Le VPN d'entreprise reposait sur une idée simple : on creuse un tunnel chiffré vers le réseau, et tout ce qui circule à l'intérieur est digne de confiance. Cette idée a tenu vingt ans. Elle ne tient plus, parce que le mot de passe qui ouvre le tunnel s'achète désormais pour quelques euros sur un forum, et parce que la moitié des connexions vient d'appareils que personne n'administre.
Le résultat est mesurable. Selon le Verizon Data Breach Investigations Report 2025, 44 % des violations analysées impliquent un rançongiciel, contre 32 % l'année précédente, et 60 % mobilisent un facteur humain. Dans le même temps, le rapport IBM Cost of a Data Breach 2025 chiffre le coût moyen mondial d'une violation à 4,44 millions de dollars, avec les identifiants compromis comme premier vecteur d'entrée.
Cet article explique ce qui a changé, ce que le Zero Trust corrige concrètement, comment le déployer par étapes dans une PME de 20 à 200 personnes, et combien cela coûte réellement en euros.
Pourquoi le VPN d'entreprise ne protège plus
Un VPN authentifie l'utilisateur une fois, puis lui fait confiance : le tunnel donne accès à l'ensemble du réseau interne, serveurs de fichiers, annuaire, applications métier et parfois hyperviseurs. Un identifiant volé, une session détournée ou une appliance non corrigée suffisent donc à placer un attaquant à l'intérieur du système d'information, avec les mêmes droits qu'un salarié.
Trois évolutions ont rendu ce modèle dangereux.
- La surface d'exposition. Un portail VPN doit être joignable depuis Internet. Les campagnes de scan sont permanentes, et les appliances SSL-VPN figurent régulièrement au catalogue des vulnérabilités exploitées, publié par la CISA : Fortinet, Ivanti Connect Secure, Citrix NetScaler y sont apparus entre 2024 et 2025 pour des failles permettant l'exécution de code sans authentification.
- Le travail hors les murs. Télétravail, déplacements, sous-traitants : l'accès distant n'est plus l'exception de quelques cadres, c'est le mode normal de travail d'une partie des effectifs, sur des appareils souvent personnels.
- Le déplacement du patrimoine. Les données ne sont plus seulement dans le serveur de fichiers : elles sont dans Microsoft 365, dans un CRM en SaaS, dans un drive partagé. Protéger le réseau tout en laissant les applications ouvertes à Internet revient à verrouiller la porte d'entrée d'un bâtiment dont les fenêtres sont grandes ouvertes.
Zero Trust : trois principes, pas un catalogue produit
Le Zero Trust ne consiste pas à remplacer un boîtier par un autre. Il remplace la confiance implicite par une vérification à chaque accès : on contrôle l'identité de la personne, l'état de son appareil et l'application réellement demandée, puis on n'ouvre que celle-là, pour la durée nécessaire. Le cadre de référence reste le NIST SP 800-207, publié en août 2020.
Quatre règles en découlent, applicables telles quelles dans une PME.
- Vérifier explicitement. Chaque connexion s'authentifie, y compris à l'intérieur du réseau. L'authentification multifacteur n'est pas une option, y compris pour les comptes de service.
- Donner le minimum de droits. Un comptable accède à l'application de comptabilité, pas au serveur qui la porte. Un prestataire accède aux deux serveurs qu'il administre, pas au domaine entier.
- Segmenter par application. L'accès se fait vers une application, pas vers un sous-réseau. C'est la différence concrète entre un VPN et un accès de type ZTNA.
- Supposer la compromission. On journalise, on alerte et on isole. Un poste qui ne respecte plus les critères de sécurité perd son accès automatiquement, sans intervention humaine.
| Critère | VPN classique | Accès applicatif ZTNA | Zero Trust complet |
|---|---|---|---|
| Portée de l'accès | Tout le réseau | Une application à la fois | Application et données |
| Moment de la vérification | À l'ouverture du tunnel | À chaque connexion | À chaque requête |
| Exposition sur Internet | Portail joignable | Portail authentifié | Aucune écoute entrante |
| État de l'appareil contrôlé | Rarement | Oui | Oui, en continu |
| Licence indicative par utilisateur | 0 à 3 € par mois | 5 à 12 € par mois | 12 à 25 € par mois |
Ordres de grandeur du marché francilien en 2026, licences seules, hors intégration et hors support.
Déployer un accès distant Zero Trust en PME : cinq étapes
Un projet Zero Trust en PME se mène en cinq étapes, sur trois à six mois selon la taille du parc. La clé est de commencer par l'inventaire des accès réels, pas par le choix d'un produit : la plupart des dépassements de budget viennent d'une solution achetée avant d'avoir compris ce qu'elle devait remplacer.
1. Cartographier les accès existants
Listez qui se connecte à quoi, depuis quel appareil, et par quel moyen : VPN, bureau à distance, partage de fichiers exposé, accès prestataire permanent. Comptez les équipements réellement joignables depuis Internet. Cette étape prend deux à cinq jours dans une PME et révèle presque toujours deux ou trois accès oubliés, souvent les plus risqués.
2. Consolider l'identité avant tout le reste
Un annuaire unique, l'authentification multifacteur sur tous les comptes, des comptes administrateurs distincts des comptes de travail, et une procédure de départ appliquée le jour même. Sans cette base, un accès applicatif moderne ne protège rien : il déplace le problème.
3. Remplacer le tunnel par un accès applicatif
Le VPN collaborateur laisse place à un accès de type ZTNA, qui publie les applications une par une et vérifie l'identité et l'appareil à chaque connexion. Le VPN peut rester, mais uniquement pour l'administration des serveurs, réservé aux comptes techniques et protégé par MFA.
4. Définir la conformité de l'appareil
Trois critères suffisent pour démarrer : système à jour, disque chiffré, antivirus supervisé. Un appareil non conforme n'obtient pas d'accès, ou seulement un accès restreint. C'est ce contrôle qui empêche un poste personnel compromis de servir de tremplin.
5. Journaliser et revoir
Centralisez les journaux de connexion, alertez sur les connexions hors horaires ou depuis un pays inhabituel, et faites une revue trimestrielle des comptes et des droits. Une revue annuelle ne suffit pas : un compte de stagiaire encore actif dix mois après son départ est un incident en attente.
Combien coûte un accès distant Zero Trust en PME
Pour une PME francilienne de 20 à 50 utilisateurs, un socle d'accès distant Zero Trust représente un investissement de première année de l'ordre de 4 000 à 12 000 € HT, licences et intégration comprises. Au-delà, le coût suit le nombre d'utilisateurs et le nombre d'applications publiées, pas la taille de l'entreprise.
| Poste | PME 20 utilisateurs | PME 50 utilisateurs |
|---|---|---|
| Accès applicatif (licences annuelles) | 1 200 à 2 900 € | 3 000 à 7 200 € |
| Authentification multifacteur et SSO | 600 à 1 500 € | 1 500 à 3 800 € |
| Intégration et migration des accès | 3 à 6 jours | 8 à 15 jours |
| Exploitation, revue trimestrielle | 2 jours par an | 4 jours par an |
| Total première année (ordre de grandeur) | 4 000 à 7 000 € HT | 8 000 à 12 000 € HT |
À comparer au coût d'un incident : arrêt d'activité, restauration, communication client, et éventuellement notification à la CNIL. Pour une PME, la facture d'un rançongiciel se compte en semaines d'activité perdues bien avant de se compter en euros.
FAQ - Accès distant et Zero Trust en PME
Faut-il abandonner le VPN du jour au lendemain ?
Non. La trajectoire réaliste consiste à garder le VPN pour l'administration des serveurs, en le restreignant aux comptes techniques et en le protégeant par MFA, et à basculer les usages collaborateurs vers un accès applicatif. La plupart des PME y arrivent en deux vagues de trois mois.
Le Zero Trust est-il réservé aux grands groupes ?
Non, l'approche est même plus rentable en PME, parce que le périmètre est plus petit et l'inventaire plus rapide. Une PME de 30 à 80 utilisateurs obtient un socle crédible avec un accès applicatif, l'authentification multifacteur et une revue trimestrielle des comptes, sans projet de deux ans.
Que devient un prestataire qui intervient ponctuellement ?
Il reçoit un compte nominatif, un accès limité aux serveurs qu'il administre, une fenêtre horaire et une journalisation de ses connexions. Les comptes partagés et les accès permanents sont la première source d'incident impliquant un tiers, et la première chose qu'un auditeur demande.
Faut-il remplacer le parc informatique pour faire du Zero Trust ?
Non. La vérification de l'appareil s'appuie sur ce qui existe déjà : système à jour, chiffrement du disque, antivirus supervisé, session verrouillée. Un parc de trois à cinq ans convient, à condition que les mises à jour soient réellement appliquées et que les postes non conformes soient isolés.
Comment savoir si l'accès distant est réellement plus sûr ?
Trois indicateurs suffisent : le nombre d'équipements exposés sur Internet, qui doit tendre vers zéro ; le pourcentage de connexions passant par MFA, qui doit atteindre 100 pour cent ; et le délai de détection d'une connexion anormale. Ils se mesurent chaque mois, pas une fois par an.
Combien d'accès à votre système d'information sont réellement exposés aujourd'hui ?
2SRK Solutions Informatiques cartographie gratuitement vos accès distants pour les PME et ETI d'Île-de-France : inventaire des équipements joignables depuis Internet, comptes à privilèges, accès prestataires, état du parc. Vous recevez un plan de migration vers un accès applicatif, priorisé et chiffré. Sans engagement.
Demander mon audit des accès distantsEn résumé : un VPN ouvre un tunnel puis fait confiance, un accès Zero Trust vérifie à chaque connexion, appareil et application compris. Le chantier tient en cinq étapes et se chiffre entre 4 000 et 12 000 € HT la première année pour 20 à 50 utilisateurs. La première action ne coûte rien : compter les accès réellement ouverts depuis Internet et supprimer ceux que personne n'utilise plus.
Vous avez aimé cet article ? Partagez-le :
🔗 Partager sur LinkedIn · 🐦 Partager sur X
📄 Article rédigé par 2SRK Solutions Informatiques - Infogérance, cybersécurité et architectures cloud pour PME et ETI en Île-de-France.