Zero Trust vs VPN : le coût réel du changement

L'argumentaire commercial de Zero Trust inclut presque invariablement la promesse qu'il sera moins cher qu'un VPN. C'est parfois vrai, mais pas au cours des deux premières années, pas pour les petites équipes, et non sans tenir compte des coûts de migration qui apparaissent rarement sur les feuilles de calcul initiales. Faire une analyse honnête nécessite de séparer le coût de licence du coût d’exploitation total, et le coût d’exploitation récurrent du coût de transition ponctuel.

Ce que coûte réellement un VPN traditionnel

Le coût d’un VPN d’entreprise bien entretenu comporte trois éléments rarement additionnés. Le premier est le matériel du concentrateur VPN ou VM : les appliances Cisco ASA ou Palo Alto GlobalProtect Gateway pour les environnements moyens coûtent entre 25 000 R$ et 250 000 R$, amortis sur 3 à 5 ans. La deuxième concerne les licences client : Cisco AnyConnect et GlobalProtect facturent entre 15 et 25 dollars par utilisateur et par an ; pour 200 utilisateurs, cela représente entre 3 000 et 5 000 dollars par an rien que pour le logiciel client.

Le troisième – et souvent sous-estimé – est le coût opérationnel. Le VPN nécessite une rotation des certificats, la gestion des versions client sur des appareils hétérogènes, le maintien de règles de tunnel divisé lorsque de nouveaux services internes sont créés et la gestion de la capacité du hub lorsque le nombre de sessions simultanées augmente. Pour une équipe de 100 utilisateurs, des estimations prudentes évaluent ces frais généraux à 10 à 15 heures d'ingénierie par mois. Pour 100 utilisateurs, le coût total de possession d'un VPN bien exploité se situe entre 15 000 et 25 000 dollars par an, compte tenu du matériel amorti, des licences et du temps d'ingénierie.

Ce que coûte réellement Cloudflare Zero Trust

Le forfait Team de Cloudflare Zero Trust coûte 7 $ par utilisateur et par mois. Pour 100 utilisateurs, cela représente 8 400 $ de licence par an, soit un coût inférieur au coût total de possession du VPN, même sans compter le temps d'ingénierie économisé. Pour 500 utilisateurs, cela représente 42 000 $ par an, avec la possibilité de négocier en dessous de 7 $ sur des volumes supérieurs à 200. Le plan comprend Access, Tunnel, WARP et Gateway avec journaux — aucun matériel à amortir.

Le coût initial de mise en œuvre change l’équation dès la première année. Un déploiement de complexité moyenne (trois à huit applications internes, intégration avec Okta ou Azure AD, déploiement WARP via MDM sur 100 appareils) nécessite entre 40 et 80 heures d'ingénierie. En ajoutant la mise en œuvre à la licence de première année, le coût total pour 100 utilisateurs se situe entre 14 000 $ et 22 000 $, ce qui est comparable au coût total de possession d'un VPN. Dès la deuxième année, sans coût de mise en œuvre et avec des frais opérationnels réduits, l’avantage financier du Zero Trust devient concret.

Les coûts cachés de la migration

La migration VPN vers Zero Trust entraîne des coûts que les conceptions optimistes omettent. La période de fonctionnement parallèle est la première : lors de la migration, l'ancien VPN continue de fonctionner tandis que les applications sont migrées une à une vers Access. Pour les organisations disposant de nombreuses applications internes, cette période peut durer six mois ou plus, en payant simultanément le VPN et Cloudflare.

Le deuxième coût concerne les applications qui dépendent de la liste blanche IP. Tout service qui accepte uniquement les connexions à partir de plages IP spécifiques (bases de données configurées pour accepter uniquement l'IP du concentrateur VPN, API internes qui vérifient l'IP source) rompt le modèle Zero Trust, où l'IP source est la périphérie de Cloudflare. La correction implique la mise à jour de la liste verte ou la mise en œuvre de jetons de service. Il est essentiel d’inventorier ces dépendances avant de commencer la migration : les découvrir au cours du processus est coûteux.

Le troisième coût est la formation. Les utilisateurs appelant l'assistance demandant « le VPN est en panne » après la migration ne constituent pas un problème informatique : c'est le signe que la communication du changement a échoué. Les efforts de documentation et de communication destinés aux utilisateurs finaux doivent être budgétisés, en particulier dans les organisations comptant des utilisateurs non techniques.

Quand la migration n'a pas de sens

Pour les équipes de moins de 20 personnes et une configuration VPN simple et stable – split tunnel basique, peu de services internes, matériel déjà payé – l’effort de migration vers Zero Trust est rarement justifié par le retour financier. Le gain de sécurité est réel, mais le coût de mise en œuvre réparti sur quelques utilisateurs et la faible complexité de l'environnement rendent le ROI négatif sur un horizon de deux à trois ans.

La migration n'est pas non plus justifiée pour les organisations disposant d'un grand nombre d'applications client lourdes qui nécessitent un accès à des sous-réseaux internes spécifiques et ne peuvent pas être refactorisées vers un modèle d'accès par nom d'hôte. Les anciens systèmes ERP et outils d'ingénierie qui accèdent directement aux équipements via IP continuent de nécessiter un accès réseau que le modèle Zero Trust par application ne peut pas remplacer sans des modifications significatives de l'application.

L'argument sécuritaire avec une réelle valeur financière

Le coût d’un incident par identifiant VPN compromis est la variable qui transforme l’analyse. Le VPN accorde l'accès au réseau après authentification – les informations d'identification volées signifient un accès latéral illimité au réseau interne. Zero Trust accorde l'accès par application : les informations d'identification compromises n'atteignent que les applications explicitement autorisées pour cette identité, avec une vérification de l'état de l'appareil comme contrôle supplémentaire.

À des fins d'audit — SOC 2, ISO 27001, HIPAA — les journaux d'accès sont qualitativement supérieurs aux journaux de connexion VPN. Chaque événement enregistre l'utilisateur, l'application spécifique, l'horodatage, l'adresse IP, l'appareil et la décision prise. Les journaux VPN enregistrent qu'une connexion a été établie et quand elle a été fermée – ce qui s'est passé à l'intérieur n'apparaît pas. La différence a un impact concret sur le temps et le coût des audits externes.

Que décider avant d'approuver le projet

L’analyse du TCO est nécessaire mais pas suffisante pour la décision de migrer. La question la plus importante concerne le profil de risque actuel : combien d’applications internes contenant des données sensibles sont accessibles à tout utilisateur disposant d’un VPN actif ? Si la réponse est « Je ne sais pas exactement quelles données sont accessibles via VPN », cela constitue en soi un argument en faveur de la migration, non pas pour des raisons de coût, mais pour le contrôle.

Le déploiement commence par les deux ou trois applications présentant la sensibilité des données la plus élevée et le risque d'exposition le plus élevé. Le modèle de configuration testé dans ceux-ci (politiques d'accès aux groupes, durée de la session, posture de l'appareil) est répliqué pour le reste. Ce que génère la première application migrée n’est pas seulement une meilleure sécurité pour ce service ; c'est une preuve opérationnelle que le modèle fonctionne dans le contexte de l'organisation.