Pendant longtemps, la sécurité informatique a ressemblé à un château fort : un mur solide autour du réseau, et la confiance pour tout ce qui se trouve à l’intérieur. Avec le télétravail, le cloud et les téléphones personnels, ce mur n’existe plus. Le modèle Zero Trust part d’une autre idée : ne jamais faire confiance par défaut, toujours vérifier.
Les 3 principes
- Vérifier explicitement : chaque accès est authentifié et autorisé à partir de tous les signaux disponibles (identité, appareil, emplacement, niveau de risque).
- Appliquer le moindre privilège : chacun reçoit uniquement les droits nécessaires, pour la durée nécessaire.
- Supposer la brèche : on conçoit le système comme si un attaquant était déjà entré, en cloisonnant et en surveillant.
Les 6 piliers et les outils Microsoft associés
| Pilier | Question posée | Outils Microsoft |
|---|---|---|
| Identités | Est-ce bien cette personne ? | Microsoft Entra ID, MFA, accès conditionnel |
| Appareils | L’appareil est-il sain et conforme ? | Microsoft Intune, Defender for Endpoint |
| Applications | L’application est-elle autorisée et surveillée ? | Defender for Cloud Apps |
| Données | La donnée est-elle classée et protégée ? | Microsoft Purview (étiquettes, DLP) |
| Infrastructure | Les serveurs et services sont-ils durcis ? | Defender for Cloud |
| Réseau | Le trafic est-il segmenté et chiffré ? | Pare-feu Azure, NSG, liaisons privées |
Un exemple concret
Une comptable ouvre un fichier de paie depuis son ordinateur personnel, dans un hôtel :
- l’accès conditionnel constate un emplacement inhabituel et demande une authentification multifacteur ;
- l’appareil n’étant pas géré, l’accès est limité au navigateur, sans téléchargement ;
- le fichier porte une étiquette de confidentialité : il reste chiffré même s’il est copié ;
- l’événement est journalisé et remonte dans la supervision.
Aucun de ces contrôles ne dépend du réseau depuis lequel elle se connecte : c’est exactement l’esprit du Zero Trust.
Par où commencer ?
- Activer l’authentification multifacteur pour tous, en commençant par les administrateurs.
- Bloquer l’authentification héritée.
- Mettre en place quelques stratégies d’accès conditionnel simples.
- Inscrire les appareils dans Intune et exiger la conformité.
- Classer les données les plus sensibles avec des étiquettes.
Ce qu’il faut retenir pour SC-900
- Savoir citer les trois principes et les six piliers.
- Distinguer authentification (qui êtes-vous ?) et autorisation (qu’avez-vous le droit de faire ?).
- Connaître le modèle de responsabilité partagée entre le client et le fournisseur cloud.
- Comprendre la défense en profondeur : plusieurs couches de protection plutôt qu’une seule.
Aller plus loin avec la formation vidéo
La formation couvre en 21 leçons les concepts de sécurité, Microsoft Entra, les solutions Defender et Microsoft Purview, pour préparer la certification SC-900.
Découvrir la formation « SC-900 Fondamentaux Microsoft Sécurité et Identité »