En 2020, presque toutes les entreprises ont résolu le télétravail de la même manière : un VPN sur le pare-feu, un utilisateur et un mot de passe par collaborateur, et tout le monde s'est retrouvé “ au bureau ” depuis chez soi. Cela a fonctionné — et c'est précisément le problème. Un VPN classique connecte l'ordinateur distant au réseau de l'entreprise comme s'il y était physiquement : avec un accès aux serveurs, aux dossiers partagés, aux imprimantes et à tout ce que contient le réseau. Quiconque entre avec des identifiants volés dispose du même accès. Cet article explique pourquoi le VPN, à lui seul, n'est plus une réponse suffisante et ce qui le remplace ou le complète dans une PME.
Ce que fait bien un VPN — et ce qu'il ne fait pas
Un VPN fait une chose bien : il chiffre la connexion entre l'ordinateur distant et l'entreprise, afin que personne au café ou à l'hôtel ne puisse lire le trafic. Ce qu'il ne fait pas, c'est vérifier qui est de l'autre côté à part le mot de passe, quel est l'état de l'ordinateur qui se connecte (mis à jour ? avec un antivirus ? personnel ou de l'entreprise ?) ni limiter ce que cet ordinateur peut atteindre une fois connecté. C'est une porte avec une bonne serrure qui donne sur toute la maison.
Les trois risques réels
- Identifiants volésla plupart des attaques contre des entreprises portugaises commencent par un e-mail de hameçonnage qui amène quelqu'un à saisir son mot de passe sur un faux site web. Si ce mot de passe ouvre également le VPN, l'attaquant se trouve à l'intérieur du réseau sans rien forcer.
- Ordinateur personnel compromisun ordinateur portable personnel, partagé avec la famille, sans mises à jour, se connecte au VPN et apporte avec lui ce qu'il a attrapé. Le réseau de l'entreprise le traite comme un poste interne.
- Mouvement latéral: une fois à l'intérieur, l'attaquant cherche le serveur de fichiers, le logiciel de gestion et les sauvegardes. Dans un réseau plat, il accède à tout en quelques minutes. C'est ainsi que la plupart des cas de ransomware dans les PME que nous connaissons ont commencé.
Premier pas, aujourd'hui : MFA sur le VPN
Si votre VPN n'accepte que l'utilisateur et le mot de passe, la mesure la plus urgente est d'ajouter un second facteur — un code dans l'application du téléphone portable ou une notification à approuver. Presque tous les pare-feux d'entreprise prennent cela en charge sans coût de licence supplémentaire, ou avec une intégration à Microsoft 365. Avec l'MFA, un mot de passe volé ne suffit plus. Nous avons expliqué comment l'implémenter dans l'article sur authentification multifacteur dans l'entreprise.
Deuxième étape : vérifier l'équipement, pas seulement la personne
L'accès distant doit dépendre également de l'ordinateur. La règle la plus simple : seuls les équipements de l'entreprise, gérés et dotés d'une protection active, accèdent au réseau interne. Les équipements personnels accèdent au courrier électronique et aux fichiers sur Microsoft 365 via le navigateur, avec un accès conditionnel, sans entrer dans le réseau. Cela sépare deux mondes que le VPN classique mélange : travailler avec les données de l'entreprise et être à l'intérieur de l'infrastructure de l'entreprise.
Troisième étape : accès par application au lieu d'accès au réseau
La plupart des personnes en télétravail ont besoin de trois ou quatre choses : un e-mail, des fichiers, le logiciel de gestion et peut-être un bureau à distance. Aucune d'elles n'exige d'être “ sur le réseau ”. L'e-mail et les fichiers sont déjà dans Microsoft 365. Le logiciel de gestion peut être publié via un portail ou un bureau à distance avec une authentification forte. Chaque accès se fait vers une application spécifique, est enregistré et n'ouvre pas la voie au reste. Le VPN est réservé à ceux qui ont vraiment besoin d'administrer des serveurs ou des équipements — normalement l'équipe informatique — et même celui-ci avec une authentification multifacteur et à partir d'équipements gérés.
Quatrième étape : segmenter ce que le VPN atteint
Tant que le VPN existera, le segment où atterrissent les utilisateurs distants ne doit pas avoir un accès direct aux serveurs de sauvegarde, aux caméras, aux équipements industriels ou au réseau de gestion. Cela se fait avec des VLAN et des règles de pare-feu — le même travail que nous avons décrit dans VLANs et segmentation de réseau et dans l'article sur Zero Trust pour PME. Si un ordinateur portable distant est compromis, les dégâts restent contenus.
Et les fournisseurs externes ?
Le fournisseur du logiciel de gestion, le technicien du TPE, l'installateur des caméras : tous demandent “ un accès VPN ” et ne le restituent presque jamais. Chacun doit avoir son propre compte, avec MFA, avec un accès uniquement au serveur ou à l'équipement qu'il prend en charge, actif seulement pendant l'intervention et enregistré. Lors des audits que nous réalisons, les accès de fournisseurs oubliés constituent l'une des découvertes les plus fréquentes.
Comment cela se passe-t-il en pratique dans une PME
Un scénario typique avec 40 postes et 10 personnes en télétravail régulier : Microsoft 365 avec MFA et accès conditionnel pour les e-mails et les fichiers ; logiciel de gestion publié dans un environnement de bureau à distance avec MFA ; VPN maintenu uniquement pour deux administrateurs, avec MFA, atterrissant sur un VLAN de gestion ; accès des fournisseurs créés sur intervention. Coût des licences : peu ou rien de plus que ce que l'entreprise paie déjà. Ce qui change, c'est l'architecture et qui la gère. Dans les contrats IT Unlimited ce dessin fait partie du service et le pare-feu est gérée et surveillée par nous, avec les alertes traitées par des personnes.
Foire aux questions
Dois-je désactiver le VPN ?
Pas immédiatement. Ajoutez d'abord l'authentification multifacteur et limitez ce qu'elle atteint. Déplacez ensuite les accès vers les applications publiées. Enfin, le VPN reste pour ceux qui administrent les systèmes — peu de personnes, bien identifiées.
L'accès distant à l'environnement de travail est-il sécurisé ?
Oui, si vous êtes derrière une authentification forte et non exposé directement à Internet. Un serveur de bureau à distance avec le port ouvert sur le monde et protégé seulement par un mot de passe est l'une des cibles préférées des attaques automatisées.
Puis-je autoriser des équipements personnels ?
Pour les e-mails et les fichiers dans le navigateur, avec un accès conditionnel et sans transfert local, oui. Pour entrer dans le réseau interne, non. C'est la séparation entre travailler avec les données et être à l'intérieur de l'infrastructure.
Cela exige-t-il d'acheter une nouvelle solution ?
Dans la plupart des PME, non. Cela exige de mieux configurer le pare-feu et Microsoft 365 qui existent déjà et, surtout, quelqu'un qui gère les accès de manière continue.
Souhaitez-vous revoir l'accès à distance de votre entreprise ?
Nous analysons qui entre, avec quelles informations d'identification et à quoi il accède, et nous livrons un plan écrit pour fermer les portes restantes. Voyez nos pare-feux gérés pour les entreprises ou composez le 211 459 950.
