Accès à distance sécurisé : quand le VPN ne suffit plus

Presque jamais. En 2020, le télétravail est né dans l'urgence : un tunnel VPN sur le pare-feu, un identifiant par personne et l'équipe au travail depuis chez elle. Depuis, la configuration n'a pas bougé, et les attaquants ont évolué.

L'appareil même qui fournit le VPN est devenu une cible. Verizon a alerté sur les attaques contre les équipements de périphérie et les VPN en 2025 ; dans l'édition 2026, l'exploitation de vulnérabilités logicielles est devenue la porte d'entrée numéro un, observée dans 31 % des violations étudiées.

• Mot de passe capturé Un message de phishing convaincant suffit ; sans second facteur, le tunnel s'ouvre.
• Portable personnel Partagé avec la famille et pas à jour, il fait entrer dans le réseau ce qu'il transporte déjà.
• Déplacement latéral Une fois dans le réseau, l'intrus cherche fichiers, ERP et, surtout, les sauvegardes. Sans segmentation, rien ne l'arrête.
• Firmware en retard Le concentrateur VPN fait face à internet et il est scanné par des outils automatiques dès qu'une vulnérabilité est publiée.

Nous ne recommandons des changements que lorsqu'ils sont nécessaires. Si toutes les réponses sont positives, votre VPN remplit son rôle :

1. Chaque connexion exige-t-elle une validation dans l'application du téléphone, pour tout le monde ?
2. Seuls les portables de l'entreprise, gérés et à jour, peuvent-ils se connecter ?
3. Chaque équipe n'atteint-elle que ce qui la concerne, par exemple, la comptabilité uniquement le logiciel de facturation ?
4. Les correctifs du pare-feu et du portail VPN sont-ils installés en quelques jours et non en quelques mois ?
5. Les connexions sont-elles journalisées (qui, quand, d'où) et quelqu'un analyse-t-il ce journal ?
6. Aucun prestataire externe ne dispose-t-il d'une connexion ouverte en permanence ?

Avec deux « non » ou plus, le défaut ne vient pas de la technologie VPN : il vient de sa configuration.

Exemple illustratif : 40 postes, dont 10 en télétravail régulier. L'architecture que nous proposons :

• Messagerie et documents Dans Microsoft 365 géré, avec MFA et accès conditionné à l'appareil.
• Logiciel de gestion Servi par un bureau à distance protégé par une authentification forte.
• VPN Uniquement pour deux administrateurs, avec second facteur, dans une zone de gestion isolée.
• Prestataires Identifiants créés pour chaque intervention et désactivés à la fin.

En règle générale, cela se fait avec le pare-feu et les licences que l'entreprise possède déjà : l'architecture change, la facture non. Le même raisonnement guide le modèle Zero Trust en quatre étapes, et le firmware du VPN doit suivre une politique de mises à jour aux délais serrés.

Pour FreshDesign, DataRoad a déployé un NGFW et un VPN chiffré qui donne à l'équipe un accès distant aux serveurs et aux applications internes. Le projet a réuni une gestion centralisée des accès et des droits, le filtrage et la prévention des intrusions, une surveillance à distance continue avec alertes précoces et deux accès internet avec équilibrage de charge et basculement automatique vers le second opérateur en cas de panne.

Ce qui a fait la différence, c'est l'exploitation après l'installation. Le contrat couvre les mises à jour du pare-feu, l'ajustement régulier des règles et le suivi de la stabilité du VPN. C'est ce qui sépare un pare-feu géré d'une porte laissée ouverte.

Nous revoyons le VPN, qui se connecte et à quels systèmes, les identifiants des prestataires et l'état du pare-feu, puis nous remettons un plan écrit avec les corrections classées par priorité. Demandez une proposition sans engagement. La gestion des pare-feu gérés et de la sécurité réseau ainsi que du télétravail et de la mobilité est incluse dans le plan IT Unlimited Premium.

Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone. Appelez le +351 211 459 950 * ou écrivez à sales@dataroad.pt.

*Appel vers un fixe portugais.

• Verizon DBIR 2026 (synthèse)
• Verizon DBIR 2025 (communiqué)
• Catalogue CISA des vulnérabilités exploitées