Sécurisez l'accès à l'usine sans le cloud. Cinq alternatives à Zscaler, classées pour l'OT.
Trout Access Gate est un boîtier sur site pour sécuriser l'accès OT sans le cloud : il protège les PLC et HMI qui n'exécutent jamais d'agent, le contrôle restant sur votre propre réseau, sur les équipements déjà en place.
Dernière mise à jour:
Le bon choix dépend de ce que vous protégez.
Zscaler excelle vraiment dans ce pour quoi il a été conçu : connecter des collaborateurs distribués aux applications cloud. Son modèle suppose un agent sur le terminal et un chemin réseau vers un point de présence cloud. Pour une flotte d'ordinateurs portables accédant au SaaS, c'est la bonne conception, et rien ici ne prétend le contraire.
Sur le marché, Zscaler se range dans la catégorie Security Service Edge (SSE). Zscaler Internet Access (ZIA) est la passerelle web sécurisée. Zscaler Private Access (ZPA) est le ZTNA qui remplace le VPN pour les applications privées. Privileged Remote Access (PRA) relaie les sessions des prestataires sans rien installer sur leur poste. Les alternatives le plus souvent recherchées, Prisma Access, Netskope ou Cloudflare, relèvent de la même catégorie SSE et SASE. Cette catégorie répond bien à une question : comment un utilisateur, depuis son ordinateur portable, accède à une application. Elle n'a pas été conçue pour celle qui se pose en atelier : comment accéder à un automate qui ne peut pas exécuter d'agent et n'a aucune route vers le cloud.
Une station d'épuration ou un atelier d'usinage brise ces deux hypothèses. Le terminal est un PLC ou un HMI qui n'exécutera jamais d'agent, et il se trouve souvent sur un segment sans route vers Internet. Le Zero Trust livré depuis le cloud n'a rien à installer sur l'équipement ni nulle part où envoyer le trafic. C'est une inadéquation de catégorie, et le produit n'est pas en cause.
La comparaison utile porte sur le modèle qui convient à un atelier de production. Le tableau ci-dessous est bâti à partir de la documentation publique de chaque fournisseur. Lorsqu'une capacité n'est pas documentée, il le précise plutôt que de deviner.
Zscaler : 5 concurrents et alternatives, classés pour l'OT.
Ce classement ne juge qu'une chose : la capacité à sécuriser des équipements IT et OT sur site. Pour un parc de portables qui accède à des applications SaaS, le classement serait tout autre, et la première fiche le reconnaît elle-même.
1. Trout Access Gate
Une appliance sur site qui se raccorde à votre réseau existant et y applique le Zero Trust, sans rien installer sur les équipements et sans plan de contrôle cloud à atteindre.
- Idéal pour
- Les usines qui exploitent des PLC, HMI et SCADA vieillissants, les segments isolés ou air-gapped, et les contextes où la souveraineté des données impose que chaque paquet reste sur site.
- Ses limites
- Ce n'est pas une solution SASE. Si votre problème est celui de collaborateurs distribués qui accèdent au cloud, ce format ne convient pas et un ZTNA cloud sera le bon choix.
2. Palo Alto Prisma Access
Une solution SASE cloud, avec une approche documentée de l'accès distant OT et ICS. En revanche, l'analyse des protocoles OT y est assurée par le pare-feu nouvelle génération, pas par le broker d'accès.
- Idéal pour
- Les organisations déjà équipées en Palo Alto, qui veulent un fournisseur unique, du périmètre IT jusqu'aux accès distants OT.
- Ses limites
- Livrée depuis le cloud, elle ne fonctionne pas sur un segment sans route sortante. Les délais de déploiement ne sont pas documentés publiquement.
3. Zscaler Privileged Remote Access
La référence du Zero Trust cloud-first, avec un produit d'accès distant à privilèges qui ouvre des sessions sans client à installer vers les systèmes OT.
- Idéal pour
- Les grandes équipes distribuées qui accèdent au SaaS, ainsi que les accès supervisés de prestataires vers des systèmes OT qui disposent, eux, d'une route vers le cloud.
- Ses limites
- Il dépend du plan de contrôle cloud : il bute donc sur l'air gap. Aucune analyse des protocoles OT n'est documentée dans le broker lui-même.
4. Netskope
Zero Trust cloud sur le réseau NewEdge, positionné sur l'accès aux SCADA, PLC et HMI, dont les capacités OT relèvent davantage de la découverte que de l'application des politiques.
- Idéal pour
- Les équipes qui veulent de la visibilité sur le cloud, le web et les applications privées, et qui traitent l'accès OT comme une application privée de plus.
- Ses limites
- L'enregistrement et le rejeu des sessions ne sont pas documentés publiquement, et l'application des politiques dépend de l'accès à NewEdge.
5. Cloudflare Zero Trust
Le Zero Trust cloud le plus rapide à mettre en place, avec une offre d'entrée de gamme généreuse, mais sans positionnement spécifique sur l'OT.
- Idéal pour
- Les équipes réduites qui sécurisent des applications web et des accès SSH ou RDP pour des utilisateurs humains, lorsque le coût et le délai de mise en œuvre priment.
- Ses limites
- Aucune prise en charge documentée des équipements OT, une journalisation des commandes sans rejeu, et une dépendance totale au réseau Cloudflare.
Comment les options Zero Trust se comparent pour les usines.
Les cellules des concurrents proviennent de la documentation publique de chaque fournisseur, liée ci-dessous. Lorsqu'une capacité n'est pas publiquement documentée, la cellule l'indique plutôt que de le supposer.
| Capacité | Zscaler | Palo Alto Prisma Access | Netskope | Cloudflare Zero Trust | Trout Access Gate |
|---|---|---|---|---|---|
| Dépendance au cloud | Service cloud ; option de plan de données sur site | SASE délivré depuis le cloud | Cloud (NewEdge) | Cloud uniquement (réseau mondial) | Aucune ; sur site, sur le réseau existant |
| Agent requis | Client Connector ; navigateur sans client via PRA | GlobalProtect ; navigateur sans client via PRA | Client Netskope ; navigateur sans client | Client WARP ; certains accès sans client | Aucun ; rien à installer |
| Compatible avec les PLC / HMI anciens | Courtier d'accès sans client aux systèmes OT | Courtier d'accès distant OT et ICS | Commercialise l'accès aux SCADA, PLC, HMI | Non documenté pour les équipements OT | Oui ; l'équipement n'est jamais touché |
| Fonctionne en air-gap | Non ; nécessite le plan de contrôle cloud | Non ; délivré depuis le cloud | Non ; nécessite le cloud NewEdge | Non ; nécessite le réseau de Cloudflare | Oui ; aucune dépendance au cloud |
| Temps de déploiement typique | Non documenté | Non documenté | Non documenté | Non documenté | Une journée ; sans recâblage ni interruption |
| Enregistrement et relecture de session | Oui ; enregistrement de session PRA | Oui ; enregistrement Browser PRA | Non documenté ; surveillance uniquement | Journalisation des commandes uniquement ; pas de relecture | Oui ; enregistré et rejouable |
| Connaissance des protocoles OT | RDP, SSH, VNC ; aucune analyse OT documentée | RDP, SSH, VNC ; l'analyse OT réside dans le NGFW, pas dans le proxy | RDP, SSH ; découverte OT, pas application | TCP, HTTP, SSH ; aucune analyse OT | Application tenant compte des protocoles, y compris Modbus |
| Correspondance de conformité (CMMC L2 / NIS2 / NERC CIP) | NIS2 publié ; CMMC et NERC non documentés | NIS2 et NERC référencés ; CMMC non documenté | NIS2 publié ; CMMC et NERC non documentés | NIS2 et FedRAMP ; CMMC et NERC non documentés | CMMC L2, NIS2 et NERC CIP |
Sources: Zscaler · Palo Alto · Netskope · Cloudflare
Les questions qui tranchent dans un atelier de production.
L'application reste-t-elle sur site ?
Le Zero Trust fourni depuis le cloud fait transiter la décision d'accès via un point de présence du fournisseur. Un contrôle sur site, sur le réseau existant, garde chaque décision et chaque paquet à l'intérieur du périmètre. C'est ce qu'exigent un segment OT isolé et une obligation de souveraineté des données.
Peut-il protéger un équipement qui n'exécutera jamais d'agent ?
Un proxy moderne termine la session, authentifie la personne, applique la politique, enregistre ce qui s'est passé et transmet une requête propre. Le PLC ou le HMI ne sait jamais que quelque chose a changé, et il n'a jamais besoin qu'un logiciel y soit installé.
La piste d'audit est-elle prête pour un évaluateur ?
Des journaux infalsifiables indiquant qui s'est connecté, à quel équipement et ce qu'il a fait, voilà ce que demande un évaluateur CMMC, NIS2 ou NERC CIP. Access Gate les génère au point de contrôle, au fil de chaque session.
Access Gate fonctionne là où rien ne peut être installé.
Trout Access Gate sécurise des industriels de la défense, des instituts de recherche et des opérateurs d'infrastructures critiques : des environnements bâtis sur des PLC anciens, des SCADA et des équipements qui ne peuvent pas accueillir d'agent. Parmi eux figurent Thales, Millbrook Machine, Elna Magnetics, Irish Manufacturing Research, HUN-REN SZTAKI et STBMA.
Voir les témoignages clientsQuestions sur les concurrents et alternatives à Zscaler.
Access Gate est une appliance Zero Trust sur site pour l'IT et l'OT, sans rien à installer sur les machines. Elle couvre les actifs qu'un ZTNA cloud ne peut pas atteindre.
Pas pour ce que Zscaler fait de mieux. Si votre besoin est de connecter des collaborateurs distants au SaaS, Zscaler convient parfaitement et Access Gate ne cherche pas à rivaliser sur ce terrain. Access Gate s'attaque à l'autre moitié du problème : sécuriser les actifs IT et OT sur site, y compris les PLC et HMI qui ne peuvent pas exécuter d'agent et n'ont souvent aucun chemin vers le cloud. De nombreux sites utilisent les deux.
Oui. Le contrôle s'exerce sur le réseau, à côté de l'équipement, pas sur le terminal. Un proxy moderne termine la session, authentifie l'utilisateur, applique la politique d'enclave et enregistre la session, puis ne transmet à l'équipement qu'une requête assainie. Un PLC vieux de vingt ans reçoit le même traitement Zero Trust qu'un poste de travail moderne, sans rien y installer.
Oui. Access Gate fonctionne entièrement sur site, en tant qu'appliance raccordée à votre réseau existant. Il n'y a ni plan de contrôle cloud ni point de présence cloud à atteindre, il continue donc de fonctionner sur un segment isolé ou en air-gap. Les services Zero Trust délivrés depuis le cloud dépendent de l'accès au réseau de leur fournisseur.
Oui, et c'est le cas le plus fréquent. ZPA continue de gérer les portables et le SaaS. Access Gate se place devant le réseau de l'usine : l'utilisateur arrivé par ZPA passe tout de même par un contrôle d'identité, une politique par équipement et un enregistrement de session avant d'atteindre un PLC ou un HMI. Les deux ne se recouvrent pas : l'un décide qui entre sur le réseau, l'autre ce qu'on a le droit de faire sur une machine une fois entré.
Access Gate applique la politique sur les protocoles présents sur le fil, pas seulement sur les ports. Pour un protocole comme Modbus, dépourvu d'authentification native, un proxy tenant compte du protocole peut lier l'accès à l'identité, restreindre les codes de fonction et les registres qu'une source peut utiliser, et enregistrer chaque transaction, sans toucher au contrôleur.
Un site, un flux, une semaine. On installe le boîtier à côté du commutateur de l'atelier, on observe le trafic quelques jours pour voir qui accède à quoi, puis on fait passer un flux d'accès distant (une session prestataire vers un automate, le plus souvent) d'abord en observation seule, puis en application effective de la politique. Rien ne change sur l'automate et l'ancien chemin reste disponible en secours jusqu'à ce qu'on le ferme. Si ce flux tient, le reste n'est que répétition.
Il correspond aux familles de contrôle d'accès, de protection des systèmes et des communications, et d'audit qu'évaluent ces cadres : accès lié à l'identité, segmentation, MFA au niveau réseau et journaux infalsifiables générés au point d'application. Considérez-le comme un contrôle documenté au sein d'un programme plus large, pas comme une case de conformité à lui seul.
Access Gate est conçu par Trout Software, société française, et fonctionne entièrement sur site : la décision d'accès, les journaux et l'inventaire ne quittent jamais l'usine, et il n'y a aucun tenant cloud soumis à un droit étranger. Pour les organisations soumises à NIS2 ou à la LPM, et pour le secteur public, lorsqu'une option souveraine s'impose, le guide alternatives souveraines à Fortinet et Zscaler pour l'OT détaille les critères.
Partez de vos terminaux. S'il s'agit d'ordinateurs portables accédant au SaaS, un ZTNA cloud comme Zscaler, Prisma Access, Netskope ou Cloudflare convient. S'il s'agit de PLC, HMI, RTU ou serveurs en air-gap, une appliance sur site comme Access Gate convient. Elle se raccorde à votre réseau existant et ne nécessite ni agent ni cloud. Le tableau ci-dessus montre où se situe chacun.
Voyez si Access Gate convient à votre usine.
Trente minutes avec un ingénieur suffisent généralement à déterminer si une appliance sur site convient à votre usine, ou si un ZTNA cloud est le meilleur choix. Dans un cas comme dans l'autre, nous vous le dirons franchement.