Zéro confiance en 4 étapes pour les PME : sans jargon et avec des délais réalistes

8 min de lecture · DataRoad

Zéro confiance dans une PME Ce n’est pas un projet bancaire ni un coffre à billets que l’on achète. C’est une règle de gestion : aucun accès n’est automatique ; chaque demande est vérifiée. En pratique, il s’agit de quatre étapes — protéger les comptes, contrôler les équipements, répartir le réseau et donner à chaque personne uniquement l’accès dont elle a besoin. Dans une entreprise de 10 à 200 postes, l’essentiel est réalisé en environ trois mois.

Les fournisseurs de sécurité préfèrent vendre la sécurité zéro risque comme quelque chose de complexe et coûteux. Ce n'est pas nécessaire. Ce guide traduit le concept pour ceux qui prennent la décision et montre ce que l'on peut faire chaque mois.

Zero Trust traduit pour les gestionnaires

Depuis des années, la sécurité des entreprises fonctionnait comme un véritable château fort : une barrière solide (la pare-feu) et une totale confiance pour ceux qui y étaient présents. Ce modèle a cessé de fonctionner car personne n’est plus “ juste ” à l’intérieur : il existe le télétravail, Microsoft 365 en cloud, les téléphones mobiles, des fournisseurs avec accès à distance. Et la plupart des attaques ne brisent pas cette barrière — elles pénètrent avec le mot de passe d’une personne.

Le résultat pour le gestionnaire est concret : si un mot de passe est volé ou un portable est infecté, le dommage se limite à une seule personne et à une partie des systèmes — et non à l’entreprise entière.

Pourquoi cela est-il devenu urgent ?

Le rapport sur les violations de données de Verizon de 2026 montre que, dans les petites et moyennes entreprises, 55% des violations analysées impliquaient des tiers (fournisseurs, partenaires, prestataires) et 45% avaient un élément humain — un clic, une erreur, un mot de passe réutilisé. Aucune solution de sécurité périmétrique ne résout tout cela tout seul.

La directive européenne NIS2 exige également, parmi les mesures de gestion des risques, des politiques de contrôle des accès, de gestion des actifs et d’authentification multifactorielle. Elle n’utilise pas le terme “ Zero Trust ”, mais les quatre étapes couvrent une grande partie de ce travail technique. Si votre entreprise en est concernée, lisez notre guide. NIS2 expliqué aux PME.

Les 4 étapes, dans cet ordre

Étape 1 — Identité : protéger les comptes

• Autentification multifactor sur toutes les comptes, à commencer par Microsoft 365 et les administrateurs.
• Les comptes des anciens collaborateurs ont été désactivés le jour même de leur départ.
• Les administrateurs sont réduits à deux ou trois personnes identifiées, avec des comptes distincts pour gérer les choses.
• Fin des comptes partagés (“ geral@ ”, “ loja1 ”) pour accéder aux systèmes.

É o passo com maior retorno: uma palavra-passe obtida por phishing deixa de chegar para entrar. Na maioria das licenças Microsoft 365 é sem compromisso adicional — o trabalho é de organização. Mais detalhe no guia de authentification multifactor pour les entreprises et celui de gestionnaire de mots de passe.

Étape 2 — Équipements : savoir ce qui existe et dans quel état

• Inventaire de tous les ordinateurs et téléphones portables ayant accès aux données de l'entreprise.
• Protection contre les menaces et mises à jour actives sur tous les appareils.
• Accès aux données uniquement à partir d’appareils conformes aux règles — dans Microsoft 365, via des politiques d’accès conditionné.

Les appareils non supportés, comme Windows 10 depuis le 14 octobre 2025, sont le premier problème à résoudre : voir Que faire à la fin du support de Windows 10.

Étape 3 — Réseau : diviser en zones

Le réseau cesse d’être un espace unique. Les postes de travail, les serveurs, les invités, les imprimantes et les caméras se trouvent dans des zones séparées, et le firewall décide de ce qui peut passer entre elles. Si un ordinateur est infecté, l’attaque est contenue dans une zone — il ne chiffre pas les serveurs et les sauvegardes. Avec des commutateurs gérables et un firewall géré, c’est une configuration, pas une acquisition.

Étape 4 — Accès minimal : chaque personne seulement à ce dont elle a besoin

• Régulation des autorisations dans les dossiers partagés, SharePoint et Teams.
• Utilisateurs sans droits d'administrateur sur leur propre ordinateur.
• Accès à distance via une application plutôt que par accès à tout le réseau — le thème de un VPN ne suffit plus.

C’est la phase la plus laborieuse, car elle modifie les habitudes, et c’est pourquoi elle arrive en fin de processus. Elle a également gagné une nouvelle urgence : le Copilot et d’autres outils d’IA montrent à chaque personne tout ce qu’elle a accès. Nous expliquons pourquoi dans IA dans l'entreprise : les règles à adopter avant ChatGPT et Copilot.

Le plan mensuel

Des délais réalistes pour une entreprise de 10 à 200 postes, avec un partenaire informatique dédié et une équipe administrative impliquée :

Ce que nous avons omis — et pourquoi

Il existe des solutions avancées de Zero Trust : analyse du comportement des utilisateurs, segmentation des applications, vérification continue de l’état de chaque appareil. Pour la plupart des PME, le coût est élevé et les gains sont faibles tant que les quatre étapes de base ne sont pas mises en œuvre. L’ordre compte : l’authentification multifactorielle sans séparation du réseau protège les comptes mais pas le réseau ; la séparation du réseau sans authentification multifactorielle fait l’inverse.

Un cas réel : Windows et Mac, une seule règle

Au bureau de Lisbonne de Reltio de SAP, DataRoad, entreprise américaine de logiciels de données, dispose d’un contrat de maintenance et de gestion de réseau permanent : 125 points de réseau structurés, pare-feu, trois commutateurs et points d’accès Wi-Fi Cisco Meraki, support spécialisé pour 35 appareils Dell et 40 MacBook Pro.

C’est un bon portrait du deuxième pas : un parc hybride, Windows et Mac, où les règles doivent être les mêmes indépendamment du système. Une fois l’inventaire réalisé et le réseau géré depuis un seul endroit, appliquer les quatre étapes est une question de méthode — pas d’acheter plus de boîtes.

Foire aux questions

Le Zéro Trust est-il un produit qui s'achète ?

Non. C’est une façon de dessiner les accès. Certains produits aident, mais les quatre étapes essentielles sont réalisées, dans la plupart des PME, avec Microsoft 365, le pare-feu et les équipements que l’entreprise possède déjà.

Cela rendra le travail plus lent ?

Presque rien, si c’est bien fait. L’authentification multifactor nécessite une confirmation sur le téléphone et l’accès conditionné est invisible lorsque l’appareil respecte les règles. Le changement le plus visible est de ne plus installer de programmes sans passer par le support informatique — et c’est une intention.

Une entreprise de 15 employés a besoin de ça ?

Les étapes 1 et 3 — authentification multifactorielle et réseau de visiteurs séparé — sont recommandées dans toute entreprise. Les étapes 2 et 4 augmentent avec la taille de l’entreprise et la sensibilité des données.

La NIS2 oblige à une approche à zéro confiance ?

NIS2 n’utilise pas ce terme, mais exige un contrôle des accès, une gestion des actifs et une authentification à plusieurs facteurs comme mesures de gestion des risques. Les quatre étapes couvrent une bonne partie de ce travail technique. DataRoad met en œuvre les mesures techniques ; l’analyse juridique doit être effectuée par un avocat.

Diagnostic Zero Trust en 10 jours ouvrables

Nous évaluons vos comptes, équipements, réseau et autorisations, indiquons le stade de votre entreprise et vous fournissons le plan pour les trois prochains mois. Pour les entreprises avec plus de 10 postes · contrat d'assistance · support local et téléphonique. cybersécurité gérée — pare-feu, protection des équipements, authentification à plusieurs facteurs et alarme — sont inclus dans les plans IT Unlimited Premium.

Sources

• Verizon — Rapport d’enquête sur les violations de données 2026, résumé exécutif (données de PME)
• EUR-Lex — Directive (UE) 2022/2555 (NIS2), article 21.
• Microsoft Learn — Cycle de vie de Windows 10