Architecture Zero Trust définition et mise en œuvre on-premise.

Une architecture Zero Trust repose sur un postulat : la position d'un utilisateur, d'un équipement ou d'un flux dans le réseau ne vaut pas autorisation. La confiance implicite accordée à ce qui se trouve « à l'intérieur » disparaît. Chaque demande d'accès est authentifiée, autorisée, puis vérifiée en continu, indépendamment de son origine.

C'est une rupture avec le modèle périmétrique, qui tient pour fiable tout ce qui a franchi le pare-feu. Sur un réseau industriel à plat, ce raccourci a un coût : un poste compromis atteint un automate ou un serveur SCADA sans rencontrer d'obstacle. Le Zero Trust supprime ce chemin.

Trois éléments structurent le modèle : l'identité (qui, ou quoi, demande l'accès), la politique (ce qui est autorisé, selon le principe du moindre privilège) et la vérification continue (le contrôle ne s'arrête pas à l'ouverture de session).

En France, l'ANSSI fait référence pour les opérateurs critiques. Ses recommandations sur le cloisonnement, le contrôle des accès et la journalisation recoupent les principes du Zero Trust, sans toujours en reprendre le vocabulaire. L'agence reste réservée sur les offres « Zero Trust » packagées et recommande une mise en œuvre progressive, adossée à l'existant.

À l'échelle européenne, la directive NIS2 impose des mesures de gestion des risques, segmentation, contrôle des accès et traçabilité, qui relèvent de la même logique. Pour l'OT, la norme IEC 62443 en donne la traduction technique avec ses zones et ses conduits ; l'ENISA en complète les bonnes pratiques.

Le modèle d'architecture le plus cité demeure la publication NIST SP 800-207. Elle nomme les composants d'un système Zero Trust : un point de décision (PDP), qui tranche chaque demande, et un point d'application (PEP), qui exécute la décision au plus près de la ressource. Ce vocabulaire PEP/PDP s'est imposé comme langage commun ; il complète les référentiels français et européens, il ne les remplace pas.

Le Zero Trust ne se substitue pas à la défense en profondeur : il la prolonge. Celle-ci superpose des couches de protection, pare-feux, DMZ, durcissement, en supposant qu'aucune n'est infaillible. Le Zero Trust y ajoute une vérification à chaque couche, y compris à l'intérieur du périmètre, là où la défense en profondeur s'arrête le plus souvent.

Le modèle Purdue ordonne les réseaux industriels en niveaux, du procédé physique (niveau 0) à l'informatique de gestion (niveaux 4 et 5), la frontière IT/OT se situant au niveau 3. Il a rendu de réels services, mais ses fondamentaux sont mis à l'épreuve, notamment du fait de la convergence IP et de flux temps réel qui traversent tous les niveaux.

Beaucoup de réseaux paraissent segmentés sur le schéma et restent plats à l'usage. Trois causes l'expliquent :

• Confiance par localisation : un équipement est réputé sûr parce qu'il est sur le bon sous-réseau, si bien qu'un attaquant entré dans une couche hérite de tout ce qu'elle autorise.
• Absence d'identité des équipements : automates, RTU et capteurs dialoguent souvent en clair, sans pouvoir prouver qui ils sont.
• Absence de visibilité sous le périmètre : ni inventaire unifié, ni piste d'audit au niveau des sessions.

Porter le Zero Trust dans l'OT revient à traiter les niveaux Purdue comme des zones de confiance reliées par des conduits contrôlés (IEC 62443), à bloquer les déplacements latéraux par micro-segmentation (PVLAN) au niveau du commutateur, et à appliquer la politique sur le réseau, sans agent sur les équipements. L'adressage IP et le matériel en place sont conservés ; les équipements anciens, incapables d'héberger un agent, sont protégés au même titre que les plus récents.