Zero Trust est devenu le terme le plus galvaudé du marketing en cybersécurité. Chaque fournisseur prétend le proposer. Chaque framework y fait référence. Mais après avoir implémenté des architectures Zero Trust dans plus de 170 organisations sud-africaines au cours des six dernières années, nous avons appris que la réalité est bien plus nuancée que ne le suggère toute présentation.
Par Neil Beulecke, Directeur Général — Layer7 Networking
Commencer par l'identité, pas par le réseau
L'erreur la plus courante des organisations est de traiter le Zero Trust comme un projet de segmentation réseau. Ce n'en est pas un. Le Zero Trust est fondamentalement un problème d'identité.
Avant de segmenter un seul VLAN, vous devez répondre : qui sont vos utilisateurs ? Quels appareils utilisent-ils ? De quelles applications ont-ils besoin ? Quel est leur profil de risque ? Si vous ne pouvez pas répondre à ces questions avec assurance, votre segmentation sera basée sur des hypothèses — et les hypothèses sont ce que les attaquants exploitent.
En pratique, cela signifie que votre premier investissement doit être dans la gouvernance des identités : un fournisseur d'identité moderne avec des politiques d'accès conditionnel, un MFA résistant au phishing et une vérification de confiance des appareils. Réussissez cela, et vos décisions de segmentation ultérieures seront fondées sur la réalité plutôt que sur des suppositions.
Segmenter avant de chiffrer
Nous voyons des organisations se précipiter pour déployer des tunnels chiffrés et des solutions d'accès privé avant d'avoir établi une segmentation réseau significative. Le résultat est du trafic chiffré circulant sur un réseau plat — ce qui est sans doute pire que la situation de départ, car vous avez maintenant perdu la visibilité sur le trafic latéral.
La séquence correcte :
- Découvrir et classifier — comprenez ce qui se trouve sur votre réseau, où circulent les données et quelles sont les dépendances.
- Segmenter — créez des frontières logiques entre les charges de travail, les environnements et les niveaux de confiance. La micro-segmentation est idéale, mais la macro-segmentation (séparer production de développement, OT d'IT, gestion du trafic utilisateur) fournit 80 % de la valeur.
- Appliquer la politique — définissez quel trafic est autorisé entre les segments et refusez tout le reste.
- Chiffrer — une fois que vous avez visibilité et contrôle, ajoutez le chiffrement pour les flux de données sensibles.
Ne pas vouloir tout faire en même temps
Le Zero Trust est un parcours, pas une destination. Les organisations qui essaient de tout implémenter simultanément — identité, segmentation, chiffrement, vérification continue, confiance des appareils, accès au niveau applicatif — s'enlisent généralement à l'étape de planification et n'implémentent rien.
Notre approche par phases offre une réduction mesurable des risques à chaque étape :
Phase 1 (Mois 1-3) : Fondation identitaire. Déployer un fournisseur d'identité moderne, implémenter l'accès conditionnel, déployer le MFA résistant au phishing pour les comptes privilégiés. Résultat mesurable : élimination de l'authentification par mot de passe seul pour l'accès administratif.
Phase 2 (Mois 3-6) : Visibilité réseau. Déployer la détection et réponse réseau, établir les modèles de trafic de référence, identifier le shadow IT et les flux de données non autorisés. Résultat mesurable : inventaire complet des modèles de trafic est-ouest.
Phase 3 (Mois 6-12) : Macro-segmentation. Séparer les zones d'actifs critiques, implémenter des politiques de pare-feu entre segments, déployer des politiques applicatives. Résultat mesurable : le mouvement latéral entre segments nécessite une approbation de politique explicite.
Phase 4 (Mois 12-18) : Micro-segmentation et vérification continue. Segmentation au niveau des charges de travail, évaluation continue de la posture, application automatisée des politiques. Résultat mesurable : le rayon d'impact d'un endpoint compromis limité à son groupe de charges de travail immédiat.
Erreurs courantes que nous observons
Acheter un « produit Zero Trust ». Le Zero Trust est une architecture, pas un produit. Tout fournisseur vous vendant une boîte étiquetée « Zero Trust » vous vend au mieux un composant, au pire du marketing. Vous avez besoin d'une stratégie d'architecture, pas d'un bon de commande.
Ignorer les systèmes hérités. Votre architecture Zero Trust doit tenir compte des systèmes qui ne supportent pas l'authentification moderne — environnements OT, applications héritées, mainframes. Les entourer de contrôles compensatoires est essentiel ; les ignorer crée des failles que les attaquants trouveront.
Oublier l'expérience utilisateur. Si le Zero Trust rend le travail des gens plus difficile, ils trouveront des contournements. Shadow IT, appareils personnels, partage d'identifiants — tout ce que vous essayez de prévenir. Chaque contrôle de sécurité doit être évalué au regard de la friction qu'il introduit.
Pas de métriques. Si vous ne pouvez pas mesurer votre maturité Zero Trust, vous ne pouvez pas démontrer les progrès au conseil, justifier l'investissement continu ou identifier les lacunes. Définissez vos métriques avant de commencer : temps moyen de détection du mouvement latéral, pourcentage d'applications derrière des proxies identitaires.
Le contexte sud-africain
L'adoption du Zero Trust en Afrique du Sud fait face à des défis spécifiques. La pénurie de compétences signifie que les organisations ne peuvent pas toujours constituer des équipes dédiées au Zero Trust. Les coupures de courant créent des préoccupations de fiabilité pour les systèmes de vérification continue. Les contraintes budgétaires forcent des décisions de priorisation plus difficiles. Et le paysage réglementaire évolue.
Ce ne sont pas des raisons d'éviter le Zero Trust — ce sont des raisons d'être pragmatique dans la mise en œuvre. Commencez par les zones à plus haut risque, délivrez des améliorations mesurables en cycles de 90 jours et construisez le savoir institutionnel en cours de route.
Layer7 Networking a implémenté des architectures Zero Trust pour des organisations des secteurs des services financiers, de l'exploitation minière, du commerce de détail et du gouvernement. Notre approche par phases offre une réduction des risques dès le premier jour, pas au dix-huitième mois.