Zero Trust Architecture NIST 800-207

conformite

Définition

L'architecture Zero Trust (ZTA, Zero Trust Architecture) est un paradigme de sécurité fondé sur le principe qu'aucune entité — utilisateur, appareil, application, service réseau — ne doit être implicitement approuvée, qu'elle soit à l'intérieur ou à l'extérieur du périmètre réseau traditionnel. Ce concept, formalisé par le NIST dans la publication SP 800-207 (Zero Trust Architecture, publiée en août 2020), représente une rupture avec le modèle de sécurité traditionnel basé sur la confiance implicite accordée aux entités à l'intérieur du périmètre réseau (modèle « castle-and-moat »). Le NIST SP 800-207 définit sept principes fondamentaux du Zero Trust. Toutes les ressources sont des sources de données et de services. Toutes les communications sont sécurisées quelle que soit la localisation réseau. L'accès aux ressources individuelles est accordé par session. L'accès aux ressources est déterminé par une politique dynamique (incluant l'identité, l'état de l'appareil, le comportement). L'organisation surveille et mesure l'intégrité et la posture de sécurité de tous les actifs. Toutes les authentifications et autorisations sont dynamiques et strictement appliquées avant l'accès. L'organisation collecte autant d'informations que possible sur l'état actuel des actifs pour améliorer sa posture de sécurité. Le modèle Zero Trust s'appuie sur plusieurs composants techniques : le Policy Decision Point (PDP) — le cerveau qui évalue les demandes d'accès selon les politiques définies, et le Policy Enforcement Point (PEP) — le gardien qui applique les décisions du PDP. Ces composants peuvent être implémentés via des solutions comme les SASE (Secure Access Service Edge), les solutions ZTNA (Zero Trust Network Access), les IAM avancés avec MFA et évaluation contextuelle, les EDR/XDR pour l'état des appareils, et les CASB (Cloud Access Security Broker). Le Zero Trust est devenu une priorité réglementaire et gouvernementale : aux États-Unis, l'Executive Order on Cybersecurity (mai 2021) impose aux agences fédérales l'adoption d'une stratégie Zero Trust d'ici 2024. En Europe, l'ENISA a publié des rapports sur le Zero Trust dans le contexte de NIS2 et la préparation à la future architecture de cybersécurité européenne. La mise en œuvre de Zero Trust est un voyage continu et non un projet avec une date de fin.

Les 7 principes Zero Trust selon NIST SP 800-207

Le NIST SP 800-207 (2020) formalise le Zero Trust en 7 principes : (1) Toutes les sources de données et les services de calcul sont des ressources ; (2) Toutes les communications sont sécurisées quel que soit l'emplacement réseau (MLS, TLS mutuel) ; (3) L'accès aux ressources individuelles est accordé par session (pas d'accès persistant) ; (4) L'accès est déterminé par une politique dynamique évaluant l'identité, l'état de l'appareil et le comportement ; (5) L'intégrité et la posture de sécurité de tous les actifs sont surveillées ; (6) L'authentification et l'autorisation sont strictement appliquées avant tout accès ; (7) L'organisation collecte des données pour améliorer sa posture de sécurité.

Ces principes impliquent l'abandon de la confiance implicite basée sur la localisation réseau (être dans le réseau d'entreprise ne suffit plus pour être « de confiance ») et son remplacement par une confiance explicite basée sur la vérification continue de l'identité, de l'état de l'appareil, du comportement et du contexte de la demande d'accès.

Composants techniques et implémentation

L'architecture Zero Trust s'implémente via plusieurs composants : Identity Provider (IdP) avec MFA forte pour l'authentification des utilisateurs, MDM/EMM pour la vérification de l'état des appareils (patchés, chiffrés, conformes), ZTNA (Zero Trust Network Access) pour remplacer les VPN traditionnels, microsegmentation réseau pour limiter les mouvements latéraux, CASB pour contrôler l'accès aux applications cloud, et SIEM/UEBA pour la surveillance comportementale continue.

Les solutions SASE (Secure Access Service Edge) proposées par les éditeurs (Zscaler, Palo Alto Prisma Access, Netskope, Cloudflare One, Cato Networks) intègrent plusieurs de ces composants dans une plateforme cloud unifiée, simplifiant l'adoption du Zero Trust, particulièrement pour les organisations avec de nombreux télétravaillant et des ressources cloud.

Zero Trust et conformité réglementaire

Le Zero Trust est de plus en plus référencé dans les cadres réglementaires : aux États-Unis, l'Executive Order 14028 (2021) impose le Zero Trust aux agences fédérales. NIS2 ne mentionne pas explicitement le Zero Trust mais ses exigences (contrôle des accès, microsegmentation, surveillance continue) sont naturellement alignées sur les principes Zero Trust.

En France, l'ANSSI intègre les principes Zero Trust dans ses recommandations pour les architectures SI sécurisées, notamment dans ses guides sur la sécurité des accès distants et la sécurisation des environnements cloud. La migration vers le Zero Trust est considérée comme une stratégie d'architecture cohérente avec les exigences NIS2 et les bonnes pratiques ANSSI.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis