La confiance zéro devient une réalité des marchés publics fédéraux

La confiance zéro fait partie des discussions fédérales sur la cybersécurité depuis des années. Ce qui change aujourd'hui, c'est le niveau de détail pratique, d'examen attentif et d'urgence entourant sa mise en œuvre. Pour les sous-traitants fédéraux, les organisations de la base industrielle de défense et les équipes qui prennent en charge des systèmes gouvernementaux sensibles, la confiance zéro n'est plus une philosophie de sécurité abstraite. Elle devient un élément de la manière dont les agences évaluent la préparation, la résilience et le risque.

En janvier 2026, la National Security Agency a publié de nouveaux documents de lignes directrices sur la mise en œuvre de la confiance zéro, notamment un guide introductif et des recommandations pour la phase de découverte, suivis de recommandations supplémentaires pour la mise en œuvre des phases un et deux. Ces documents s'appuient sur les orientations fédérales antérieures du NIST, de la CISA, de l'OMB et sur les référentiels de cybersécurité de la défense. Leur objectif n'est ni de vendre un outil ni de promouvoir un modèle technique étroit. Ils offrent aux responsables des systèmes, aux équipes de cybersécurité et aux parties prenantes une voie plus concrète pour passer de la théorie de la confiance zéro à sa mise en œuvre opérationnelle.

Cela compte, car de nombreuses organisations sous-estiment encore l'écart entre déclarer soutenir la confiance zéro et être capables de le démontrer concrètement. Un fournisseur d'identité moderne, l'authentification multifacteur, la détection sur les terminaux ou un nouvel outil de surveillance peuvent faire partie de la réponse. Pris isolément, aucun de ces éléments ne rend une organisation prête pour la confiance zéro.

Ce que les directives fédérales signalent réellement

Le gouvernement fédéral s'engage dans cette direction depuis au moins le décret présidentiel 14028 et le mémorandum M-22-09 de l'OMB, qui ont poussé les agences civiles à atteindre des objectifs précis de cybersécurité fondés sur la confiance zéro d'ici la fin de l'exercice 2024. Le modèle de maturité de la confiance zéro de la CISA, publié pour commentaires publics en 2021 puis mis à jour, a fourni aux agences un moyen d'évaluer leurs progrès dans des domaines essentiels tels que l'identité, les appareils, les réseaux, les applications, les charges de travail et les données.

Les documents de la NSA de 2026 sur les lignes directrices de mise en œuvre de la confiance zéro ajoutent un niveau supplémentaire : ils aident les organisations à réfléchir au travail concret nécessaire pour progresser dans les phases de mise en œuvre. Cela comprend les travaux de découverte, les activités fondamentales et des tâches de mise en œuvre plus précises dans les domaines de l'identité, des appareils, des applications, des données, des réseaux, de l'automatisation et de la visibilité.

Pour les sous-traitants, le message pratique est simple. Les agences et les clients du secteur de la défense attendent de plus en plus de leurs partenaires qu'ils comprennent les principes de la confiance zéro, qu'ils prennent en charge des environnements alignés sur la confiance zéro et qu'ils opèrent d'une manière qui n'affaiblisse pas la posture de sécurité du gouvernement. Cela ne signifie pas que chaque sous-traitant est soumis exactement au même délai ou à la même liste de contrôle technique. Cela signifie en revanche que la direction est claire.

La confiance zéro n'est pas une catégorie de produits

L'une des erreurs les plus faciles à commettre consiste à traiter la confiance zéro comme quelque chose qu'une organisation peut acheter. Le marché regorge de produits qui utilisent le vocabulaire de la confiance zéro, et nombre de ces outils peuvent être utiles. Mais la confiance zéro elle-même est une architecture et un modèle opérationnel. Elle modifie la manière dont les systèmes accordent leur confiance aux utilisateurs, aux appareils, aux services, aux données et au trafic réseau.

Les modèles de sécurité traditionnels reposaient souvent trop fortement sur l'idée d'un réseau interne de confiance. Une fois qu'un utilisateur ou un système se trouvait « à l'intérieur », ses accès étaient souvent plus larges que nécessaire. La confiance zéro part d'une hypothèse différente : aucun utilisateur, appareil, charge de travail ou connexion ne doit être automatiquement approuvé. L'accès doit être explicite, limité, évalué en continu et lié à une politique.

Cela semble simple jusqu'à ce que l'on touche à l'infrastructure réelle. Les systèmes anciens peuvent ne pas prendre en charge les schémas d'identité modernes. Les applications internes peuvent avoir évolué autour d'hypothèses qui ne sont plus valables. Les données peuvent circuler entre les outils sans classification claire. Les segments réseau peuvent refléter d'anciennes décisions d'hébergement plutôt que le risque métier réel. Les journaux peuvent exister, mais pas sous une forme permettant une surveillance ou une réponse pertinentes.

C'est pourquoi les travaux liés à la confiance zéro deviennent très rapidement des travaux d'infrastructure.

Le point de vue des sous-traitants

Pour les sous-traitants fédéraux, les enjeux vont au-delà de l'hygiène de sécurité interne. La préparation à la confiance zéro influe de plus en plus sur la crédibilité d'une organisation en tant que partenaire gouvernemental. Les agences recherchent des fournisseurs et des partenaires de mise en œuvre qui comprennent l'identité, le contrôle des accès, la segmentation, la surveillance, la gestion sécurisée des données et la résilience opérationnelle. Un sous-traitant incapable d'expliquer son approche dans ces domaines pourrait avoir plus de difficulté à concourir pour des missions liées à des systèmes sensibles ou à des environnements réglementés.

Une récente analyse du secteur, notamment un déploiement anonymisé de 26 semaines chez un sous-traitant décrit par Cabrillo Club, renforce un point utile : même une première mise en œuvre de la confiance zéro peut prendre des mois lorsque l'organisation est déjà partiellement préparée. Le travail comprend souvent la découverte, les décisions relatives aux politiques, les changements d'identité, les améliorations des terminaux, la segmentation réseau, la surveillance, la gouvernance et la communication entre les équipes techniques et métier.

Ce calendrier ne devrait pas dissuader les organisations de commencer. Il devrait produire l'effet inverse. Si le travail prend des mois, attendre une exigence contractuelle, une constatation d'audit ou une demande urgente d'une agence est une mauvaise stratégie.

Les implications opérationnelles

Une démarche sérieuse de confiance zéro touche généralement plusieurs composantes de l'environnement technologique :

Gestion des identités et des accès, notamment une authentification renforcée, la conception des rôles, l'accès conditionnel et les autorisations selon le principe du moindre privilège
Posture des appareils et des terminaux, notamment la visibilité sur les éléments qui se connectent, leur gestion et leur conformité aux exigences de sécurité
Segmentation réseau, notamment les moyens de réduire l'ampleur d'une compromission
Accès aux applications et aux charges de travail, notamment la communication de service à service et l'autorisation fondée sur des politiques
Classification et protection des données, notamment des contrôles qui suivent les données sensibles au lieu de dépendre uniquement de leur emplacement de stockage
Surveillance et analyse, notamment la visibilité sur les schémas d'accès, les anomalies et les comportements suspects
Automatisation et réponse, notamment des flux de travail qui aident les équipes à agir rapidement lorsque le niveau de risque évolue

La mise en œuvre précise variera selon l'organisation. Un petit sous-traitant fédéral utilisant principalement le cloud n'aura pas le même parcours qu'un grand fournisseur de défense doté de systèmes anciens, de plusieurs réseaux et d'obligations complexes en matière de partage des données. Mais la discipline de planification reste similaire : comprendre l'état actuel, cartographier les lacunes présentant les risques les plus élevés, hiérarchiser les travaux et éviter de prétendre que quelques achats d'outils isolés constituent une architecture.

Les erreurs de mise en œuvre

Les projets de confiance zéro rencontrent généralement des difficultés pour des raisons prévisibles. Parfois, l'organisation commence par les produits avant de comprendre l'architecture. Parfois, les équipes de sécurité définissent des contrôles sans recueillir suffisamment les avis des personnes qui exploitent quotidiennement les systèmes. Parfois, l'effort devient un exercice de conformité, dont l'objectif est de produire des preuves plutôt que de réduire les risques réels.

Le schéma d'échec le plus courant est la fragmentation. Une équipe ajoute un nouveau fournisseur d'identité. Une autre ajoute des outils pour les terminaux. Une autre améliore la journalisation. Une autre lance un projet de segmentation. Chaque initiative peut être raisonnable isolément, mais sans conception cohérente, l'organisation se retrouve avec des contrôles difficiles à exploiter, à auditer et à expliquer.

Ce n'est pas une stratégie de confiance zéro. C'est un ensemble d'améliorations de sécurité auquel on a apposé une étiquette de confiance zéro.

Comment Ridiculous Engineering envisage la préparation à la confiance zéro

Chez Ridiculous Engineering, nous abordons la confiance zéro comme un problème d'architecture et de mise en œuvre, et non comme un exercice consistant à cocher des cases. L'objectif n'est pas de rendre un schéma plus moderne ni d'ajouter un produit à un environnement déjà complexe. Il s'agit d'aider les organisations à prendre des décisions concrètes concernant l'identité, les accès, les flux de données, les limites de l'infrastructure, la surveillance et les processus opérationnels.

Ce travail commence par une évaluation honnête de l'état actuel. Quels sont les systèmes les plus importants ? Où résident les données sensibles ? Comment les utilisateurs et les services s'authentifient-ils ? Quelles applications dépendent encore d'une confiance implicite ? Quels journaux sont utiles, et lesquels n'existent que parce qu'un outil les produit ? Où une compromission se propagerait-elle trop facilement ? Quels contrôles créeraient des frictions inacceptables s'ils étaient mal mis en œuvre ?

À partir de là, les organisations peuvent établir une feuille de route hiérarchisée. Tout n'a pas besoin d'être réalisé en même temps. En fait, vouloir tout faire d'un coup est souvent la manière dont ces initiatives perdent leur élan. La meilleure approche consiste à repérer les lacunes présentant les risques les plus élevés, à séquencer les travaux et à concevoir des améliorations qui rendent simultanément l'environnement plus sûr et plus facile à exploiter.

Pour de nombreux sous-traitants, cela peut signifier renforcer d'abord l'identité et les accès, améliorer la visibilité sur les terminaux, puis passer à la segmentation, aux contrôles des données et aux améliorations de la surveillance. Pour d'autres, la première étape appropriée peut être la modernisation des applications, le nettoyage de l'architecture cloud, la conception des politiques ou une meilleure collecte de preuves pour les audits et les évaluations des clients.

Le bon moment pour commencer, c'est avant que cela ne devienne urgent

Le Zero Trust n’est pas une idée nouvelle, mais les attentes en matière de mise en œuvre deviennent plus concrètes. Les agences fédérales subissent des pressions pour renforcer leur propre posture de sécurité, et cette pression se répercute naturellement sur l’écosystème des sous-traitants. Les sous-traitants qui prennent en charge des systèmes gouvernementaux, traitent des données sensibles ou s’intègrent à des environnements fédéraux doivent s’attendre à davantage de questions sur la façon dont leurs systèmes authentifient, autorisent, surveillent, segmentent et protègent les données.

Le coût des retards ne se limite pas au risque de non-conformité. Il se manifeste aussi par les perturbations opérationnelles liées à la mise en place précipitée de mesures de sécurité. Lorsque les initiatives Zero Trust sont menées dans l’urgence, les organisations ont tendance à acheter des outils avant de comprendre le problème, à créer des politiques qui frustrent les utilisateurs et à mettre en place des contrôles difficiles à maintenir. Lorsque le travail est planifié, il peut améliorer la sécurité tout en simplifiant certaines parties de l’environnement.

Si votre organisation a besoin de comprendre où elle en est, de se préparer aux exigences fédérales en matière de cybersécurité ou de transformer les recommandations Zero Trust en feuille de route de mise en œuvre concrète, Ridiculous Engineering peut vous aider. Nous travaillons avec nos clients pour évaluer l’état actuel, définir des priorités réalistes, concevoir l’architecture et passer du langage des politiques à des systèmes réellement exploitables.

Le Zero Trust ne consiste pas à courir après un mot à la mode. Il s’agit de réduire les suppositions là où elles créent des risques. Pour les sous-traitants fédéraux, cela devient rapidement un élément essentiel pour être un partenaire technologique crédible et fiable.

Sources et lectures complémentaires : NSA : première partie de la série de directives de mise en œuvre du Zero Trust, NSA : directives de mise en œuvre du Zero Trust — phases un et deux, CISA : modèle de maturité Zero Trust, Mémorandum M-22-09 de l’OMB, Cabrillo Club : feuille de route Zero Trust pour les sous-traitants fédéraux

La confiance zéro n'est plus facultative : les sous-traitants fédéraux face à une échéance en 2026