SASE (Secure Access Service Edge) pour les PME : définition et cas d'usage

Le SASE (Secure Access Service Edge, prononcé « sassy ») s'invite depuis quelques années dans toutes les conférences IT, et personne dans les PME ne sait vraiment quoi en faire. À juste titre. Ce n'est pas un produit clé en main, mais une architecture qui réunit le réseau et la sécurité dans un service cloud. Pour une PME, la question est la suivante : quand le SASE apporte-t-il une réelle valeur, et quand un bon pare-feu associé à la MFA reste-t-il le meilleur choix ? Dans cet article, nous vous l'expliquons sans jargon marketing.

Qu'est-ce que le SASE, exactement ?

Gartner, qui a introduit le terme en 2019, définit le SASE comme une plateforme cloud native qui combine des fonctions réseau et sécurité : le SD-WAN côté réseau, et des services de sécurité comme le ZTNA, le CASB, la SWG, le FWaaS et la DLP côté sécurité. Le tout fourni depuis le cloud, au plus près de l'utilisateur, quel que soit son emplacement ou son appareil. Avec un « SASE mono-fournisseur » (single-vendor), tout provient d'un seul éditeur ; avec un « SASE multi-fournisseurs » (multi-vendor), vous combinez des produits distincts.

Le raisonnement est le suivant : la pile de sécurité classique (pare-feu au bureau, VPN pour les télétravailleurs, filtre web séparé, outil distinct pour la sécurité du cloud) n'est plus adaptée aux méthodes de travail modernes. Les collaborateurs travaillent depuis chez eux, dans le train ou chez un client. Les applications tournent dans M365, Google Workspace et des dizaines d'outils SaaS. Faire transiter tout ce trafic par le pare-feu du bureau (un « hairpin ») ralentit tout.

Le SASE inverse la logique : le trafic part directement vers le POP cloud le plus proche du fournisseur SASE, y est inspecté et sécurisé, puis poursuit sa route vers sa destination. Peu de latence, et une sécurité appliquée de manière cohérente partout.

Pourquoi le SASE apparaît-il soudain partout ?

Gartner prévoit qu'en 2026, 65 % des grandes entreprises seront passées d'outils de sécurité fragmentés à des architectures SASE unifiées, et que 60 % des déploiements SD-WAN seront intégrés au SASE d'ici fin 2026. Les moteurs : le travail hybride est là pour durer, l'adoption du SaaS progresse fortement et, sans intégration, le nombre d'outils de sécurité par PME devient ingérable. Par ailleurs, une PME moyenne ne dispose ni d'un SOC ni d'un architecte sécurité. Une plateforme unifiée avec une seule console est plus attrayante que cinq outils séparés avec cinq tableaux de bord distincts.

Les composants du SASE en bref

Si vous échangez avec un commercial SASE, vous entendrez ces sigles. À quoi servent-ils ?

• ZTNA (Zero Trust Network Access). Remplace le VPN classique. Au lieu d'un tunnel vers l'ensemble du réseau de l'entreprise, vous n'accédez qu'aux applications précises pour lesquelles vous êtes autorisé, en fonction de votre identité, de l'état de votre appareil et du contexte. Surface d'attaque réduite, déplacements latéraux limités. Notre guide sur le Zero Trust explique le principe sous-jacent.
• SWG (Secure Web Gateway). Filtre l'ensemble du trafic web pour détecter les logiciels malveillants, le phishing et les violations de politique. Inspecte aussi le trafic HTTPS (à condition d'être correctement configurée) et bloque les sites non conformes.
• CASB (Cloud Access Security Broker). Donne de la visibilité sur les outils SaaS utilisés, y compris ceux qui ne sont pas approuvés (« shadow IT »), et applique des règles de DLP aux données dans le cloud. Pour une PME qui fonctionne sur M365 ou Google Workspace, c'est généralement une couche importante.
• FWaaS (Firewall as a Service). Les fonctionnalités du pare-feu classique, mais fournies depuis le cloud plutôt que par un boîtier physique au bureau. Pratique si vous avez plusieurs sites ou si vous travaillez majoritairement à distance.
• DLP (Data Loss Prevention). Protège les données sensibles (par exemple les numéros d'identification nationaux comme le BSN néerlandais, les numéros de carte bancaire ou les données clients) contre leur envoi involontaire vers l'extérieur. Aussi bien les données en transit (in motion) qu'au repos (at rest).

Le terme SSE (Security Service Edge) désigne les mêmes fonctions de sécurité, sans le composant SD-WAN : autrement dit, uniquement la moitié sécurité du SASE. Pour une PME sans topologie réseau complexe, un SSE seul suffit souvent.

Le principal cas d'usage : le ZTNA à la place du VPN

Pour la plupart des PME, la première application concrète du SASE n'est pas le SASE dans son ensemble, mais le remplacement du VPN classique par le ZTNA. Dès qu'un utilisateur est connecté, le VPN donne accès à tout le réseau de l'entreprise. Si un attaquant vole un compte VPN (phishing, credential stuffing, ancien mot de passe compromis), la porte lui est grande ouverte.

Le ZTNA n'accorde l'accès qu'à des applications précises, en fonction du contexte en temps réel : qui êtes-vous, quel appareil utilisez-vous, quel est son état de sécurité, d'où vous connectez-vous ? Un attaquant muni d'un mot de passe volé n'entre pas si l'appareil ou la MFA ne correspond pas. Et même s'il entre, il ne peut pas se déplacer latéralement.

Les performances sont également meilleures : les connexions ZTNA vont directement à l'application, sans passer d'abord par un concentrateur VPN central. Pour les télétravailleurs, c'est sensiblement plus rapide. Consultez aussi notre guide pour sécuriser le travail hybride.

Combien coûte le SASE pour une PME ?

Les prix varient fortement selon le fournisseur, le niveau d'offre et la durée du contrat. Quelques repères pour 2026 :

• Offre SSE complète (SWG + CASB + ZTNA + FWaaS + DLP de base) : prix catalogue de 15 à 25 dollars par utilisateur et par mois. Des remises entreprise de 30 à 50 % sont courantes pour les volumes importants et les contrats longs.
• Plateforme complète, niveau de base pour le mid-market : 14 à 22 dollars par utilisateur et par mois.
• Coût total de possession (TCO), y compris onboarding, hébergement des données dans l'UE, options MFA, adresses IP dédiées et blocs de bande passante : sur une pile historique multi-références, le TCO grimpe jusqu'à 33 à 60 dollars par utilisateur et par mois.
• Netskope : 4 à 8 dollars par utilisateur et par mois pour SWG et CASB sur un contrat de trois ans ; 9 à 14 dollars en niveau intermédiaire avec ZTNA et DLP de base ; plus de 15 dollars pour le SASE en plateforme complète.
• Cato Networks : tarif entreprise de 40 à 50 dollars par utilisateur et par mois pour un SASE complet incluant le SD-WAN.

Pour une PME néerlandaise de 50 collaborateurs, une solution SASE complète se situe dans une fourchette de 10 000 à 30 000 € par an, selon le périmètre et le fournisseur. Un simple remplacement du VPN par le ZTNA (acheté séparément) est possible à partir de 4 000 à 8 000 € par an.

Quand le SASE apporte-t-il vraiment quelque chose à une PME ?

Parlons franchement rentabilité. Le SASE prend tout son sens lorsqu'un ou plusieurs des points suivants s'appliquent :

1. Plusieurs sites. Si vous souhaitez regrouper le trafic de trois bureaux ou plus et appliquer partout une sécurité cohérente, le SASE est bien plus simple que des pare-feu distincts sur chaque site.
2. Une part importante de télétravail. À partir d'environ 20 % de collaborateurs en télétravail régulier, le VPN commence à montrer ses limites ; le ZTNA associé à une SWG offre une expérience et une sécurité nettement meilleures.
3. Un usage intensif du SaaS. Si l'essentiel de votre travail se fait dans des applications cloud (M365, Google Workspace, Salesforce, HubSpot et des dizaines d'outils plus petits), le CASB vous donne pour la première fois une vision de ce qui se passe réellement.
4. Shadow IT et pression réglementaire. Pour répondre aux exigences de NIS2, d'ISO 27001 ou de votre cyberassurance en matière de visibilité et de contrôle sur l'usage du cloud, le CASB est souvent la voie la plus courte.
5. Un besoin de consolidation. Si vous utilisez aujourd'hui cinq outils de sécurité de cinq fournisseurs différents et que plus personne n'a de vue d'ensemble, un SASE mono-fournisseur vous donne de l'air.

Notre checklist cybersécurité pour les PME vous aide à déterminer quelles couches sont prioritaires.

Quand le SASE n'est-il pas (encore) le bon choix ?

Là encore, soyons francs : pour une petite PME de 15 à 20 collaborateurs au plus, avec un seul site et peu de télétravail, un pare-feu nouvelle génération (NGFW) classique, associé à la MFA sur tous les comptes critiques, reste souvent plus rentable. Le SASE ne vous fait pas gagner en simplicité, puisque vous n'avez pas cette complexité au départ.

Deuxième cas de figure : les entreprises qui exploitent de nombreuses applications historiques sur site, incompatibles avec l'authentification moderne, ne peuvent pas tout placer derrière le ZTNA et conservent une architecture hybride. Le SASE n'est alors pas une erreur, mais ce n'est pas une solution miracle qui remplace tout.

Enfin, le SASE est une architecture, pas un produit que l'on installe en une journée. Comptez 2 à 6 mois de migration selon le nombre d'applications et de sites, et prévoyez une attention sérieuse pour la gestion des identités (Entra ID, Okta ou équivalent), la gestion des terminaux et l'inventaire des applications.

SASE mono-fournisseur ou multi-fournisseurs ?

La tendance est claire : le SASE mono-fournisseur s'impose. Gartner s'attend à ce que la convergence se poursuive, et pour une PME, la raison est évidente : un seul fournisseur, une seule console, une seule ligne de support. Cela vous fait gagner des heures d'administration dont vous ne disposez de toute façon pas en abondance.

Le revers de la médaille, c'est la dépendance au fournisseur (vendor lock-in). Si vous confiez tout à un seul fournisseur SASE, en changer devient compliqué et chronophage. Pour une première mise en œuvre, engagez-vous donc sur moins de trois ans et prévoyez des clauses de sortie dans le contrat (voir aussi notre guide sur les engagements de SLA).

Comment aborder un projet SASE ?

Le déploiement du SASE dans une PME suit généralement ce schéma :

1. Évaluation. Par où passe votre trafic aujourd'hui ? Quelles applications ? Quels appareils ? Où se trouvent vos utilisateurs ? Quel volume de données sortantes (egress) avez-vous chaque mois ?
2. Définition de l'objectif. Voulez-vous simplement remplacer le VPN, ou toute la pile ? Quel est votre RTO pour les incidents de sécurité ? Quelles exigences de conformité (NIS2, ISO 27001) doivent figurer dans le contrat ?
3. Choix du fournisseur. Ne comparez pas seulement le prix, mais aussi les POP situés dans l'UE, les applications connectées nativement et la qualité du reporting.
4. Pilote avec un groupe test. Déployez d'abord auprès de l'équipe IT et de 10 à 20 utilisateurs pilotes. Mesurez les performances et recueillez les remontées.
5. Migration progressive. Basculez les applications une par une du VPN historique vers le ZTNA. Vous ne pourrez démanteler les règles du pare-feu qu'une fois toutes les applications couvertes.
6. Intégration des identités. Un SASE sans fournisseur d'identité (IdP) connecté ne fait que la moitié du travail. Faites d'Entra ID, d'Okta ou de Google Workspace votre source de vérité.
7. Supervision et ajustements. Les premières semaines, vous passerez souvent du temps à affiner les règles pour éliminer les faux positifs. Prévoyez du temps pour cela.

Questions fréquentes sur le SASE dans les PME

Le SASE est-il la même chose que le SSE ? Non. Le SSE (Security Service Edge) correspond à la moitié sécurité du SASE, sans le composant SD-WAN. Pour une PME sans topologie réseau complexe, un SSE seul suffit souvent et coûte moins cher. Le SASE complet devient pertinent en présence de plusieurs sites ou de connexions réseau complexes.

Le SASE remplace-t-il mon pare-feu ? En grande partie, oui, sous la forme du FWaaS. Le pare-feu sur site est souvent remplacé par une appliance légère en périphérie ou par un pare-feu entièrement cloud. Pour certaines charges de travail sur site sans accès sortant à Internet, un pare-feu local reste pertinent.

Combien coûte le SASE pour une PME de 50 collaborateurs ? Environ 10 000 à 30 000 € par an pour une solution SASE complète (SWG + CASB + ZTNA + FWaaS + DLP de base), hébergement dans l'UE et support compris. Un simple remplacement du VPN par le ZTNA est possible à partir de 4 000 à 8 000 € par an. Comptez en outre 5 000 à 20 000 € de frais de mise en œuvre selon la complexité.

Le ZTNA remplace-t-il entièrement mon VPN ? Pour les applications cloud modernes et le SaaS : oui. Pour les applications historiques sur site qui ne prennent pas en charge l'authentification moderne : parfois, grâce à un connecteur de passerelle. Remplacer entièrement le VPN est un projet de migration de plusieurs mois, pas un chantier d'un week-end.

Quel est le lien entre le SASE et NIS2 ? NIS2 exige notamment la segmentation du réseau, le contrôle des accès, la supervision et la continuité d'activité. Le SASE (en particulier le ZTNA et le CASB) y contribue directement en apportant un accès fondé sur l'identité, l'inventaire des applications et une journalisation centralisée. Notre guide NIS2 décrit concrètement les mesures exigées par NIS2.

Puis-je déployer le SASE par étapes ? Oui, et c'est généralement recommandé. Commencez par le ZTNA pour les applications les plus critiques et le groupe d'utilisateurs le plus mobile, puis étendez avec la SWG et le CASB. Un déploiement par phases réduit les risques et étale les coûts.

Conclusion

Pour les PME néerlandaises, le SASE n'est pas un impératif pour tout le monde. Mais pour les entreprises multisites, très tournées vers le télétravail ou utilisatrices intensives du SaaS, c'est généralement la voie la plus simple vers une sécurité cohérente et de bonnes performances. La première étape essentielle est presque toujours le ZTNA en remplacement du VPN classique. Le SASE complet devient pertinent lorsque vous souhaitez consolider davantage ou que la pression de NIS2 se fait sentir. Comptez 10 000 à 30 000 € par an pour une solution complète et 2 à 6 mois de migration.

Vous voulez savoir si le SASE ou un simple ZTNA convient à votre environnement ? Ou devez-vous agir rapidement pour répondre à NIS2 ou à une cyberassurance qui impose des critères Zero Trust ? TRON Group accompagne les PME néerlandaises dans l'évaluation, le choix du fournisseur et la mise en œuvre progressive du SASE et du ZTNA, y compris l'intégration avec Entra ID ou Okta. Découvrez nos services de cybersécurité ou appelez le +31 85 303 5869 pour un échange sans discours commercial. TRON Group. Moving IT Forward - Une informatique qui fonctionne, évolue et protège.