Mieux comprendre le ZTNA (Zero Trust Network Access)

Le Zero Trust Network Access (ZTNA) est un modèle de sécurité qui permet de contrôler et sécuriser l'accès aux applications et aux ressources informatiques selon le principe "ne jamais faire confiance, toujours vérifier". Contraitement aux approches traditionnelles, le ZTNA n'accorde aucun accès par défaut, même aux utilisateurs internes. Chaque demande est systématiquement vérifiée en fonction de l'identité, du contexte et du niveau de sécurité de l'appareil utilisé.

Adopté dans un contexte de cloud, télétravail et menaces cyber accrues le ZTNA s'impose aujourd'hui comme une alternative moderne aux solutions VPN traditionnelles et comme un pilier du modèle Zero Trust.

Comment définir le Zero Trust Network Access ?

Le ZTNA (Zero Trust Network Access) est une approche de cybersécrité qui vise à sécuriser l'accès aux applications plutôt qu'au réseau dans son ensemble. Il repose sur une vérification stricte et continue de chaque utilisateur et de chaque appareil avant d'accéder l'accès à une ressource spécifique.

Contrairement aux architectures traditionnelles basées sur un périmètre de confiance, le ZTNA part du principe que les menaces peuvent provenir aussi bien de l'intérieur que de l'extérieur d'un réseau. L'accès est donc accordé de manière granulaire, limitée à une ressource précise, et uniquement si les conditions de sécurité sont respectées : identité, rôle, localisation, état de l'appareil, etc.

Le ZTNA répond ainsi aux nouveaux enjeux de sécurité liés à la mobilité des utilisateurs, à la dématérialisation des infrastructures et à la multiplication des applications SaaS, tout en améliorant la visibilité et le contrôle des accès.

Comment fonctionne le ZTNA ?

Le ZTNA fontionne en contrôlant chaque demande d'accès aux applications de manière dynamique et contextuelle, sans jamais exposer le réseau interne. L'accès n'est accordé qu'après une série de verifications strictes, réalisées avant et pendant la session.  
    1. Vérification de l'identité de l'utilisateur
      Chaque utilisateur doit s'authentifier via des mécanismes forts (identité, rôle, authentification multifacteur). Le ZTNA s'appuie générlement sur une solution de gestion des identités et des accès (IAM) pour valider que l'utilisateur est bien autorisé à accéder à une ressource donnée.

    2. Évaluation de la posture de sécurité de l'appareil
      Avant d'autoriser l'accès, le ZTNA analyse l'état de l'appareil utilisé : système à jour, antivirus actif, niveau de conformité, type de terminal (poste professionnel ou personnel). Un appareil jugé non conforme peut se voir refuser l'accès, même si l'utilisateur est légitime.

    3. Accès limité à l'application, jamais au réseau
      Contrairement à un VPN traditionnel, le ZTNA ne donne aucun accès global au réseau. L'utilisateur accède uniquement à l'application spécifique pour laquelle l'autorisation a été accordée, sans visibilité sur les ressources internes.

    4. Vérification continue pendant la session
      Le niveau de confiance n'est jamais permanent. Le ZTNA surveille en continu le contexte de la connexion (changement de localisation, de comportement ou d'état de l'appareil) et peut révoquer l'accès en temps réel si un risque est détecté.

Grâce à ce fonctionnement le ZTNA permet de réduire drastiquement la surface d'attaque, de limiter les risques et d'appliquer concrètement les principes du modèle Zero Trust.

Les principes clés du ZTNA

Le ZTNA repose sur un ensemble de principes fondamentaux issus du modèle Zero Trust, qui redéfinissent la manière dont les accès aux ressources numériques sont accordés et contrôlés. Ces principes ne décrivent âs les étapes techniques mais les règles de sécurité sur lesquelles s'appuie toute architecture ZTNA.
    1. Ne jamais faire confiance par défaut
      Le ZTNA applique le principe fondamental du Zero Trust : aucun utilisateur, appareil ou connexion n'est considéré comme fiable a priori, qu'il se situe à l'intérieur ou à l'extérieur du réseau. Chaque demande d'accès doit être explicitement autorisée.

    2. Accès basé sur l'identité, pas sur le réseau
      Dans un modèle ZTNA, la confiance ne repose plus sur l'emplaement réseau, mais sur l'identité de l'utilisateur et de l'appareil. Ce principe permet de s'affranchir du périmètre réseau traditionnel et de sécuriser les accès dans des environnements hybrides et cloud.

    3. Principe du moindre privilège
      Le ZTNA applique strictement le principe du moindre privilège : un utilisateur n'accède qu'aux ressources strictementnécessaires à son rôle. Aucun accès global ou étendu n'est accordé, ce qui limite fortement les risques en cas de compromission.

    4. Accès granulaire et applicatif
      Contrairement aux approches classiques, le ZTNA repose sur un accès application par application, et non sur un accès réseau étendu. Ce principe réduit la surface d’attaque et empêche toute visibilité sur les autres ressources internes.

    5. Vérification continue du niveau de confiance
      La confiance n’est jamais permanente. Le ZTNA repose sur une évaluation continue du contexte de sécurité, permettant d’adapter ou de révoquer les droits d’accès si le niveau de risque évolue.

    6. Réduction de la surface d'exposition
      Un principe clé du ZTNA est de rendre les applications invisibles aux utilisateurs non autorisés. Les ressources ne sont accessibles qu’après validation explicite, ce qui limite considérablement les attaques par reconnaissance ou scan réseau.

ZTNA vs VPN : quelles différences ?

Le ZTNA (Zero Trust Network Access) et le VPN (Virtual Private Network) ont pour objectif commun de sécuriser les accès distants aux ressources de l’entreprise. Cependant, leur approche de la sécurité, de la gestion des accès et de l’exposition du réseau est fondamentalement différente.

Le VPN repose sur une logique de périmètre de confiance : une fois connecté, l’utilisateur accède largement au réseau interne. En cas de compromission d’un compte ou d’un appareil, un attaquant peut exploiter cette visibilité pour se déplacer latéralement dans le système d’information. Les VPN obsolètes représentent également une opportunité pour les cyberattaquants. Le ZTNA, au contraire, applique le principe Zero Trust en accordant un accès strictement limité aux applications autorisées, sans jamais exposer le réseau sous-jacent.

En clair, le ZTNA élimine ce risque en :
  • ne donnant jamais accès au réseau
  • limitant les droits à une application précise
  • appliquant une vérification continue du contexte de sécurité

Cette approche permet de réduire considérablement la surface d’attaque, tout en répondant mieux aux environnements modernes combinant cloud, SaaS et télétravail.


Le ZTNA est donc plus adapté :
  • aux environnements cloud et hybrides
  • aux organisations adoptant une stratégie Zero Trust
  • aux entreprises cherchant à sécuriser durablement le télétravail

Quels sont les bénéfices du ZTNA ?

  1. Limite les accès pour mieux renforcer la sécurité
    Le ZTNA limite les accès aux seules ressources nécessaires, en les associant à des utilisateurs et des contextes précis. Cette approche réduit les risques d’intrusion et empêche la propagation des menaces grâce à une vérification stricte et continue.

  2. Protège les environnements hybrides et distants
    Le ZTNA s’adapte aux environnements hybrides et distants, où les utilisateurs accèdent aux ressources depuis différents lieux et appareils. Il sécurise efficacement l’accès aux applications cloud et SaaS, y compris dans des contextes de télétravail et de BYOD.

  3. Réduit significativement la surface d'attaque
    En limitant la visibilité des ressources aux utilisateurs autorisés uniquement, le ZTNA empêche les attaquants de cartographier le système d’information. Cette réduction de l’exposition diminue fortement la surface d’attaque et les risques d’exploitation de vulnérabilités.

  4. Facilite la conformité réglementaire
    Le ZTNA permet une gestion centralisée des identités et des politiques de sécurité, offrant une meilleure traçabilité des accès. Grâce aux journaux d’audit et aux contrôles granulaire, il aide les entreprises à répondre aux exigences de réglementations comme le RGPD ou PCI‑DSS.

  5. Améliore l’expérience utilisateur
    Le ZTNA offre un accès sécurisé et fluide aux applications, sans dépendre de VPN complexes. Il améliore la productivité des utilisateurs grâce à des connexions rapides et à des mécanismes comme le Single Sign‑On (SSO) et l’authentification adaptative.
Ekinops U-ZTNA délivre une couche supplémentaire de protection en n'autorisant uniquement les accès aux applications dont ils ont besoin pour leur travail, et ce quel que ce soit leur localisation (bureaux, nomades, télétravail...).