Zero Trust : la doctrine de sécurité des grandes entreprises est-elle vraiment applicable dans une PME de 20 personnes ?
Vous avez sans doute classé le Zero Trust dans les sujets réservés aux grands groupes, avec leurs équipes de sécurité dédiées. Et c'est bien logique quand votre entreprise compte vingt salariés et personne à plein temps sur la cybersécurité.
Mais d'après le baromètre d'OpinionWay pour Cybermalveillance.gouv.fr, dont on vous a parlé, 26 % seulement des 588 entreprises interrogées disposaient d'une solution de double authentification. Cet échantillon est représentatif des entreprises françaises de moins de 250 salariés.
Or les piratages de compte sont la première menace pour les entreprises et associations, avec 21 % des parcours d'assistance réalisés en 2025 et une croissance de 52 %, selon le rapport de ce dispositif. L'ANSSI a publié en juin 2025 une fiche de synthèse sur le modèle Zero Trust, dont l'authentification systématique est un des principes de défense en profondeur.
Mais devez-vous pour autant vous aussi adopter ce principe du Zero Trust ?
- Le Zero Trust selon l'ANSSI
- Pourquoi même une TPE ou PME de vingt salariés sont concernées
- Vérifiez chaque connexion
- Limitez les droits de chaque compte
- Contrôlez les appareils et le réseau
- Budget et accompagnement
- Une adoption par étapes, et la question de la taille
Bitdefender
Protégez votre entreprise gratuitement pendant 30 jours
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Sponsorisé
Le Zero Trust selon l'ANSSI
La formule courte du Zero Trust est « ne jamais faire confiance, toujours vérifier ».
Le texte de l'ANSSI est plus mesuré. Dans ses fondamentaux du modèle Zero Trust, publiés le 20 juin 2025, l'agence fixe pour objectif principal de « réduire la confiance implicite » accordée aux utilisateurs et aux équipements lorsqu'ils accèdent au système d'information. Cette confiance implicite est celle dont bénéficie un ordinateur dès qu'il est branché au réseau du bureau, ou un compte dès que le mot de passe saisi est valide.
L'ANSSI énonce cinq principes, dont l'accès au plus faible niveau de privilège nécessaire et le contrôle de chaque demande avec une attention égale, qu'elle vienne du réseau interne ou de l'extérieur.
Elle rappelle que le télétravail, l'usage d'appareils personnels (« BYOD ») et les accès à des services sur site ou dans le cloud sont en progression. Elle retient aussi une « évaluation dynamique et régulière du contexte d'accès », en particulier de « l'état de sécurité du poste » utilisé. Vous pouvez donc traiter différemment un accès à la messagerie depuis un poste à jour et depuis un ordinateur personnel sans mises à jour.
L'agence écarte enfin l'idée d'un remplacement de la protection actuelle. Elle écrit que « bien souvent, les modèles Zero Trust et de défense périmétrique sont opposés alors qu'ils sont complémentaires ». Vous gardez donc vos protections actuelles.
Pourquoi même une TPE ou PME de vingt salariés sont concernées
Une PME de vingt personnes est concernée dès qu'un collaborateur consulte sa messagerie professionnelle depuis son domicile, comme on vous l'a démontré avec le kit de phishing BigBear 2.0. En juin, les équipes de sécurité de CloudSEK sont parvenues à accéder au panneau d'administration de ce service de phishing. Elles ont dénombré 258 organisations qui ont vu au moins un compte Microsoft 365 compromis malgré la double authentification, et 5 137 enregistrements liés à des authentifications compromises, dont 463 pour la France. La France est le deuxième pays le plus touché après l'Inde.
Les pirates qui utilisent ce kit reproduisent la page de connexion Microsoft 365 et laissent la victime valider sa double authentification. Ils récupèrent ensuite les cookies de session renvoyés par Microsoft. Avec ces cookies, l'attaquant accède au compte sans preuve d'identité supplémentaire. Un collaborateur de votre PME peut ainsi valider correctement sa double authentification et livrer à l'attaquant une session ouverte. Or, pour l'ANSSI, « les conditions d'accès aux ressources doivent faire l'objet de réévaluations régulières ».
Vous l'aurez compris, très petite, moyenne ou grande entreprise le principe du Zero Trust, c'est la base de la protection et de la sécurité de votre structure. Voyons comment l'appliquer.
Vérifiez chaque connexion
Activez la double authentification sur la messagerie et sur le stockage de fichiers, puis étendez-la aux autres services. La consigne de Cybermalveillance.gouv.fr est « activez la double authentification chaque fois que c'est possible ». Pour les comptes de direction et d'administration, préférez les passkeys ou les clés de sécurité physiques aux codes reçus par SMS et aux notifications à valider. Une passkey remplace le mot de passe par une clé enregistrée dans l'appareil, que l'empreinte digitale ou le code de l'appareil déverrouille. L'authentification par passkey ou clé de sécurité est liée au domaine du service, si bien qu'une demande émise depuis un site de phishing ne peut pas obtenir la validation.
Pour les services qui n'acceptent pas les passkeys, installez une application de double authentification, comme l'une de celle de notre comparatif des meilleures en 2026. Désactivez les méthodes de secours les moins sécurisées. Si un compte est compromis, révoquez les sessions actives, invalidez les jetons de connexion et changez aussi le mot de passe.
Adoptez un gestionnaire de mots de passe pour toute l'équipe. Dans le baromètre d'OpinionWay, 46 % des entreprises interrogées utilisaient un gestionnaire de mots de passe, soit huit points de plus qu'en 2024.
Activez enfin les alertes de connexion inhabituelle proposées par votre messagerie et désignez la personne qui les reçoit. Seules 16 % des entreprises du baromètre disposaient d'une solution de détection d'attaque.
Limitez les droits de chaque compte
Le moindre privilège est un principe de l'ANSSI. Selon l'agence, « l'accès doit être donné sur la base du plus faible niveau de privilège nécessaire ». Donnez donc à chaque collaborateur les droits de son poste, sans plus, et réservez les droits d'administration à un compte séparé.
Dans notre dossier sur l'onboarding et l'offboarding, que vous pourrez consulter dans l'encadré ci-dessous, on a relevé deux pratiques courantes. Un nouvel arrivant reçoit les droits copiés d'un collègue, et l'entreprise coupe les accès de ceux qui partent « bien après leur dernier jour ». Un ancien collaborateur peut ainsi conserver l'accès à la messagerie et aux fichiers. Le jour d'un départ, fermez les comptes du salarié et changez les mots de passe partagés qu'il connaissait. Rapprochez aussi régulièrement la liste des salariés actifs de celle des comptes payants, avant le renouvellement annuel des contrats.
Contrôlez les appareils et le réseau
Dressez la liste des ordinateurs et des téléphones qui accèdent à vos données, personnels compris. Cybermalveillance.gouv.fr recommande d'appliquer les mises à jour de sécurité « dès qu'elles vous sont proposées ». Si votre suite bureautique propose une gestion des accès par règles, refusez l'accès à la messagerie depuis un appareil non déclaré.
Séparez ensuite le Wi-Fi des visiteurs du réseau des postes de travail. Placez aussi les imprimantes et les caméras connectées sur un réseau à part. La micro-segmentation est un des principes de défense en profondeur que l'ANSSI associe au Zero Trust. Micro-segmenter un réseau revient à le découper en zones étanches. Vous limitez ainsi les dégâts si un appareil est compromis.
Budget et accompagnement
Une PME de vingt personnes peut demander gratuitement un diagnostic cyber à un aidant cyber formé par l'ANSSI. L'aidant consacre environ 1 h 30 au diagnostic, sur place ou en visioconférence, puis remet six mesures prioritaires. Les résultats sont ensuite accessibles sur l'espace MesServicesCyber de l'ANSSI.
Pour les offres payantes, bien sûr, choisissez celle la mieux adaptée à la taille de votre structure. Par exemple, Microsoft 365 Online.
Pour la gestion des identités et des appareils, Microsoft facture l'offre Microsoft 365 Business Premium 27,73 euros hors taxes par utilisateur et par mois, avec un paiement annuel, pour les entreprises de 1 à 300 employés. L'éditeur inclut dans cette offre la gestion des identités et des accès par stratégies, ainsi que la gestion des appareils avec Intune.
Une PME de vingt personnes peut ainsi payer 554,60 euros hors taxes par mois pour ces vingt licences.
Une adoption par étapes, et la question de la taille
L'ANSSI demande une mise en place progressive du Zero Trust. Pour elle, déporter les décisions d'accès vers une infrastructure centralisée « implique une dépendance des accès aux fonctions et aux données métier à un nouveau service transverse ». Autrement dit, si ce service est en panne, l'accès aux données de l'entreprise est bloqué. Dans sa fiche de synthèse, l'agence écrit que « son adoption doit être maîtrisée et progressive sous peine d'affaiblir le SI ».
Dans ses fondamentaux, elle demande aussi d'inclure « de manière itérative les différents attributs de sécurité », en commençant par les plus simples à maintenir à jour. Les attributs sont les informations sur l'utilisateur, la ressource et le contexte de la demande d'accès, telles que l'état du poste. Vous pouvez donc commencer par l'identité de vos collaborateurs et l'état de leurs postes, avec la double authentification et les mises à jour.
Pour le prestataire informatique parisien Arescom, partenaire de Microsoft, « le Zero Trust devient aujourd'hui accessible et pertinent pour toutes les structures ». Attention, comme le rappelle L'ANSSI, « le terme Zero Trust n'est, en soi, qu'un modèle et ne définit en aucun cas les fonctions de sécurité d'une technologie dite Zero Trust ».
Ses fondamentaux et sa fiche de synthèse parlent d'« entité » sans jamais citer les TPE ni les PME. Aucun de ces textes ne précise donc ce qu'une structure de vingt personnes doit mettre en place en premier.