Zero Trust
Zero Trust = ne jamais faire confiance, toujours vérifier
Le Zero Trust est un modèle de sécurité selon lequel aucun utilisateur, appareil ou flux n'est considéré comme fiable par défaut, même lorsqu'il se trouve à l'intérieur du réseau de l'entreprise : chaque accès à une ressource doit être vérifié.
Il s'oppose au modèle du périmètre, où un pare-feu et un VPN protègent un réseau interne dans lequel tout le monde se fait confiance. Avec le télétravail et le cloud, ce périmètre n'existe plus vraiment. Le Zero Trust repose sur trois principes :
- vérifier explicitement l'identité, avec une authentification forte (MFA) ;
- tenir compte du contexte : appareil à jour, localisation, comportement inhabituel ;
- n'accorder que le strict nécessaire (moindre privilège).
Le modèle a été formalisé notamment par le NIST et popularisé par le projet BeyondCorp de Google. Il se met en œuvre par étapes, souvent avec des solutions d'accès réseau dites ZTNA (Zscaler, Cloudflare, Tailscale) qui remplacent progressivement les VPN.
Pourquoi ça compte quand on recrute
Le Zero Trust n'est pas un produit qu'on installe mais une démarche de plusieurs années, qui touche l'identité, le réseau, les postes de travail et les applications. Il se pilote au niveau d'un RSSI ou d'un architecte sécurité, et se met en œuvre avec des Cloud Security Engineers ou des ingénieurs réseau. Demandez au candidat par quoi il a commencé et ce qu'il a dû abandonner en route : un vrai praticien a des compromis à raconter.