VPN entreprise : sécuriser l'accès à distance

Télétravail, déplacements chez les clients, prestataires externes : une PME doit permettre à certaines personnes d'accéder à ses ressources depuis l'extérieur. Le VPN d'entreprise est la réponse la plus connue, mais ce n'est plus la seule, et ce n'est pas toujours la meilleure.

L'accès à distance est aussi l'une des portes d'entrée préférées des attaquants. Un accès mal protégé, un équipement VPN non mis à jour ou un bureau à distance ouvert sur Internet suffisent souvent à déclencher un ransomware. Voici comment choisir et sécuriser la bonne solution.

Avec Microsoft 365, faut-il encore un VPN ?

Pas forcément. Si vos fichiers sont dans SharePoint et OneDrive, votre messagerie dans Exchange Online et vos applications en ligne, les collaborateurs y accèdent directement par Internet. La protection repose alors sur l'identité : double authentification, accès conditionnel et appareils gérés.

Le VPN reste utile pour ce qui vit encore dans vos locaux : un serveur de fichiers, un logiciel métier installé sur un serveur, une base de données, une imprimante ou un équipement de production.

VPN classique ou accès zero trust : quelles différences ?

Un VPN classique crée un tunnel chiffré entre l'ordinateur et le pare-feu de l'entreprise. Une fois connecté, l'utilisateur se retrouve en pratique sur le réseau interne, souvent avec plus d'accès que nécessaire.

L'accès zero trust (ZTNA) fonctionne autrement : chaque connexion à chaque application est vérifiée (identité, double authentification, état de l'appareil), et l'utilisateur ne voit que les applications autorisées, jamais le réseau entier. Pour une PME, un VPN bien configuré, avec des règles qui limitent les accès par groupe, reste souvent une solution raisonnable.

Le bureau à distance ne doit jamais être exposé

Le bureau à distance de Windows (RDP) est pratique pour travailler sur un poste ou un serveur au bureau. Ouvert directement sur Internet, il est en revanche scanné en permanence et fait l'objet de tentatives de connexion automatisées. Il doit toujours se trouver derrière un VPN ou une passerelle sécurisée, avec double authentification.

Le même raisonnement vaut pour les autres interfaces d'administration : pare-feu, NAS, caméras ou logiciels de prise en main à distance installés sans contrôle. Savoir ce qui est réellement visible depuis Internet fait partie de toute revue de sécurité.

Sécuriser un VPN d'entreprise

• La double authentification pour chaque connexion VPN, y compris pour les prestataires.
• Des comptes nominatifs : jamais de compte VPN partagé.
• Des règles qui limitent chaque groupe aux ressources dont il a besoin.
• Un micrologiciel du pare-feu ou de la passerelle VPN tenu à jour : leurs failles sont activement exploitées.
• Des accès prestataires limités au nécessaire, nominatifs, journalisés, et fermés dès qu'ils ne servent plus.
• Des journaux de connexion conservés et consultés en cas de doute.

Et les appareils qui se connectent ?

Un accès bien protégé ne sert à rien si l'ordinateur qui se connecte est compromis. L'idéal est de réserver l'accès aux appareils gérés par l'entreprise (avec Intune par exemple), chiffrés, à jour et équipés d'une protection EDR. Pour un ordinateur privé, limitez l'accès au navigateur et aux applications en ligne, sans connexion au réseau interne.