FIC 2025 : comment parler du Zero Trust ?

Parler de Zero Trust est-il le meilleur moyen de sensibiliser les dirigeants d'entreprise à investir dans la cybersécurité ?

"Longtemps, on a parlé de confiance. Aujourd'hui, je suis un peu gêné de parler de Zero Trust à nos dirigeants", explique Benoît Fuzeau, le président du Clusif et RSSI de CASDEN Banque Populaire. En fonction du prisme sous lequel on l'aborde, nombreux peuvent être ceux qui font du Zero Trust sans le savoir. "On a tous de l'authentification forte dans nos systèmes" ajoute-t-il.

Michel Dubois, directeur scientifique et technique au sein de la direction de la cybersécurité du Groupe La Poste estime que le message est d'autant plus brouillé qu'il est devenu un "buzzword embarqué par les commerciaux". Pour favoriser la communication auprès du COMEX, il suggère plutôt de se référer aux 7 principes du Zero Trust du NIST. Et à se rappeler qu'au fond, c'est l'évolution de l'approche de défense en profondeur. "Auparavant, on avait de la défense périmétrique. En 2004, avec les travaux du Jericho Forum, on a [élargi] le concept pour l'adapter à l'évolution de nos SI."

S'adapter aux métiers

Mal adapté pour une communication destinée aux utilisateurs, le Zero Trust reste une bonne expression pour parler de stratégie cyber.

" Le Zero Trust, c'est une approche qui dit que tout représente une menace pour le réseau. C'est aussi une adaptation permanente de la stratégie de cybersécurité en fonction des métiers." explique Jean-Noël de Galzain, P-DG de WALLIX et président d'Hexatrust.

Même son de cloche chez Florence Mottay : " Le Zero Trust, ce n'est pas ajouter une couche, mais repenser l'architecture". Et, in fine, simplifier les processus".
La RSSI de Zalando regrette que le terme ait "perdu beaucoup de son sens" du fait de sa "surutilisation par les entreprises commerciales". Elle remarque qu'il génère "beaucoup d'incompréhension". Spécifiquement, une absence de distinction entre "ne faire confiance à rien" et "ne faire confiance à rien par défaut".

Benoît Fuzeau acquiesce : "la gouvernance est "un des principaux piliers du Zero trust ". En toile de fond, la nécessité de repenser les applications et les accès aux données. Ou, comme le formule Manfred Boudreaux-Drehmer, le CIO de l'OTAN, "comprendre les utilisateurs et les objets auxquels ils accèdent".

Michel Dubois partage ce constat : "La complexité est déportée sur les gens qui font de la cyber et ça se traduit par une appropriation plus simple pour les utilisateurs". Qui, par exemple, n'ont plus à saisir systématiquement leur mot de passe grace à la propagation des identités.

Illustration © AndSus - Adobe Stock