Le Zero Trust Network Access (ZTNA) accorde l'accès à des applications ou à des ressources individuelles, par session, sur la base d'une identité vérifiée et de la posture de l'appareil, plutôt que d'accorder l'accès à un réseau. Il ne présuppose aucune confiance implicite, à l'intérieur comme à l'extérieur du périmètre, et vérifie chaque requête. Bâti sur un périmètre défini par logiciel (software-defined perimeter), le ZTNA maintient les ressources protégées invisibles tant qu'un utilisateur ou un appareil n'a pas prouvé qu'il devrait pouvoir les atteindre.
Qu'est-ce que le Zero Trust Network Access ?
Le ZTNA est l'expression, en matière de contrôle d'accès, du Zero Trust, le modèle que le NIST a codifié dans la norme SP 800-207 et que Gartner a popularisé sous le nom de ZTNA. Le principe de fonctionnement est « ne jamais faire confiance, toujours vérifier » : chaque requête d'accès est traitée comme si elle provenait d'un réseau hostile, et l'autorisation est décidée à partir de l'identité, de l'état de l'appareil et du contexte au moment de la requête.
L'idée trouve son origine dans l'effondrement du périmètre. Les travaux BeyondCorp de Google et le périmètre défini par logiciel de la Cloud Security Alliance ont tous deux rejeté l'hypothèse selon laquelle être à l'intérieur du réseau signifie être digne de confiance. Le ZTNA prolonge cela en un modèle produit : connecter le bon utilisateur à la bonne ressource, et rien d'autre.
Comment fonctionne le ZTNA ?
Un système ZTNA se place entre les utilisateurs et les ressources en tant que point d'application des politiques. Lorsqu'un utilisateur ou un appareil demande un accès, le système authentifie l'identité, généralement avec l'authentification multifacteur, vérifie la posture de l'appareil (niveau de correctifs, configuration), évalue la requête au regard de la politique, puis établit, en tant qu'intermédiaire, une connexion vers cette seule ressource. La ressource elle-même reste invisible pour quiconque n'a pas été autorisé, de sorte qu'elle ne peut être ni scannée ni attaquée par des parties qui n'arrivent jamais jusque-là.
Point essentiel : l'accès est accordé par session et évalué en continu. Une session autorisée ne se transforme pas en tunnel permanent vers le réseau. Si la posture ou le contexte change, l'autorisation peut être retirée. C'est la rupture nette avec le modèle que le ZTNA est conçu pour remplacer.
En quoi le ZTNA diffère-t-il d'un VPN ?
Un VPN authentifie un utilisateur une seule fois, puis le dépose sur un segment de réseau à large portée. Tout ce qui se trouve sur ce segment est potentiellement accessible, ce qui explique pourquoi un seul identifiant VPN volé a servi de point de départ à tant de compromissions par déplacement latéral. Le ZTNA inverse la logique : aucun accès au niveau du réseau, uniquement un accès au niveau applicatif, limité à ce que le rôle de l'utilisateur exige et revérifié en continu.
Les bénéfices concrets dans les environnements OT et industriels sont tangibles :
- Surface d'attaque réduite. Les utilisateurs n'atteignent que les ressources spécifiques pour lesquelles ils sont autorisés, et non l'ensemble du sous-réseau.
- Déplacement latéral contenu. Une session compromise ne peut pas rebondir à travers un réseau à plat comme le peut un point d'ancrage VPN.
- Vérification continue. L'identité et la posture de l'appareil sont réévaluées pendant la session, et non tenues pour acquises après la connexion.
Qui a besoin du ZTNA ?
Toute organisation où l'ancien périmètre ne tient plus, ce qui est désormais le cas de la plupart d'entre elles : ingénieurs distants et prestataires tiers, environnements cloud et hybrides, et sites industriels où l'OT et l'IT se rejoignent de plus en plus. Dans l'industrie manufacturière et les infrastructures critiques, les enjeux sont physiques : un système de contrôle compromis peut arrêter la production ou mettre des personnes en danger, si bien que restreindre qui peut atteindre un automate, et comment, relève autant de la sûreté que de la sécurité. Le ZTNA s'aligne également sur les attentes en matière de contrôle d'accès et de surveillance continue de NIST SP 800-171, du CMMC et de NIS2.
Pourquoi le ZTNA est-il important pour l'OT ?
L'OT hérité n'a jamais été conçu pour se défendre lui-même. Les automates parlent des protocoles non authentifiés, ne peuvent pas exécuter d'agents et ne peuvent pas être corrigés à la demande. Placer un point d'application ZTNA devant ces actifs signifie que le réseau vérifie l'identité et l'autorisation avant que le moindre trafic n'atteigne l'automate, de sorte qu'un appareil accessible n'est pas pour autant un appareil ouvert. L'accès à une session d'ingénierie à distance devient un événement délimité, journalisé et révocable, au lieu d'un tunnel permanent vers l'usine.
Comment Access Gate vous aide
Access Gate fournit le ZTNA pour l'OT et l'IT sous la forme d'une surcouche sans agent : accès basé sur l'identité à des ressources individuelles, microsegmentation sur l'ensemble du LAN, et sessions distantes relayées et journalisées, sans VPN ni agents sur les équipements hérités. Voir Contrôle d'accès Zero Trust.
