accéder aux données sensibles, puis on restreint les accès par groupe métier. Chaque étape réduit la surface d’attaque sans bloquer personne, à condition d’être annoncée et testée sur un groupe pilote.
Le VPN ne disparaît pas pour autant du jour au lendemain. Il reste utile pour atteindre des équipements qui n’ont jamais été pensés pour le cloud : une baie de stockage, un automate, un serveur de licences. La bonne approche consiste à réduire son usage à ces cas résiduels plutôt qu’à en faire la porte d’entrée par défaut de toute l’entreprise.
Le point de vigilance
Zero Trust déplace la charge vers la gestion des identités et des appareils. Si l’annuaire est mal tenu, avec des comptes de collaborateurs partis toujours actifs et des droits accordés au fil de l’eau, le modèle ne protège rien. Le ménage préalable est indissociable du projet.
Pour une structure sans équipe informatique dédiée, cette gouvernance quotidienne est le vrai sujet. C’est ce que couvre un service managé Apple et Microsoft : tenir l’annuaire, maintenir les règles, surveiller les alertes. Des prestataires comme Macinwork opèrent ce socle pour des PME de dix à cent cinquante postes, en environnement mixte macOS et Windows.
