Zero Trust : pourquoi le VPN seul est une négligence en 2026

Un scénario qui se répète régulièrement, sous une forme ou une autre, dans la Grande Région : un collaborateur en télétravail clique le matin sur un lien dans un e-mail apparemment interne. Son portable est connecté au réseau de l'entreprise par VPN — et cette seule connexion suffit. Quelques heures plus tard, les serveurs de fichiers sont chiffrés, l'ERP est à l'arrêt, la planification travaille avec Excel et le téléphone. Des jours d'arrêt, des dommages considérables — et le vrai problème n'était pas le clic. C'était l'architecture derrière.

Le problème : le VPN fait trop confiance

Le VPN était une bonne idée — pour 2010. Il ouvre un tunnel, et tout ce qui se trouve de l'autre côté est réputé « à l'intérieur ». À l'intérieur signifie : digne de confiance. À l'intérieur signifie : accès aux serveurs de fichiers, aux bases de données, à tous les systèmes internes. Or un attaquant moderne n'a besoin que d'un seul terminal compromis avec un tunnel actif — et il est dedans, avec tout ce que « dedans » veut dire. Le ransomware se déplace ensuite latéralement dans le réseau, parce qu'il le peut.

L'idée derrière Zero Trust : ne faire confiance à personne, toujours vérifier

Zero Trust n'est pas un produit, c'est une posture en trois phrases : personne n'obtient de confiance automatique — ni le collaborateur au bureau, ni le dirigeant à l'hôtel, ni le serveur dans son propre datacenter. Chaque accès est vérifié individuellement — qui demande, depuis quel appareil, dans quel état, vers quoi ? On part du principe que les attaquants sont déjà à l'intérieur — le réseau est donc construit pour qu'ils n'aillent pas plus loin. Cela semble paranoïaque. C'est la réponse réaliste au niveau de menace de 2026.

À quoi cela ressemble vraiment en PME

Vous n'avez pas besoin d'une pile de 14 outils de grand groupe. En PME, le Zero Trust repose le plus souvent sur trois piliers :

Pilier 1 : l'identité comme nouveau périmètre. Au lieu de « qui est dans le réseau », la question devient : « qui est la personne, depuis quel appareil, dans quel contexte ? » Concrètement : Microsoft Entra ID avec authentification multi-facteurs imposée à chaque connexion ; Conditional Access — une connexion depuis le Luxembourg à 9h00 est normale, depuis Singapour à 3h00 non ; des accès privilégiés limités dans le temps et soumis à un contrôle supplémentaire.

Pilier 2 : le terminal doit montrer patte blanche. L'appareil est la deuxième clé. Si le portable n'est pas à jour, sans EDR actif, ou s'il montre un comportement suspect, pas d'accès — quel que soit l'utilisateur. Brique typique : Microsoft Defender for Endpoint, combiné à des politiques de conformité des appareils et — si nécessaire — une UTM Securepoint comme deuxième ligne de défense sur site.

Pilier 3 : penser le réseau en zones. La mesure la plus exigeante mais la plus efficace : au lieu d'un réseau plat, des zones — comptabilité, production, invités, serveurs — qui ne communiquent entre elles que pour ce dont elles ont réellement besoin. Dans un réseau segmenté, le ransomware reste bloqué dans la première zone au lieu de chiffrer toute l'entreprise.

Une feuille de route réaliste

Voici l'introduction dans une PME typique à deux sites : Mois 1 — MFA pour tous, Conditional Access pour les applications critiques, inventaire « qui accède à quoi, au juste ? ». Mois 2–3 — déploiement de l'EDR, conformité des appareils imposée, nettoyage des anciens comptes admin. Mois 4–6 — segmentation du réseau, ZTNA pour les accès distants à la place du VPN, centralisation des journaux. Ensuite, lors de l'audit trimestriel, un coup d'œil au tableau de bord suffit souvent, au lieu d'une semaine de paperasse.

Quand commencer ?

Avant que l'appel n'arrive. Si aujourd'hui tout dépend encore d'un VPN et d'un admin de domaine qui a accès partout, vous êtes exactement ce que le Zero Trust veut remplacer. La bonne nouvelle : tout ne doit pas se faire d'un coup — mettre en place MFA et Conditional Access en quatre semaines réduit déjà sensiblement votre risque. Le reste vient par étapes.

Parlons-en 30 minutes

Le quick-check Zero Trust gratuit : pas un argumentaire de vente, mais une évaluation honnête de votre situation et des deux ou trois étapes les plus importantes pour votre entreprise. — 📞 +352 20 60 12 44 · 📧 mail@local-it-partner.lu