VPN classique ou Zero Trust : quelle architecture pour votre entreprise

Sur notre guide principal du VPN d'entreprise, nous mentionnons que le choix entre un VPN classique et une architecture Zero Trust a des conséquences directes en cas d'incident de sécurité. Cette page reprend cette distinction en détail, avec des exemples concrets adaptés à la taille de votre entreprise, pour vous permettre, en tant que dirigeant, de poser les bonnes questions à un prestataire sans avoir besoin d'être vous-même informaticien pour comprendre les enjeux.

Le modèle classique : une clé qui ouvre toutes les portes

Un VPN d'entreprise classique fonctionne sur un principe simple : une fois qu'un employé s'est authentifié avec succès, il obtient un accès à l'ensemble du réseau de l'entreprise, comme s'il branchait physiquement son ordinateur dans vos locaux. Ce modèle a l'avantage d'être simple à comprendre et rapide à déployer : une seule connexion, un accès global, aucune configuration supplémentaire à gérer poste par poste.

Le problème apparaît au moment où quelque chose tourne mal. Si les identifiants d'un seul employé sont dérobés — par un email de phishing convaincant, par exemple, ce qui arrive à des entreprises de toutes tailles chaque jour — la personne malveillante qui les utilise hérite du même accès large que cet employé légitime. Peu importe que cet employé travaille au service commercial et n'ait normalement aucune raison de consulter les fiches de paie ou les contrats en cours de négociation : le modèle classique ne fait pas cette distinction une fois la porte d'entrée franchie.

Le modèle Zero Trust : vérifier à chaque porte, pas seulement à l'entrée

L'architecture Zero Trust, parfois traduite par "confiance zéro" ou "vérification systématique", part d'un principe inverse : aucun accès n'est accordé par défaut, même à un employé déjà authentifié. Chaque tentative d'accès à une application ou à un fichier précis est vérifiée individuellement, en tenant compte de l'identité de la personne, de son rôle dans l'entreprise, de l'appareil qu'elle utilise, et parfois même de sa localisation habituelle.

Concrètement, cela signifie qu'un commercial dont les identifiants seraient compromis ne donnerait accès, dans le pire des cas, qu'aux outils commerciaux auxquels il a normalement droit — pas à la comptabilité, pas aux ressources humaines, pas aux serveurs de développement si votre entreprise en dispose. L'ampleur des dégâts possibles est mécaniquement limitée au périmètre légitime de la personne dont le compte a été compromis, plutôt qu'étendue à l'ensemble du réseau.

Ce que cela change en termes de responsabilité pour vous

En tant que dirigeant, vous n'avez pas nécessairement besoin de comprendre les détails techniques de cette architecture, mais vous devez en comprendre l'implication : en cas d'incident de sécurité touchant un seul poste de travail, l'architecture Zero Trust limite mécaniquement l'ampleur de la fuite de données potentielle, ce qui peut faire une différence considérable si vous devez ensuite en informer vos clients, votre assureur, ou une autorité de protection des données. Un incident circonscrit à un seul service se gère très différemment d'une fuite touchant l'ensemble du système d'information de l'entreprise, tant sur le plan de la remédiation technique que sur celui de votre communication de crise et de votre exposition juridique.

Pourquoi ce n'est pas qu'une question de taille d'entreprise

Une idée reçue voudrait que le Zero Trust soit réservé aux grandes structures avec un service informatique dédié. En réalité, le critère déterminant n'est pas la taille de l'entreprise mais la sensibilité des données traitées et le nombre de personnes ayant accès à des informations différenciées. Un cabinet de trois personnes qui traite des données médicales ou financières sensibles a potentiellement plus à perdre d'un accès non cloisonné qu'une entreprise de cinquante personnes dont l'essentiel des données est déjà public par nature. Évaluez votre besoin en fonction de ce que vous avez à protéger, pas uniquement en fonction du nombre de bureaux que vous occupez.

Le compromis en termes de complexité et de coût de mise en place

Le modèle Zero Trust n'est pas gratuit à mettre en place : il demande de définir précisément, dès le départ, qui a besoin d'accéder à quoi dans votre entreprise, ce qui suppose un travail de cartographie de vos accès que le modèle classique ne demande pas. Pour une petite structure avec peu d'outils internes distincts, ce travail peut sembler disproportionné par rapport au risque réel. Pour une structure qui gère plusieurs services aux besoins différenciés, cet investissement initial se rentabilise généralement dès le premier incident évité ou circonscrit, ce qu'un modèle classique n'aurait pas permis de limiter de la même façon.

Les questions à poser concrètement à un prestataire

Face à un commercial qui vous présente une solution VPN, quelques questions permettent de clarifier rapidement de quel modèle il s'agit réellement, au-delà du vocabulaire marketing qui utilise parfois le terme "Zero Trust" de façon approximative. Demandez si un employé authentifié obtient un accès unique à l'ensemble du réseau, ou si chaque application dispose de sa propre vérification d'accès. Demandez si vous pouvez définir des groupes d'utilisateurs avec des permissions différentes (commercial, comptabilité, direction) sans configuration technique lourde de votre côté. Demandez enfin ce qui se passerait concrètement, selon leur propre description, si les identifiants d'un employé étaient compromis demain : la réponse à cette question révèle souvent, mieux que n'importe quelle fiche technique, quel modèle est réellement en place.

Un scénario concret pour se représenter la différence

Imaginez une entreprise de vingt personnes, avec un service comptable qui gère les virements fournisseurs et un service commercial qui gère la relation client. Un employé du service commercial reçoit un email qui imite parfaitement une facture d'un fournisseur habituel, clique sur une pièce jointe piégée, et ses identifiants de connexion sont capturés à son insu. Avec un VPN classique, l'attaquant qui récupère ces identifiants peut potentiellement se connecter au réseau de l'entreprise et, une fois à l'intérieur, chercher à atteindre les systèmes de comptabilité ou de virement, même si rien dans le poste de cet employé commercial ne justifiait un tel accès. Avec une architecture Zero Trust correctement configurée, la même compromission de compte limite l'attaquant aux seuls outils commerciaux auxquels cet employé avait légitimement accès, sans possibilité de rebondir directement vers la comptabilité ou les virements fournisseurs sans une vérification d'identité supplémentaire à ce niveau précis du système.

La transition ne se fait pas du jour au lendemain

Passer d'un modèle classique à une architecture Zero Trust ne se décide pas en une réunion : cela demande de recenser précisément quels employés ont besoin d'accéder à quelles ressources, un travail qui peut prendre plusieurs semaines dans une entreprise qui n'a jamais formalisé cette cartographie. Certains prestataires proposent une transition progressive, en commençant par les services les plus sensibles (comptabilité, direction, ressources humaines) avant d'étendre le modèle à l'ensemble de l'entreprise. Cette approche progressive permet d'obtenir un bénéfice de sécurité rapide sur les points les plus critiques de votre entreprise, sans attendre d'avoir cartographié l'intégralité des accès de chaque poste avant de commencer à en tirer un bénéfice concret et mesurable.

Ce qu'il faut retenir

Le choix entre un VPN classique et une architecture Zero Trust n'est pas un détail technique réservé à votre prestataire informatique : c'est une décision qui détermine directement l'ampleur des conséquences d'un incident de sécurité pour votre entreprise. Le modèle classique reste pertinent pour une structure très simple avec peu de distinction entre les accès nécessaires à chaque poste. Dès que votre entreprise gère plusieurs services aux besoins différenciés, ou traite des données dont la fuite aurait des conséquences sérieuses, la question ne devrait plus être "combien ça coûte de plus" mais "combien coûterait un incident non circonscrit". Pour resituer ce critère parmi les autres éléments à vérifier avant de signer un contrat, notre guide principal détaille l'ensemble de la grille de décision destinée aux dirigeants d'entreprise.