Veille Technologique

Pendant des décennies, la sécurité réseau reposait sur un paradigme simple : construire des remparts solides autour du réseau interne. Le VPN (Virtual Private Network) était la porte d'entrée : une fois authentifié, l'utilisateur accédait à l'ensemble du réseau de l'entreprise.

Ce modèle supposait que tout ce qui se trouvait à l'intérieur du périmètre était de confiance, et que tout ce qui venait de l'extérieur était suspect. Une distinction simple, mais dangereusement réductrice.

• Télétravail massif : La pandémie de 2020 a révélé les limites des VPN face à des milliers d'utilisateurs simultanés.
• Migration cloud & SaaS : Les données ne résident plus dans le datacenter mais chez AWS, Azure, Office 365, Salesforce...
• Attaques latérales (lateral movement) : Une fois le périmètre percé, l'attaquant se déplace librement. SolarWinds, Kaseya, Colonial Pipeline...
• BYOD & IoT : Les appareils personnels et objets connectés brouillent la frontière réseau interne/externe.

Vérification de l'identité

MFA obligatoire, authentification forte, SSO centralisé. L'identité est le nouveau périmètre.

Validation du terminal

État de conformité de l'appareil vérifié : antivirus à jour, patch OS, chiffrement disque actif.

Accès au moindre privilège

Accès uniquement aux ressources nécessaires, micro-segmentation, révocation immédiate possible.

Premier déploiement Zero Trust à grande échelle au monde. Suite à l'opération Aurora, Google a entièrement repensé son accès réseau. BeyondCorp permet aux 100 000+ employés Google d'accéder aux ressources internes sans VPN traditionnel, uniquement via le navigateur Chrome avec authentification contextuelle.

• Architecture cloud-native, base de l'industrie
• BeyondCorp Enterprise disponible pour les entreprises
• Intégration Google Workspace / GCP native
• Context-Aware Access basé sur l'IA

Solution ZTNA cloud-native, leader du Magic Quadrant Gartner SSE. ZPA crée un tunnel chiffré point à point entre l'utilisateur et l'application, sans exposer le réseau interne. La plateforme Zscaler Zero Trust Exchange traite plus de 400 milliards de transactions par jour dans 150+ PoPs mondiaux.

• Proxy d'accès micro-segmenté (App Connector)
• Intégration SASE complète (ZIA + ZPA + ZDX)
• Inspection SSL/TLS, DLP, sandboxing intégré
• Posture Control pour environnements multi-cloud

Cloudflare Access intègre le ZTNA directement dans le réseau global Cloudflare (300+ PoPs). L'Identity Aware Proxy (IAP) valide chaque requête via le réseau Anycast ultra-rapide. Le client WARP remplace avantageusement les VPN traditionnels avec des performances supérieures.

• Réseau Anycast mondial, latence minimale
• Cloudflare One : SASE complet (Access + Gateway + CASB)
• Offre gratuite généreuse pour TPE/PME
• Tunnel Zero Trust (connecteur léger Cloudflared)

Fortinet intègre le ZTNA nativement dans l'écosystème FortiGate / Security Fabric. Solution particulièrement adaptée aux organisations ayant déjà investi dans l'infrastructure Fortinet. L'approche hybride permet une migration progressive sans rupture technologique brutale.

• Intégré FortiGate, FortiEMS, FortiClient
• Segmentation réseau avancée (micro-segmentation)
• Déploiement hybride : datacenter + cloud
• ZTNA inclus dans les licences FortiGate existantes

Cas où le VPN reste pertinent

• TPE/PME avec budget IT limité
• Environnements industriels (OT/SCADA) legacy
• Accès temporaires (partenaires, fournisseurs)
• Sites isolés sans connexion internet fiable

Cas où le ZTNA s'impose

• Grandes entreprises / collectivités multi-sites
• Organisations full-cloud ou hybride cloud
• Télétravail massif (>50% des effectifs)
• Secteurs réglementés (santé, finance, défense)

Une transition progressive, pas une révolution immédiate

Il serait naïf de prétendre que le ZTNA va remplacer du jour au lendemain l'ensemble des VPN déployés dans les organisations françaises. La réalité du terrain est bien plus nuancée. Des milliers d'entreprises ont investi des années dans des infrastructures VPN matures, avec des équipes formées, des processus documentés et des actifs amortis. La migration vers une architecture Zero Trust est un projet pluriannuel, qui nécessite une refonte de la politique d'accès, une réidentification de toutes les ressources applicatives, et une montée en compétences des équipes IT. Les deux architectures coexisteront donc pendant de nombreuses années, souvent au sein des mêmes organisations, dans une approche de transition hybride.

Les PME et le réalisme budgétaire

Pour une PME de 20 à 50 salariés avec un budget IT restreint, le VPN reste une solution parfaitement adaptée. Les solutions ZTNA cloud comme Zscaler ou Cloudflare Access ont un coût par utilisateur qui peut représenter un investissement significatif pour des structures de petite taille. De plus, la complexité de gestion d'une architecture Zero Trust nécessite des compétences pointues en IAM (Identity and Access Management), en DevSecOps et en policy management qui ne sont pas toujours disponibles dans les équipes IT des PME. L'OpenVPN ou un WireGuard bien configuré, couplé à une politique de MFA stricte, peut offrir un niveau de sécurité acceptable sans la complexité d'une migration ZTNA.

Les collectivités et grandes organisations : une migration incontournable

À l'inverse, les grandes organisations comme les collectivités territoriales — et je pense ici au Département des Pyrénées-Orientales (66) où j'ai effectué mon stage — ont tout intérêt à planifier une migration progressive vers le ZTNA. Une DSI départementale gère des centaines d'agents, des dizaines d'applications métier, et doit garantir la continuité de services publics essentiels. Dans ce contexte, le risque d'une attaque exploitant le lateral movement via un VPN compromis est particulièrement critique. La directive NIS2 et les recommandations ANSSI poussent d'ailleurs ces organisations vers une sécurisation renforcée de leurs accès distants, ce qui devrait accélérer l'adoption du ZTNA dans le secteur public français d'ici 2026-2027.

Mon point de vue en tant que futur technicien SISR

En tant que futur technicien SISR, je suis convaincu que maîtriser les architectures Zero Trust n'est plus une option mais une nécessité professionnelle. Lors de mon stage à la DSI du Département 66, j'ai pu observer que les politiques de sécurité réseau évoluent rapidement et que les nouvelles recrues SISR sont désormais attendues sur ces compétences dès leur arrivée. Cette veille sur le ZTNA m'a permis de comprendre que la sécurité réseau moderne ne se résume plus à configurer des règles de pare-feu, mais implique une vision globale de l'identité, du contexte et des données. Je m'engage à approfondir ces connaissances, notamment à travers la préparation de certifications comme la CompTIA Security+ ou l'AWS Security Specialty, qui intègrent ces paradigmes modernes dans leurs programmes.

La veille technologique n'est pas une activité passive : c'est un processus actif de remise en question de ses pratiques professionnelles, qui demande curiosité, rigueur et pensée critique face à l'avalanche d'informations du secteur cybersécurité.