Le périmètre de sécurité tel que nous le connaissions a disparu, d’après Tony Fergusson, CISO in Residence chez Zscaler. Les entreprises se structurent désormais en écosystèmes étendus, composés de fournisseurs, de plateformes SaaS, de prestataires et de partenaires externalisés. Cette interdépendance constitue aujourd’hui l’une des principales menaces pour la résilience des organisations.
Les incidents de cybersécurité restent rarement circonscrits. Lorsqu’un fournisseur est compromis ou perturbé, les effets se propagent en cascade : interruption des opérations, exposition de données sensibles ou indisponibilité de services critiques. Malgré cela, la sécurité des organisations reste encore trop souvent circonscrite aux seuls salariés. Les prestataires et travailleurs indépendants suivant leurs propres règles de sécurité.
Dans un contexte où la majorité des responsables IT anticipent des ajustements opérationnels rapides liés aux dynamiques macroéconomiques et géopolitiques, la résilience ne peut plus être envisagée uniquement sous un angle interne. Pendant longtemps, la sécurité s’est focalisée sur la protection du périmètre interne de l’entreprise. Aujourd’hui, une approche réellement résiliente impose de considérer chaque interaction interne comme externe, avec un niveau d’exigence élevé.
Le défi est désormais clair : comment maintenir un niveau de sécurité élevé et éviter toute exposition critique des données, tout en permettant une collaboration efficace avec des partenaires externes ?
Comprendre les différentes formes de risques tiers
Les risques liés à un tiers compromis ne sont pas homogènes. Ils se manifestent selon plusieurs scénarios critiques, chacun ayant un impact spécifique sur la continuité d’activité et l’intégrité des données.
Dans l’un des scénarios les plus classiques, et les plus destructeurs, un prestataire tiers devient un point d’entrée vers le système d’information, facilitant une compromission par mouvement latéral. Typiquement, un fournisseur disposant d’un accès distant aux systèmes internes subit lui-même un incident de sécurité. En raison d’une connectivité réseau trop permissive (par exemple des tunnels VPN ou IPsec étendus), l’attaquant peut alors pivoter facilement depuis le système du fournisseur compromis vers l’environnement de l’entreprise. Le tiers devient ainsi un vecteur d’attaque, et l’impact de la compromission s’étend immédiatement à l’organisation, entraînant perturbations majeures et atteinte à la réputation.
Un autre risque fréquent réside dans le fait de partager un trop grand niveau d’informations. De nombreuses organisations exposent, souvent sans en avoir conscience, un volume excessif de données à leurs partenaires. Cela peut se traduire par le partage d’une base de données complète alors que seuls certains indicateurs sont nécessaires, ou par l’octroi d’un accès global à un système pour un besoin fonctionnel limité. Ce partage trop important et mal maîtrisé crée une surface de risque importante : si le tiers est compromis, l’attaquant accède instantanément à l’ensemble des données exposées. Propriété intellectuelle, données clients ou informations opérationnelles peuvent alors être exfiltrées non pas en raison d’une défaillance interne, mais à cause d’un partenaire, un risque particulièrement difficile à maîtriser une fois les données transmises.
Un troisième type de risque concerne la perturbation fonctionnelle. Ici, la compromission d’un tiers n’entraîne pas nécessairement de fuite de données, mais une indisponibilité de service. Si un fournisseur cloud critique, une plateforme SaaS ou un service externe essentiel devient indisponible à la suite d’une cyberattaque (par exemple un rançongiciel), l’organisation perd sa capacité à exécuter certaines fonctions clés. L’impact sur la continuité d’activité et la résilience est alors immédiat.
Enfin, une nouvelle catégorie de risque émerge avec le développement de l’IA agentique. Les organisations commencent à déployer des centaines, voire des milliers d’agents autonomes : véritables « collaborateurs numériques », pour automatiser des tâches. Ces agents nécessitent un accès aux systèmes et aux données, ce qui en fait la forme la plus massive et la plus rapide de “tiers” jamais introduite dans une organisation. En l’absence de mécanismes robustes d’authentification, de contrôle et de responsabilité, ces agents constituent un risque majeur encore largement sous-estimé.
Renforcer la résilience : dépasser le modèle du moindre privilège
Pour faire face à ces risques, les organisations doivent dépasser l’approche traditionnelle du moindre privilège et évoluer vers un modèle centré sur la donnée, visant à minimiser l’exposition des informations et à renforcer la vérification de la confiance.
Le principe classique du Zero Trust est simple. Il vise à limiter les accès des données accessibles ou manipulables, même après authentification.
Concrètement, les politiques d’accès ne reposent plus uniquement sur l’identité, mais également sur le contexte et l’usage des données. Par exemple, un prestataire peut accéder à un système ERP, tout en étant empêché de consulter des données financières sensibles ou des informations relatives à des opérations de fusion-acquisition.
Cette approche s’étend également à la notion de fonction minimale : un utilisateur doit-il lire, modifier ou supprimer des données ? Restreindre les droits à un accès en lecture seule permet, par exemple, de réduire fortement les risques de modification ou de destruction accidentelle ou malveillante.
Par ailleurs, l’intégration de mécanismes basés sur l’intention, s’appuyant sur l’IA, permet d’analyser le contexte des actions utilisateurs (requêtes, séquences d’actions) afin de détecter et bloquer les comportements anormaux ou à risque, indépendamment des droits théoriques accordés.
Le surpartage étant souvent lié à un besoin de validation simple, les preuves à divulgation nulle de connaissance (Zero-Knowledge Proofs) offrent une réponse cryptographique particulièrement adaptée. Leur principe est de démontrer la possession d’une information sans jamais la révéler.
Dans les échanges avec des partenaires, cela transforme profondément le modèle. Plutôt que de fournir l’ensemble des données d’inventaire, un système peut répondre à une requête fonctionnelle du type : « Le stock de cet article dépasse-t-il 500 unités ? », en fournissant une réponse binaire, sans exposer les données sous-jacentes.
De la même manière, pour la vérification d’identité, il devient possible de prouver qu’un utilisateur satisfait à une condition (par exemple être autorisé à accéder à un service) sans divulguer d’informations personnelles sensibles telles que le nom, l’adresse ou la date de naissance.
Ainsi, même en cas de compromission d’un partenaire, les informations exploitables restent strictement limitées à des requêtes spécifiques, empêchant l’accès aux données brutes. L’impact potentiel d’un incident est alors considérablement réduit.
Vers un Zero Trust étendu à l’ensemble de l’écosystème
La résilience face aux risques liés aux tiers et à la chaîne d’approvisionnement repose sur la suppression de la distinction artificielle entre « interne » et « externe ».
Les organisations fonctionnent comme des écosystèmes hybrides, composés d’employés, de prestataires, de partenaires et d’agents automatisés.
Dans ce contexte, traiter chaque entité comme un tiers constitue l’aboutissement logique du modèle Zero Trust. Un employé, potentiellement négligent ou malveillant, ne doit pas bénéficier d’un niveau de confiance implicite supérieur à celui d’un prestataire qualifié et contrôlé.
En appliquant de manière uniforme les principes de moindre privilège, de moindre information et de contrôle strict des accès à l’ensemble des acteurs, y compris les agents d’IA, les organisations peuvent construire une posture de sécurité cohérente et robuste.
Le modèle de sécurité fondé sur le périmètre appartient désormais au passé. Dans un environnement interconnecté, la résilience repose sur trois piliers : maîtriser les accès, réduire l’exposition des données et vérifier en continu l’intention des actions, à l’échelle de l’ensemble de l’écosystème.
