Un VPN ne suffit plus : comment donner un accès distant sécurisé à l'équipe

7 min de lecture · DataRoad

Accès distant sécurisé Il ne suffit plus d'un VPN et d'un mot de passe pour résoudre le problème. La réponse courte : protégez votre VPN avec une authentification multifactorielle, limitez ce qu'elle peut faire et, pour la plupart de votre équipe, changez l'accès à tout le réseau par un accès uniquement aux applications dont chaque personne a besoin. Et si votre entreprise est petite et disciplinée, vous n'aurez peut-être pas besoin de plus que ça — nous expliquons quand.

De nombreuses entreprises ont déployé le télétravail précipitamment en 2020 : une VPN sur le pare-feu, une clé d'accès par personne, et ça a fonctionné. Le problème est que ça reste pareil, alors que les attaques ont changé.

Ce que la VPN fait bien — et où elle laisse à désirer

Une VPN chiffre la connexion entre le portable et le bureau. Dans un café ou un hôtel, personne ne peut lire ce qui passe. Cela reste utile.

Ce que la VPN ne fait pas, à elle seule, est de confirmer que la personne de l’autre côté est bien le collaborateur, de vérifier si l’ordinateur est à jour et protégé, ou de limiter ce que cet ordinateur peut faire après l’entrée.

Les quatre risques réels d'une VPN mal protégée

1. Des mots de passe volés. Un e-mail de phishing bien réalisé arrive pour obtenir les informations d’identification. Sans un deuxième facteur, la VPN les accepte comme si elles étaient celles du collaborateur.
2. Ordinateurs personnels. Le portable domestique, partagé avec la famille et sans mises à jour, connecté au réseau de l'entreprise, transporte avec lui tout ce qu'il contient.
3. Déplacements au sein du réseau. Une fois à l’intérieur, l’attaquant recherche le serveur de fichiers, le logiciel de gestion et – surtout – les sauvegardes. Dans un réseau “ plat ”, sans divisions, rien ne l’empêche.
4. L'équipement VPN lui-même. Il est orienté vers Internet et est automatiquement recherché lorsque se produit une panne. D’ici 2025, Verizon a déjà signalé les attaques visant les équipements de périmètre et les VPN ; en 2026, l’exploitation de failles de logiciel est devenue la voie d’entrée la plus courante, avec 31% des violations analysées. Un appareil VPN mis à jour constitue une entrée prête à être utilisée.

Lorsque la VPN avec MFA arrive enfin

Nous ne vendons pas de complexité à ceux qui n’en ont pas besoin. Pour de nombreuses PME, une VPN bien configurée reste une réponse solide. Il suffit de pouvoir répondre “ oui ” à toutes ces questions :

• Tous les accès à la VPN nécessitent un deuxième facteur (application sur le téléphone), sans exception ?
• Seuls les équipements de l'entreprise, gérés et mis à jour, sont connectés à la VPN ?
• Chaque groupe d’utilisateurs n’atteint-il que ce dont il a besoin (par exemple, la comptabilité ne parvient-elle pas au logiciel de gestion)?
• Le pare-feu et le portail VPN reçoivent les correctifs de sécurité tous les jours, pas tous les mois ?
• Il existe des registres des personnes qui se sont connectées, quand et d'où — et quelqu'un consulte-t-il ces registres ?
• Aucun fournisseur n'a accès permanent ?

Si la réponse est oui à tout, votre VPN fait son travail. Si elle échoue dans deux ou plusieurs cas, le problème n’est pas la VPN — c’est la manière dont elle est configurée.

Lorsque vous passerez à l’accès par application

Le plan en quatre étapes, dans cet ordre

1. Deuxième facteur dans la VPN, déjà

C’est la solution la plus rentable et la moins coûteuse. La plupart des pare-feux professionnels prennent en charge l’authentification multifactorielle, souvent intégrée à Microsoft 365. Nous expliquons les options dans le guide. authentification multifactor pour les entreprises.

2. Seuls les équipements de l'entreprise sont connectés à la réseau

Les ordinateurs personnels sont limités à l'email et aux fichiers dans le navigateur, avec des règles qui empêchent le téléchargement de données. Travailler avec les données de l'entreprise est différent de se trouver dans l'infrastructure de l'entreprise.

3. Applications plutôt que réseau

La plupart des personnes ont besoin d’un email, de fichiers, de logiciels de gestion et, parfois, d’un environnement de travail distant. Aucune de ces choses ne nécessite d’être connecté à l’ensemble du réseau. Publiées avec une authentification forte, chaque application est une porte distincte, avec un registre. La VPN est réservée aux administrateurs des systèmes.

4. Limiter ce que la VPN peut accomplir

Les sauvegardes, les caméras et les équipements de gestion réseau ne doivent jamais être à la portée d’un utilisateur distant. Le pare-feu divise le réseau en zones et laisse passer uniquement ce qui est nécessaire. Les fournisseurs proposent des comptes privés, une authentification multifactorielle et un accès qui se désactive à la fin de l’intervention.

Un cas réel : pare-feu et VPN pour le travail à distance

Sodium DesignFrais, DataRoad a installé un pare-feu de nouvelle génération et une VPN chiffrée pour permettre à l’équipe d’accéder de manière remota aux serveurs et aux applications internes. Le projet inclut un contrôle centralisé des accès et des autorisations, une filtrage et une prévention des intrusions, une surveillance permanente à distance avec des alertes proactives et deux connexions à Internet avec un équilibrage et un passage automatique en cas de panne de l’opérateur.

Le point qui intéresse un gestionnaire : la VPN n’est pas “ installée et oubliée ”. Le contrat inclut des mises à jour du pare-feu, une optimisation des règles et le suivi de l’état de la VPN — exactement ce qui distingue une VPN sécurisée d’une connexion ouverte.

Exemple : une entreprise de 40 postes

Exemple (scénario illustratif) 40 postes, 10 personnes travaillant à distance régulièrement. La configuration que nous recommandons :

• E-mail et fichiers sur Microsoft 365, Avec authentification multifactorielle et accès conditionné au type d’appareil.
• Logiciel de gestion publié dans un environnement de travail distant avec une authentification forte.
• Une VPN réservée à deux administrateurs, avec un deuxième facteur, dans une zone de gestion séparée.
• Les comptes des fournisseurs créés par intervention sont désactivés à la fin.

Dans la plupart des cas, cela se fait en utilisant ce que l'entreprise déjà paie en pare-feu et en licences : on change l'architecture, pas la facture. La même logique est développée dans Zéro confiance en 4 étapes pour les PME, et les corrections du matériel VPN doivent suivre une politique d'actualisations avec des délais courts.

Foire aux questions

Dois-je désactiver le VPN ?

Pas tout de suite. Premièrement, activez l’authentification multifactorielle et limitez ce que la VPN peut faire. Ensuite, transférez les personnes à l’accès par application. À la fin, la VPN reste uniquement à la disposition des personnes qui administrent les systèmes.

Une VPN avec authentification multifactorielle suffit-elle pour une PME ?

Cela peut être le cas si seuls les équipements de l'entreprise sont connectés, si chaque groupe atteint uniquement ce qu'il nécessite, si le pare-feu est mis à jour et si les accès sont enregistrés. Si l'une de ces conditions est atteinte, le risque reste élevé.

Puis-je permettre aux collaborateurs d'utiliser l'ordinateur personnel ?

Pour le courrier électronique et les fichiers dans le navigateur, avec des règles empêchant le téléchargement de données, oui. Pour accéder au réseau interne de l'entreprise, non.

Cela oblige-t-il à acheter une nouvelle solution ?

Dans la plupart des PME, non. Cela oblige à mieux configurer le pare-feu et Microsoft 365 existants et à avoir quelqu'un qui gère les accès de manière continue.

Régénération de l’accès à distance dans 5 jours ouvrables

Nous analysons votre VPN, qui se connecte et à quoi, les comptes des fournisseurs et l’état du pare-feu, puis nous fournissons un plan écrit pour remédier aux problèmes dans l’ordre de priorité. Pour les entreprises avec plus de 10 postes · contrat d’assistance · support à distance, local et téléphonique. La gestion Firewalls et sécurité et de Travail à distance Elle est incluse dans les plans IT Unlimited Premium.

Sources

• Verizon — Rapport d’enquête sur les violations de données 2026, résumé exécutif
• Verizon — Rapport d'enquête sur les violations de données de 2025 (attaques contre les équipements de périmètre et les VPN)
• CISA — Catalogue des vulnérabilités exploitées connues