// CLUBIC — MODA & SOCIETÀ
Zero Trust : la doctrine de sécurité des grandes entreprises est-elle vraiment applicable dans une PME de 20 personnes ?
Vous avez sans doute classé le Zero Trust dans les sujets réservés aux grands groupes, avec leurs équipes de sécurité dédiées. Et c'est bien logique quand votre entreprise compte vingt salariés et personne à plein temps sur la cybersécurité.
Mais d'après le baromètre d'OpinionWay pour Cybermalveillance.gouv.fr, dont on vous a parlé, 26 % seulement des 588 entreprises interrogées disposaient d'une solution de double authentification. Cet échantillon est représentatif des entreprises françaises de moins de 250 salariés.
Or les piratages de compte sont la première menace pour les entreprises et associations, avec 21 % des parcours d'assistance réalisés en 2025 et une croissance de 52 %, selon le rapport de ce dispositif. L'ANSSI a publié en juin 2025 une fiche de synthèse sur le modèle Zero Trust, dont l'authentification systématique est un des principes de défense en profondeur.
Mais devez-vous pour autant vous aussi adopter ce principe du Zero Trust ?
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
La formule courte du Zero Trust est « ne jamais faire confiance, toujours vérifier ».
Le texte de l'ANSSI est plus mesuré. Dans ses fondamentaux du modèle Zero Trust, publiés le 20 juin 2025, l'agence fixe pour objectif principal de « réduire la confiance implicite » accordée aux utilisateurs et aux équipements lorsqu'ils accèdent au système d'information. Cette confiance implicite est celle dont bénéficie un ordinateur dès qu'il est branché au réseau du bureau, ou un compte dès que le mot de passe saisi est valide.
L'ANSSI énonce cinq principes, dont l'accès au plus faible niveau de privilège nécessaire et le contrôle de chaque demande avec une attention égale, qu'elle vienne du réseau interne ou de l'extérieur.
Elle rappelle que le télétravail, l'usage d'appareils personnels (« BYOD ») et les accès à des services sur site ou dans le cloud sont en progression. Elle retient aussi une « évaluation dynamique et régulière du contexte d'accès », en particulier de « l'état de sécurité du poste » utilisé. Vous pouvez donc traiter différemment un accès à la messagerie depuis un poste à jour et depuis un ordinateur personnel sans mises à jour.
L'agence écarte enfin l'idée d'un remplacement de la protection actuelle. Elle écrit que « bien souvent, les modèles Zero Trust et de défense périmétrique sont opposés alors qu'ils sont complémentaires ». Vous gardez donc vos protections actuelles.