Zero Trust accélère son déploiement dans l'enseignement supérieur : enseignements de la transformation de l'architecture de sécurité de VCU.

La confiance zéro accélère sa diffusion dans l'enseignement supérieur : les enseignements de la transformation de l'architecture de sécurité de la VCU

En 2020, la pandémie de COVID-19 a contraint un grand nombre d'institutions à recourir au télétravail, révélant des problèmes tels que la surface d'exposition trop importante des VPN traditionnels et la gestion approximative des droits d'accès. Dan Han, CISO de l'Université du Commonwealth de Virginie (VCU), a officiellement mis en place une architecture de confiance zéro en 2022, remplaçant le VPN par la plateforme ZTNA de Zscaler, et automatisant les autorisations grâce à Microsoft Entra ID couplé au système RH. Ce cas montre que la confiance zéro est passée des directives gouvernementales à des domaines plus larges comme l'éducation et les entreprises, pour devenir une orientation consensuelle pour les architectures de sécurité de nouvelle génération.

Aperçu : le parcours de transformation de la VCU vers la confiance zéro

La VCU est une université publique de recherche située à Richmond, en Virginie, avec environ 28 800 étudiants. Avant la pandémie, Dan Han suivait déjà de près la tendance du télétravail, mais ce n'est qu'en 2020, quand la pandémie a obligé les employés à travailler à domicile, que la confiance zéro est devenue une priorité. En 2022, la VCU a achevé la mise à niveau de son architecture de sécurité centrale :

• Choix technologiques : adoption de la plateforme Zero Trust Network Access (ZTNA) de Zscaler en remplacement du VPN traditionnel ; utilisation de Microsoft Entra ID (anciennement Azure Active Directory) pour l'authentification des identités ; synchronisation du système RH et des outils de sécurité via le protocole SCIM ; exploitation de la détection sur les terminaux (EDR) de CrowdStrike pour renforcer la visibilité sur les points de terminaison.
• Conception de base : des politiques de sécurité « indépendantes de la localisation », offrant une protection cohérente que l'utilisateur se trouve sur le campus, à la maison ou dans un café ; configuration automatique des droits d'accès aux applications à partir des codes de département et de poste du système RH, appliquant ainsi le principe du moindre privilège.
• Résultats de la mise en œuvre : après la connexion de l'utilisateur à son ordinateur, Entra ID vérifie son identité et synchronise les informations avec le système RH, puis Zscaler procède à une autorisation dynamique ; l'équipe de sécurité surveille en permanence l'état de santé des appareils et le comportement des utilisateurs, et peut révoquer immédiatement l'accès en cas d'anomalie. Dan Han déclare : « Nous limitons maintenant le rayon d'explosion, c'est ce que nous pouvons faire. »

Analyse technique et des risques : pourquoi le modèle VPN n'est plus viable

Le modèle de sécurité réseau traditionnel est souvent comparé à un « château et ses douves » — le pare-feu protège tous les actifs internes, l'intérieur est implicitement fiable, et le VPN sert de pont-levis pour l'accès à distance. Or, ce modèle présente des défauts structurels :

• Surface d'exposition trop large : la passerelle VPN, déployée sur l'internet public, devient une cible privilégiée pour les attaquants. Une fois compromise, ceux-ci peuvent pénétrer dans le réseau interne et se déplacer latéralement.
• Droits d'accès trop permissifs : une fois connecté au VPN, l'utilisateur obtient généralement un accès à l'ensemble du réseau, et non uniquement aux ressources nécessaires à son travail, ce qui accentue le risque de vol d'identifiants.
• Absence de visibilité : les utilisateurs distants se trouvent hors du périmètre, ce qui rend difficile pour l'équipe de sécurité la surveillance du comportement de leurs appareils, créant un angle mort de supervision.L'architecture zéro confiance, quant à elle, repose sur le principe « ne jamais faire confiance, toujours vérifier », structurée autour de cinq piliers : l'identité, les appareils, le réseau, les charges applicatives et les données, et exige des investissements simultanés dans l'analyse de visibilité, l'orchestration automatisée et les politiques de gouvernance. La ZTNA, en établissant une connexion directe chiffrée entre l'utilisateur et l'application, n'expose que les applications autorisées, évitant ainsi les mouvements latéraux au niveau du réseau. Elle combine également des technologies telles que l'authentification multifacteur (MFA), l'analyse comportementale des entités utilisateurs (UEBA), la micro-segmentation et la prévention des fuites de données (DLP), formant ainsi une défense en profondeur.

L'analyste d'ESG, John Grady, souligne : « L'approche traditionnelle — un VPN visible publiquement, qui une fois connecté donne accès à tout — ne peut guère être qualifiée d'efficace. » Il estime que l'accès distant constitue le maillon technologique le plus obsolète dans la plupart des organisations et représente le meilleur point d'entrée pour la mise en œuvre de la zéro confiance.

Analyse d'impact pour les entreprises : des défis communs entre l'enseignement supérieur et les organisations

La pratique de la VCU n'est pas un cas isolé. Les établissements d'enseignement supérieur sont confrontés à des besoins de protection des données très similaires à ceux des entreprises : les actifs sensibles tels que les données de recherche, la vie privée des étudiants et les informations financières sont tout aussi soumis à des réglementations (comme la FERPA et le RGPD). Du point de vue des entreprises, la transition vers la zéro confiance nécessite de prêter attention aux risques suivants :

• Risque opérationnel : après l'introduction de l'automatisation dans la gestion des autorisations, des données inexactes dans le système RH ou des pannes d'interface peuvent empêcher des utilisateurs légitimes d'accéder à des ressources critiques, ou faire en sorte que d'anciens employés conservent leurs droits. Il est donc nécessaire de mettre en place un processus stable de gouvernance des identités.
• Risque financier : la zéro confiance implique l'acquisition de plusieurs types d'outils (ZTNA, MFA, UEBA, DLP, etc.) ainsi que des frais d'abonnement aux services cloud. Cependant, les pertes potentielles résultant d'une fuite de données dépassent souvent de loin l'investissement en sécurité, en particulier pour les établissements d'enseignement supérieur qui peuvent faire face à des poursuites judiciaires et à des amendes réglementaires.
• Risque de conformité : des cadres tels que la CISA et le NIST exigent que les agences fédérales adoptent la zéro confiance, et les exigences de conformité au sein des chaînes d'approvisionnement des entreprises poussent également les partenaires à disposer d'un niveau de sécurité équivalent. Ne pas suivre cette tendance peut entraîner une perte d'opportunités commerciales.
• Risque de réputation : un incident de sécurité dans une université ou une entreprise affecte directement la confiance du public, en particulier lorsqu'il implique des données de recherche et des dossiers d'étudiants. La conception du « moindre privilège » de la zéro confiance peut réduire considérablement la portée d'une fuite de données.
• Risque lié aux données : la DLP et la classification des données constituent les points délicats de la zéro confiance ; de nombreuses organisations n'ont pas encore réalisé un inventaire complet de leurs actifs de données. La VCU prévoit déjà de déployer des outils de classification des données et une DLP avancée, ce qui devrait devenir une priorité pour les entreprises à l'étape suivante.

Observation des tendances du secteur : la zéro confiance devient un consensus, mais son déploiement nécessite encore une feuille de route

La popularité de la zéro confiance est passée des premiers adoptants au courant dominant. L'analyste d'ESG, John Grady, observe : « Ces dernières années, la popularité de la zéro confiance a connu une croissance explosive ; presque tout le monde considère que toute la cybersécurité devrait être traitée de cette manière. » Mais la mise en œuvre réelle progresse de manière inégale — de nombreuses organisations en sont encore à un stade précoce, et le secteur de l'enseignement supérieur est particulièrement représentatif.L’enquête EDUCAUSE 2025 montre que 32 % des professionnels de la cybersécurité et de la confidentialité dans l’enseignement supérieur déclarent avoir besoin d’une formation spécialisée en gestion des identités et des accès et en zéro confiance, ce qui reflète que le déficit de compétences est l’un des facteurs clés entravant la mise en œuvre.

Sur le plan politique, le modèle de maturité Zero Trust de la CISA fournit aux institutions une référence d’évolution par étapes, mais les entreprises ne devraient pas tenter de réaliser une refonte complète en une seule fois. Il est recommandé de commencer par les domaines à haut risque, tels que la modernisation de l’accès à distance, la gouvernance des comptes privilégiés et le renforcement de l’environnement cloud, afin d’obtenir des résultats intermédiaires quantifiables.

Défense et recommandations : comment les entreprises font progresser le zéro confiance

Sur la base du cas de la VCU et des meilleures pratiques du secteur, les décideurs en matière de sécurité des entreprises peuvent envisager les pistes suivantes :

1. Identifier les priorités de risque : Évaluer les lacunes de sécurité les plus graves, telles que les accès distants non protégés, des attributions de droits trop larges et des terminaux sans visibilité. 2. Prioriser la modernisation de l’accès à distance : Remplacer le VPN par la ZTNA pour un contrôle d’accès au niveau applicatif basé sur l’identité et l’état de l’appareil. C’est le moyen le plus rapide de réduire la surface d’attaque. 3. Mettre en œuvre la gestion des identités et des accès (IAM) : Utiliser le système RH comme source d’identité, automatiser l’attribution et la révocation des droits via des protocoles comme SCIM, afin de réduire les erreurs humaines. 4. Déployer la MFA et la vérification continue : Activer la MFA pour tous les utilisateurs et introduire progressivement l’authentification adaptative au risque (ex. scores de santé de l’appareil, détection d’anomalies comportementales). 5. Investir dans la visibilité et l’analyse : Collecter des données comportementales via UEBA, EDR et SIEM, établir une base de référence d’analyse de sécurité et détecter rapidement les anomalies. 6. Élaborer des politiques d’accompagnement : Clarifier le principe du moindre privilège, les normes de classification des données et les processus d’approbation des accès, afin d’assurer la cohérence entre la configuration technique et la gouvernance. 7. Améliorer en continu la maturité : Se référer au modèle de maturité de la CISA, évaluer régulièrement l’étape actuelle et passer progressivement d’un zéro confiance « traditionnel » à « avancé ».

SecurityPost Insight

Le cas de transformation de la VCU montre que le zéro confiance n’est pas un simple achat de technologie, mais une transformation fondamentale de l’architecture de sécurité et du modèle opérationnel. Sa valeur fondamentale réside dans le transfert des contrôles de sécurité de la « position réseau » vers « l’identité et l’appareil », permettant aux politiques de sécurité de s’adapter dynamiquement aux flux de l’activité. Pour les entreprises, le zéro confiance est à la fois un projet défensif et une refonte des processus métier — nécessitant la collaboration des équipes informatiques, des ressources humaines, des métiers et de la sécurité. Il est à noter que l’enseignement supérieur et les entreprises sont confrontés à des problèmes très similaires en matière de gouvernance des identités, de protection des données et de pression de conformité. La pratique de la VCU consistant à utiliser le système RH comme pierre angulaire de l’autorisation automatisée peut être transposée à divers types de grandes organisations. À l’avenir, avec l’augmentation des menaces renforcées par l’IA (telles que le hameçonnage automatisé et les deepfakes), la capacité de vérification dynamique du zéro confiance deviendra un mécanisme indispensable pour résister aux attaques avancées. Les entreprises devraient planifier leur feuille de route zéro confiance le plus tôt possible, commencer par les maillons les plus faibles et construire progressivement un système de sécurité résilient adapté à l’ère numérique.*Source : EdTech Magazine, “Zero Trust Takes Hold in Higher Education”, Aug 28, 2025.*