Enseigner le Zero Trust à vos étudiants : modèle, cas pratiques et progression sur 3 niveaux

Le périmètre réseau est mort. Cette affirmation, formulée dès 2010 par John Kindervag chez Forrester, résume l'intuition fondatrice du Zero Trust : dans un monde où les utilisateurs travaillent depuis n'importe où, où les données s'éparpillent entre clouds et datacenters, et où les attaquants se déplacent latéralement une fois à l'intérieur du réseau, la confiance implicite accordée au trafic « interne » est une illusion dangereuse.

Aujourd'hui, le Zero Trust n'est plus un sujet prospectif. Il structure les décisions d'architecture dans la quasi-totalité des grandes organisations, et les étudiants qui intègreront les équipes sécurité dans les prochaines années doivent en maîtriser à la fois les principes et les implications techniques. Le défi pédagogique est de taille : comment enseigner un modèle qui n'est ni un produit, ni un protocole, mais une philosophie de conception de l'architecture sécurisée ?

Cet article propose une progression sur trois niveaux (L3, M1, M2), des travaux pratiques concrets, et les erreurs d'enseignement les plus fréquentes à éviter.

Pourquoi le Zero Trust est devenu incontournable dans les cursus cyber

Le modèle de sécurité périmétrique reposait sur une hypothèse simple : tout ce qui est à l'intérieur du réseau de l'entreprise est fiable, tout ce qui vient de l'extérieur est suspect. Cette approche fonctionnait dans un monde où les équipes travaillaient depuis des postes fixes, connectés à un réseau local derrière un pare-feu.

Ce modèle a volé en éclats sous l'effet conjugué de plusieurs évolutions : généralisation du télétravail, adoption du cloud, explosion des identités non humaines (applications, API, microservices), et raffinement des techniques d'intrusion. Un attaquant qui franchit le périmètre — par phishing, par compromission d'un VPN, ou par exploitation d'un service exposé — se retrouvait jusqu'ici dans un réseau où il pouvait se déplacer librement. Les grandes compromissions de ces dernières années illustrent régulièrement ce mouvement latéral incontrôlé.

John Kindervag a formalisé la réponse à ce problème en 2010, sous le nom de Zero Trust. Le principe central : supprimer toute confiance implicite et remplacer la confiance liée à la localisation réseau par une vérification explicite, continue, de chaque accès. En 2020, le NIST a publié la SP 800-207, le document de référence qui normalise et précise ce modèle. C'est aujourd'hui le texte fondateur à mettre entre les mains des étudiants.

Dans un cursus cyber, l'enseigner n'est pas une option : les offres d'emploi en architecture sécurité, en IAM, et en sécurité cloud mentionnent systématiquement le Zero Trust comme prérequis ou compétence attendue. Ne pas l'aborder, c'est former des diplômés en décalage avec les exigences des recruteurs.

Les cinq principes fondamentaux à enseigner

Le NIST SP 800-207 structure le Zero Trust autour de principes clairs. Cinq d'entre eux constituent le socle à transmettre, quel que soit le niveau de l'étudiant.

1. Verify explicitly — Vérifier explicitement. Chaque demande d'accès doit être authentifiée et autorisée à partir de tous les signaux disponibles : identité de l'utilisateur, état du poste, localisation, application demandée, sensibilité de la ressource. Il ne suffit pas d'être sur le réseau interne.

2. Use least privilege access — Principe de moindre privilège. Chaque entité (utilisateur, application, service) ne dispose que des droits strictement nécessaires à sa fonction, et uniquement le temps nécessaire. Les droits permanents et étendus sont une surface d'attaque en soi.

3. Assume breach — Supposer la compromission. La posture de conception part du principe qu'un attaquant est ou sera présent dans le système. Cette hypothèse structure les décisions : segmenter pour limiter la propagation, journaliser pour détecter, chiffrer pour limiter la lecture des données interceptées.

4. Inspect and log all traffic — Inspecter et journaliser tous les flux. La visibilité est le fondement de la détection. Chaque accès, chaque flux, chaque requête est loggé et potentiellement inspecté. Il n'existe pas de trafic « de confiance » qui échappe à la supervision.

5. Apply microsegmentation — Appliquer la microsegmentation. Le réseau est découpé en segments fins, idéalement jusqu'au niveau de la charge de travail (workload). Un attaquant qui compromet un segment ne peut pas se propager librement aux autres. La microsegmentation remplace la frontière réseau unique par de nombreuses frontières internes.

Ces cinq principes s'articulent autour de trois piliers techniques : l'identité (IAM, MFA, authentification forte), le poste de travail (EDR, conformité de posture, gestion des appareils), et le réseau (microsegmentation, chiffrement de bout en bout, ZTNA — Zero Trust Network Access). Le ZTNA, en particulier, mérite une attention spécifique : il est en train de remplacer les VPN traditionnels dans de nombreuses organisations, en offrant un accès granulaire aux applications plutôt qu'un accès global au réseau.

Progression pédagogique par niveau : L3, M1, M2

La difficulté pédagogique du Zero Trust est qu'il touche simultanément à la gouvernance, à l'identité, au réseau et à la détection. Enseigner tout d'un coup produit de la confusion. La clé est une progression spiralaire : les mêmes concepts, approfondis à chaque niveau avec des exigences croissantes.

Tableau de progression Zero Trust par niveau

L3 — Construire l'intuition, pas l'infrastructure

En L3, l'objectif n'est pas de configurer un cluster Kubernetes. C'est de faire comprendre pourquoi la confiance implicite est un risque, et comment le Zero Trust y répond. Les cinq principes se travaillent sur des cas concrets : « Que se passe-t-il si un attaquant accède au réseau interne de cette entreprise ? Quelles ressources peut-il atteindre ? Que changerait une architecture Zero Trust ? »

L'outil principal est le diagramme d'architecture. Sur draw.io ou équivalent, les étudiants comparent un SI périmétrique classique et un SI Zero Trust : où est la vérification ? Qui accède à quoi ? Que se passe-t-il en cas de compromission d'un poste ? Ce travail visuel ancre les principes mieux que n'importe quel cours magistral.

Le lien avec le métier d'architecte sécurité s'introduit naturellement ici : c'est ce professionnel qui traduit ces principes en choix d'architecture concrets.

M1 — Passer à la configuration et à la politique

En M1, l'étudiant sait ce qu'est le Zero Trust. Il doit maintenant savoir le mettre en œuvre sur un système simplifié. Trois blocs techniques deviennent prioritaires.

IAM avec Keycloak. Keycloak est un serveur d'identité open source qui implémente OAuth2, OpenID Connect et SAML. C'est l'outil idéal pour un TP : les étudiants configurent des realms, des clients, des rôles, des politiques d'accès. Ils appliquent le moindre privilège en restreignant les droits d'un compte de service. Ils activent le MFA. Résultat : une expérience concrète de ce que signifie « vérifier explicitement ».

Microsegmentation réseau. À ce niveau, une simulation de segmentation VLAN ou des règles de NetworkPolicy Kubernetes (sur un cluster microk8s ou kind) suffit pour que l'étudiant comprenne ce qu'il configure et pourquoi. L'objectif est de faire tracer la frontière entre « ce flux est autorisé » et « ce flux est bloqué », et d'en justifier le choix.

ZTNA vs VPN. Ce point mérite une séquence comparée : l'étudiant analyse un accès VPN classique (accès complet au réseau) et un accès ZTNA (accès à une application précise, sous condition d'identité et de posture). La comparaison rend tangible le principe « access to applications, not to networks ». C'est un contenu qui prépare directement aux missions d'architecte sécurité et couvre des notions centrales du cours de sécurité cloud.

M2 — Architecturer et justifier

En M2, l'étudiant conçoit. Il reçoit un SI fictif avec ses contraintes (héritage technique, budget, délais) et produit une architecture Zero Trust complète : choix des composants, politiques d'identité, segmentation réseau, stratégie de journalisation, threat model associé. Il défend ses arbitrages à l'oral face à des objections.

C'est à ce niveau qu'interviennent les outils avancés : Cilium pour la microsegmentation réseau sur Kubernetes avec eBPF, Istio pour le service mesh et le mTLS entre microservices, et OPA (Open Policy Agent) pour les politiques d'autorisation déclaratives. Le SIEM est intégré pour visualiser les accès refusés et construire des alertes.

Cette posture est proche de ce qu'évalueront les certifications professionnelles, notamment le CISSP, dont les domaines « Security Architecture and Engineering » et « Identity and Access Management » recoupent directement le Zero Trust.

TP pratiques : de l'architecture au lab

TP L3 — Analyse de cas : périmétrique vs Zero Trust

Distribuez la description d'un SI fictif : une entreprise avec un réseau interne, un VPN pour les télétravailleurs, un serveur de fichiers, une application web interne et un accès à des services SaaS. Un incident se produit : un télétravailleurs se fait compromettre son poste.

Les étudiants répondent à trois questions : Jusqu'où l'attaquant peut-il aller dans l'architecture périmétrique ? Quels principes Zero Trust limiteraient la propagation ? Dessinez l'architecture modifiée.

Durée : 2h. Livrable : diagramme commenté. Ce TP ne nécessite aucun lab technique et fonctionne en amphi ou en TD avec une simple connexion Internet.

TP M1 — Lab IAM avec Keycloak

Environnement : une VM ou un conteneur Docker avec Keycloak, deux applications fictives (une sensible, une standard), et trois profils utilisateurs (admin, développeur, utilisateur standard).

Objectifs : configurer les realms et clients, définir des rôles et des politiques d'accès, activer le MFA pour le profil admin, vérifier que chaque profil n'accède qu'à ce qu'il est censé voir, documenter les politiques sous forme de tableau. Durée : 3h. Livrable : rapport de configuration + capture des politiques + analyse des logs d'accès refusés.

TP M2 — Architecture Zero Trust sur Kubernetes

Environnement : cluster kind ou microk8s avec Cilium installé, deux namespaces simulant des zones de sensibilité différente, un service exposé via Istio avec mTLS activé, et un collecteur de logs (Loki ou équivalent léger).

Objectifs : rédiger et appliquer des NetworkPolicies Cilium bloquant les flux inter-namespaces non autorisés, configurer mTLS entre deux services avec Istio, écrire une politique OPA refusant l'accès sans header d'authentification valide, visualiser les tentatives d'accès bloquées dans les logs, rédiger un threat model du périmètre configuré.

Durée : 6h (deux séances). Livrable : rapport d'architecture + configurations annotées + soutenance de 15 minutes. C'est un TP qui s'articule naturellement avec un cours de GRC si l'on demande aux étudiants de formaliser leurs choix sous forme de politique de sécurité écrite.

Erreurs pédagogiques classiques sur le Zero Trust

Confondre Zero Trust et un produit

La première erreur est de présenter le Zero Trust comme une solution à acheter. Des éditeurs utilisent l'étiquette Zero Trust pour commercialiser des produits très variés, avec des niveaux d'adéquation au modèle tout aussi variés. Il faut explicitement enseigner que Zero Trust est un modèle architectural, pas un produit. Les outils (Keycloak, Cilium, Istio, Zscaler, BeyondCorp…) sont des implémentations possibles de certains piliers, pas le Zero Trust en soi.

Commencer par la technologie

Démarrer un cours Zero Trust par la configuration d'un service mesh Istio, c'est garantir que les étudiants mémorisent des commandes sans comprendre pourquoi ils les tapent. La technologie doit venir après le raisonnement : pourquoi le mTLS ? Parce qu'un service ne doit pas faire confiance à un autre simplement parce qu'il est dans le même cluster. Cette question de « pourquoi » doit précéder chaque TP technique.

Négliger la dimension identité

Beaucoup d'enseignants se concentrent sur la partie réseau (microsegmentation, ZTNA) parce qu'elle est plus visible et plus facilement démontrable en lab. Mais l'identité est le premier pilier du Zero Trust : sans une gestion rigoureuse des identités, des rôles et de l'authentification, la microsegmentation réseau n'est qu'une couche partielle. Le pilier IAM doit recevoir au moins autant de temps pédagogique que le pilier réseau.

Présenter le Zero Trust comme une destination finale

Le Zero Trust est une posture continue, pas un état à atteindre une fois pour toutes. L'enseigner comme un projet « on l'implémente et c'est fini » crée de fausses attentes. En cours, il vaut mieux insister sur la notion de maturité progressive : une organisation peut être Zero Trust sur son pilier identité et encore périmétrique sur son réseau. La progression est normale, et le premier TP doit déjà introduire cette idée d'un curseur, pas d'un interrupteur.

Ignorer la gouvernance associée

Le Zero Trust génère des décisions de politique de sécurité : qui a accès à quoi, dans quelles conditions, avec quels logs. Ces décisions doivent être documentées, révisées et auditables. Négliger cet aspect, c'est former des techniciens qui savent configurer Cilium mais ne savent pas expliquer leurs choix à un RSSI ou à un auditeur. Relier le Zero Trust à la définition du Zero Trust et à ses implications de gouvernance est indispensable, surtout en M2.

Ressources et veille pour maintenir le cours à jour

Le Zero Trust est un domaine en mouvement rapide. Les outils évoluent, les référentiels s'affinent, et les retours d'expérience d'implémentation publiés par les grandes organisations enrichissent régulièrement la compréhension du modèle.

Documents fondateurs à mettre au programme.

• NIST SP 800-207 (2020) — la référence normative. Gratuit, en ligne, et relativement accessible pour un niveau M1/M2. C'est le point de départ obligatoire pour tout cours sérieux.
• CISA Zero Trust Maturity Model — un modèle de maturité en cinq colonnes (Identity, Devices, Networks, Applications & Workloads, Data) qui structure très bien la progression pédagogique et les arbitrages de déploiement.
• Google BeyondCorp — le retour d'expérience de Google sur son propre déploiement Zero Trust est l'une des études de cas réelles les plus documentées. Plusieurs articles publiés par Google sont accessibles gratuitement et constituent d'excellents supports de TD.

Veille à outiller.

Les publications du NIST, les blogs techniques de Cilium et d'Istio, et les retours d'expérience publiés dans les conférences (KubeCon, DEF CON, BlackHat) sont les meilleures sources de veille. Pour les enseignants, une revue semestrielle des documentations officielles des outils open source utilisés en TP suffit à maintenir le cours à jour.

Outils open source à surveiller.

Ces outils sont tous actifs, bien documentés et utilisés en production dans des organisations réelles. Les choisir pour les TP garantit que les étudiants apprennent des compétences transférables immédiatement.

Maintenir la pertinence au fil des promotions.

Le fond conceptuel — les cinq principes, les trois piliers, la logique de vérification explicite — restera stable. Ce sont les outils et les implémentations de référence qui évoluent. Une revue annuelle de la couche technique du cours suffit généralement à maintenir la pertinence, en gardant les fondamentaux comme colonne vertébrale.

Ce qu'il faut retenir

Le Zero Trust est aujourd'hui l'un des concepts les plus structurants de l'architecture sécurité, et il doit trouver sa place dans tout cursus cyber sérieux, de la L3 au master. Ses cinq principes fondamentaux — vérifier explicitement, moindre privilège, supposer la compromission, inspecter tous les flux, microsegmenter — offrent un socle conceptuel cohérent que l'on peut enseigner progressivement, des diagrammes d'architecture en L3 jusqu'aux labs Kubernetes en M2.

La progression par niveau est la clé : intuition et raisonnement en L3, configuration et politique en M1, conception et arbitrage en M2. Les outils open source (Keycloak, Cilium, Istio, OPA) rendent les TP accessibles sans budget conséquent. Et les erreurs à éviter sont connues : ne pas confondre Zero Trust et produit, ne pas négliger le pilier identité, ne pas ignorer la dimension de gouvernance.

Un cours Zero Trust bien construit forme des diplômés capables de participer à une décision d'architecture le premier jour de leur mission. C'est exactement ce que cherchent les recruteurs.

Vous cherchez un intervenant capable d'animer un module Zero Trust — des fondamentaux conceptuels jusqu'aux labs techniques — dans votre école ou votre bootcamp ? Cyber Teachers met en relation établissements et formateurs praticiens spécialisés en architecture sécurité et Zero Trust.