Vers une infrastructure en confiance zéro : confidentialité en calcul, chiffrement post‑quantique et conformité
La sécurité des systèmes d’information ne peut plus reposer sur un périmètre supposé fiable. Pour les TPE, PME et organisations en transformation numérique, notamment au Cameroun, la multiplication des accès distants, des applications cloud, des API, des outils métiers et des données sensibles impose une approche plus rigoureuse. L’infrastructure en confiance zéro s’impose progressivement comme un cadre opérationnel crédible pour réduire les risques, améliorer la maîtrise des accès et renforcer la résilience.
En 2025 et 2026, plusieurs signaux forts ont confirmé une évolution majeure du marché : le zero trust devient plus concret sur le terrain, l’informatique confidentielle protège désormais les données pendant leur traitement, et la cryptographie post‑quantique entre dans une phase de transition active. Pour les décideurs, l’enjeu n’est pas de suivre une mode technique, mais de construire une architecture capable de soutenir la conformité, la continuité d’activité et la confiance numérique à long terme.
Pourquoi la confiance zéro devient une priorité opérationnelle
Le principe du zero trust est simple : ne faire confiance à aucun utilisateur, terminal, application ou flux par défaut, même à l’intérieur du réseau. Dans la pratique, cela signifie vérifier explicitement l’identité, le contexte, le niveau de risque et les droits d’accès avant d’autoriser une action. Cette logique répond directement aux réalités actuelles des entreprises : comptes compromis, équipements hétérogènes, usages hybrides et exposition croissante des données.
Le NIST a renforcé cette approche avec la publication, le 10 juin 2025, de SP 1800-35: Implementing a Zero Trust Architecture. Ce guide est particulièrement utile parce qu’il ne reste pas au niveau conceptuel : il s’appuie sur 24 fournisseurs et 19 implémentations types, ce qui en fait une des références les plus concrètes récentes pour concevoir un zero trust applicable en production. Pour une PME, cela change la discussion : on passe d’un discours théorique à des choix d’architecture, de segmentation, d’authentification et de journalisation réellement actionnables.
Dans un contexte africain et camerounais, cette approche est d’autant plus pertinente que les ressources IT doivent être utilisées avec discipline. Une infrastructure en confiance zéro aide à réduire les accès excessifs, à mieux contrôler les comptes sensibles, à limiter les mouvements latéraux lors d’un incident et à poser des bases plus solides pour les audits. Ce n’est pas seulement une architecture de sécurité ; c’est aussi un levier de gouvernance opérationnelle.
De la protection en transit à la protection des données en cours d’usage
Historiquement, les entreprises ont surtout concentré leurs efforts sur le chiffrement des données au repos et en transit. C’est indispensable, mais insuffisant. Pendant longtemps, les données devaient être déchiffrées au moment du traitement en mémoire, créant une zone d’exposition critique. C’est précisément cette faiblesse que l’informatique confidentielle cherche à traiter.
Les grands fournisseurs cloud décrivent désormais l’informatique confidentielle comme le chiffrement des données « en cours d’usage ». La documentation Google Cloud mise à jour le 7 juillet 2026 présente même cette capacité comme « la dernière pièce du chiffrement de bout en bout ». Autrement dit, l’objectif est de protéger les données non seulement lorsqu’elles sont stockées ou transmises, mais aussi lorsqu’elles sont traitées dans la mémoire d’exécution.
Pour une PME qui héberge des données financières, RH, commerciales ou de production, cette évolution est importante. Elle ouvre la voie à des traitements plus sûrs dans le cloud, à une meilleure isolation des charges de travail sensibles et à une réduction des risques liés aux environnements partagés. Dans une démarche de transformation digitale, cela peut renforcer la confiance dans l’externalisation de certains processus critiques, à condition de bien cadrer les usages et la gestion des clés.
Le rôle de l’informatique confidentielle dans une infrastructure en confiance zéro
Le 29 mai 2026, le NCCoE du NIST a publié le projet NIST IR 8320E consacré à la sécurité matérielle pour l’informatique confidentielle dans les charges cloud. Ce projet relie explicitement l’informatique confidentielle à plusieurs briques structurantes : gestion des identités et des accès, gestion des clés, racines de confiance matérielles et zero trust. Ce point est essentiel, car il montre que l’informatique confidentielle n’est pas un mécanisme isolé, mais une extension logique d’une architecture de confiance zéro.
Concrètement, l’informatique confidentielle s’appuie sur des environnements d’exécution de confiance, souvent appelés TEE (Trusted Execution Environments). Ces environnements permettent d’isoler le traitement de données sensibles dans des enclaves protégées au niveau matériel. Google a également souligné, le 23 juin 2026, l’intérêt de cette approche pour les charges IA, en mettant en avant une protection cryptographique des données en usage et une intégrité vérifiable.
Pour les dirigeants et responsables SI, la leçon est claire : une infrastructure en confiance zéro ne se limite pas à l’authentification multifacteur ou à la micro‑segmentation. Elle doit aussi intégrer la question de la confidentialité d’exécution. Lorsqu’une entreprise manipule des données clients, des écritures comptables, des informations salariales ou des modèles analytiques, protéger le traitement lui-même devient un avantage de sécurité, mais aussi un argument de conformité et de confiance vis-à-vis des partenaires.
La cryptographie post‑quantique n’est plus un sujet à remettre à plus tard
Le troisième pilier de cette évolution est la cryptographie post‑quantique. Le programme PQC du NIST reste la principale référence publique en matière de standardisation. Son objectif est de construire des mécanismes résistants aux attaques quantiques tout en conservant l’interopérabilité avec les protocoles et réseaux existants. Ce point est crucial pour les entreprises, car il ne s’agit pas de reconstruire tout le système d’information, mais de préparer une migration progressive et maîtrisée.
Le NIST rappelle que les trois premiers standards PQC finalisés ont été publiés en 2024, et le rapport du 11 mars 2025 sur le quatrième tour de standardisation confirme que le travail continue sur des signatures numériques, le chiffrement à clé publique et les mécanismes d’établissement de clé destinés à protéger les informations sensibles bien au-delà de l’arrivée des ordinateurs quantiques. En mai 2026, les mises à jour du programme montrent d’ailleurs que le domaine reste actif et évolutif.
Pour une PME, la bonne approche n’est pas d’attendre une date butoir hypothétique. Il faut commencer par identifier où la cryptographie est utilisée : VPN, certificats, messagerie, sauvegardes, ERP, API, signatures, archives, interconnexions bancaires ou partenaires. La transition post‑quantique est avant tout un projet d’inventaire, de priorisation et d’agilité cryptographique. Les entreprises qui commencent tôt auront moins de dette technique, moins de rupture et une meilleure capacité à répondre aux exigences futures des clients et régulateurs.
Conformité : du contrôle d’accès à la preuve d’audit
Le zero trust est de plus en plus lié à la conformité, et non plus seulement à l’architecture. Une analyse publiée par la Cloud Security Alliance le 10 juillet 2025 souligne que cette approche peut améliorer le périmètre de conformité et la qualité des audits. En limitant les accès implicites et en renforçant les contrôles contextuels, les entreprises peuvent mieux démontrer qui a accédé à quoi, dans quelles conditions et avec quel niveau d’autorisation.
Cela dit, cette amélioration s’accompagne d’une nouvelle exigence de rigueur. Les jetons, les clés, les politiques dynamiques, les moteurs de décision et les systèmes pilotés par l’IA peuvent eux-mêmes devenir des objets d’audit. Une entreprise qui déploie une politique zero trust sans gouvernance documentaire, sans traces exploitables et sans revue régulière des droits risque de complexifier son paysage de conformité au lieu de le simplifier.
Pour les organisations camerounaises, l’objectif réaliste est de bâtir une sécurité démontrable. Cela signifie centraliser les journaux, formaliser les niveaux d’accès, documenter la rotation des secrets, suivre les exceptions et relier les contrôles techniques aux processus métiers. Une infrastructure en confiance zéro bien conçue aide alors à préparer les audits clients, les exigences sectorielles et les engagements contractuels, tout en améliorant la discipline interne.
Comment articuler zero trust, informatique confidentielle et PQC
Pris séparément, ces trois sujets peuvent sembler techniques et distincts. En réalité, ils convergent vers une même logique de défense en profondeur. Le zero trust réduit la confiance implicite dans les identités, les équipements et les flux. L’informatique confidentielle protège les données pendant leur traitement. La cryptographie post‑quantique prépare la couche de confiance cryptographique face aux menaces futures. Ensemble, ils couvrent l’accès, l’exécution et la pérennité des protections.
Cette convergence ressort clairement des publications récentes du NIST et des grands acteurs cloud. Elle dessine une architecture plus mature : identité fortement vérifiée, autorisation granulaire, clés mieux gouvernées, charges sensibles isolées matériellement, et mécanismes cryptographiques conçus pour évoluer. Pour une PME, cela ne signifie pas adopter immédiatement toutes les technologies les plus avancées, mais structurer sa feuille de route autour de principes compatibles avec cette direction.
Une démarche pragmatique peut commencer par cinq chantiers : cartographier les données sensibles, segmenter les accès par rôle et contexte, renforcer la gestion des identités et des secrets, évaluer les charges de travail pouvant bénéficier d’informatique confidentielle, puis recenser les dépendances cryptographiques pour préparer l’agilité post‑quantique. Cette méthode permet d’avancer par étapes, avec des résultats mesurables sur le risque, la conformité et la continuité d’activité.
Une feuille de route réaliste pour les TPE et PME
Pour les petites structures, la priorité n’est pas de lancer un programme théorique de transformation sécurité sur trois ans sans visibilité métier. Il faut cibler les processus qui concentrent le plus de risque et de valeur : comptabilité, paie, ventes, stocks, contrats, données clients, tableaux de bord et sauvegardes. Une infrastructure en confiance zéro doit servir l’exploitation quotidienne, pas la complexifier inutilement.
La première étape consiste généralement à consolider les fondamentaux : authentification multifacteur, suppression des comptes partagés, gestion rigoureuse des privilèges, cloisonnement des environnements, supervision centralisée et politiques de sauvegarde testées. Ensuite, l’entreprise peut étendre son niveau de maturité en introduisant des contrôles d’accès contextuels, des revues d’habilitation périodiques et des mécanismes plus avancés de protection des charges sensibles.
Enfin, la direction doit traiter la sécurité comme un sujet de pilotage. Cela implique des indicateurs simples mais utiles : nombre de comptes à privilèges, taux d’activation MFA, délai de révocation d’accès, couverture de journalisation, dépendances cryptographiques critiques, et niveau de documentation des exceptions. Cette gouvernance transforme la cybersécurité en levier de performance et de confiance, ce qui est particulièrement stratégique pour les entreprises en croissance ou en phase de digitalisation.
Le mouvement vers une infrastructure en confiance zéro reflète une transformation profonde de la sécurité d’entreprise. Les recommandations concrètes du NIST sur le zero trust, les avancées sur l’informatique confidentielle pour protéger les données en cours d’usage, et la montée en puissance de la cryptographie post‑quantique montrent que les fondations de confiance numérique évoluent rapidement. Les organisations qui anticipent cette convergence seront mieux préparées aux exigences techniques, réglementaires et commerciales des prochaines années.
Pour les TPE et PME, l’enjeu n’est pas d’adopter chaque innovation immédiatement, mais de construire une trajectoire cohérente. En combinant contrôle d’accès strict, protection des traitements sensibles, inventaire cryptographique et discipline de conformité, il devient possible de sécuriser la transformation digitale sans freiner l’activité. C’est cette approche progressive, pragmatique et orientée résultats qui permet de transformer la sécurité en avantage opérationnel durable.
