Télétravail, VPN et appareils personnels : sécuriser les accès distants d'une entreprise

Pour sécuriser le télétravail, l'essentiel est de protéger l'accès à distance par une authentification forte, de maintenir à jour les appareils qui se connectent, de limiter ce qui est accessible depuis l'extérieur et de définir des règles claires sur l'usage des appareils personnels. Un VPN peut être une bonne solution, mais mal configuré ou non mis à jour, il devient lui-même la faille d'entrée. L'important n'est donc pas l'outil en soi, mais le contrôle : qui se connecte, avec quel appareil, vers quelles ressources et avec quel niveau de preuve d'identité.

Les risques propres au travail à distance

Quand les collaborateurs travaillent hors des locaux, le périmètre de l'entreprise s'étend à des réseaux domestiques, des Wi-Fi publics et des appareils que vous ne maîtrisez pas toujours. Les risques principaux sont :

Compromission d'un accès distant : mot de passe volé, service de bureau à distance exposé, VPN non corrigé.
Appareil perdu ou volé avec des données non chiffrées.
Appareil personnel infecté utilisé pour accéder à la messagerie ou aux fichiers.
Réseau domestique mal sécurisé : routeur non mis à jour, mot de passe par défaut.
Mélange des usages : enfants, logiciels piratés, extensions de navigateur douteuses sur la machine professionnelle.
Fuite d'informations dans des lieux publics (écran visible, conversations).

VPN, accès par application, bureau virtuel : comparer les approches

Approche	Principe	Avantages	Points de vigilance
VPN classique	Tunnel chiffré donnant accès au réseau interne	Simple, répandu	Donne souvent un accès large au réseau ; équipement à mettre à jour sans délai ; MFA indispensable
Accès par application (modèle « zero trust »)	Chaque utilisateur accède seulement aux applications autorisées, après vérification de l'identité et de l'appareil	Réduction de la surface d'attaque, contrôle fin	Plus complexe à mettre en place, coût par utilisateur
Bureau virtuel ou poste distant	L'utilisateur travaille sur un environnement hébergé	Données non stockées sur l'appareil	Dépend de la qualité de la connexion, coût d'infrastructure
Applications en ligne (SaaS) avec MFA	Outils accessibles par navigateur, sécurisés par identité	Pas d'accès au réseau interne	Gérer correctement les comptes, la sauvegarde et les partages

Pour une PME, une combinaison fréquente est : applications en ligne avec MFA, plus un VPN ou un accès par application pour les rares ressources internes, plutôt qu'un accès complet au réseau pour tous.

Les règles de base pour les accès distants

MFA sur tous les accès distants, sans exception, avec un facteur résistant à l'hameçonnage pour les administrateurs.
Ne jamais exposer directement à Internet les services d'administration comme le bureau à distance : passez par un VPN ou un service protégé.
Mettre à jour sans délai les passerelles VPN et pare-feu : ce sont des cibles privilégiées dès qu'une faille est publiée.
Limiter les accès aux ressources nécessaires par profil (principe du moindre privilège).
Journaliser les connexions et alerter sur les comportements inhabituels (connexion nocturne depuis l'étranger, nombreux échecs).
Supprimer immédiatement les accès lors du départ d'un collaborateur.

Ordinateurs portables fournis par l'entreprise

C'est la solution la plus sûre : vous maîtrisez la configuration. Prévoyez :

chiffrement du disque, pour que la perte ou le vol ne se transforme pas en fuite de données ;
protection des postes et mises à jour automatiques centralisées ;
droits d'administrateur retirés à l'utilisateur ;
verrouillage automatique de l'écran et mot de passe de session solide ;
possibilité d'effacer à distance un appareil perdu ;
procédure en cas de perte ou de vol : prévenir immédiatement, révoquer les sessions et accès.

Appareils personnels (BYOD) : encadrer plutôt qu'interdire

Interdire sans fournir d'alternative pousse les collaborateurs à contourner la règle. Il vaut mieux définir un cadre :

Usage	Recommandation
Messagerie sur téléphone personnel	Autoriser via une application de messagerie professionnelle avec verrouillage et MFA, séparation entre données personnelles et professionnelles
Accès aux fichiers sensibles depuis un ordinateur personnel	À éviter ; sinon accès par navigateur ou bureau virtuel sans téléchargement local
Applications de gestion de la paie, de la comptabilité, des données clients	Réserver aux appareils gérés par l'entreprise
Stockage de données professionnelles sur des services personnels	Interdire : pas de transfert vers des messageries ou stockages privés

Rédigez une charte d'usage courte et claire : conditions d'utilisation, mise à jour obligatoire, verrouillage, interdiction du contournement, conséquences de la perte, droit de l'entreprise d'effacer les données professionnelles. Cette charte doit respecter la vie privée du salarié : l'entreprise n'a pas à consulter le contenu personnel. Consultez un juriste pour son articulation avec le règlement intérieur et la CNIL pour la protection des données.

Le réseau domestique et les lieux publics

Donnez des consignes simples et réalistes :

Changer le mot de passe par défaut du routeur et mettre à jour son logiciel.
Utiliser un chiffrement Wi-Fi moderne (WPA2 ou WPA3) avec un mot de passe long.
Éviter les Wi-Fi publics sans VPN ; préférer un partage de connexion du téléphone.
Ne pas laisser l'ordinateur sans surveillance dans un lieu public, utiliser un filtre de confidentialité en déplacement.
Séparer, si possible, le matériel professionnel des objets connectés domestiques.

Exemple chiffré illustratif

Une entreprise de 30 collaborateurs dont 20 en télétravail partiel évalue deux options. Hypothèses fictives : l'option A, un VPN avec MFA, coûte 3 000 euros par an d'abonnement et de maintenance. L'option B, un accès par application avec contrôle de l'appareil, coûte 8 euros par utilisateur et par mois, soit 20 x 8 x 12 = 1 920 euros, plus 1 500 euros de mise en place la première année. À périmètre égal, l'option B est moins chère la première année dans cet exemple fictif et réduit la surface d'attaque, mais elle demande plus de configuration. Les montants sont des hypothèses : demandez des devis. Pour intégrer ces postes dans un budget, utilisez l'estimateur.

Erreurs fréquentes

Un VPN jamais mis à jour depuis des mois alors que des failles sont régulièrement publiées.
Un compte partagé pour l'accès distant d'un prestataire.
Aucun chiffrement sur les portables.
Un accès VPN donnant accès à tout le réseau à tous les utilisateurs.
L'absence de procédure en cas de perte d'un appareil.
Un MFA par SMS seul pour les comptes à privilèges.

Les bases de cette hygiène figurent dans le plan d'action sur 90 jours et dans le guide sur le MFA.

Questions fréquentes

Faut-il absolument un VPN pour le télétravail ?

Non. Si vos applications sont en ligne avec une authentification forte, un VPN n'est pas toujours nécessaire. Il le devient pour accéder à des ressources internes non exposées.

Un salarié peut-il utiliser son ordinateur personnel ?

Cela peut être toléré avec des garde-fous, mais n'est pas recommandé pour des données sensibles. Un poste fourni et géré reste préférable.

L'employeur peut-il surveiller l'ordinateur personnel d'un salarié ?

Non, pas sans respecter le droit à la vie privée. Les mesures de sécurité doivent rester proportionnées et se limiter aux données professionnelles. Faites valider votre charte par un juriste.

Sources et références

ANSSI — recommandations sur le nomadisme numérique et la sécurisation des accès distants.
CNIL — télétravail, BYOD et protection de la vie privée des salariés.
Cybermalveillance.gouv.fr — fiches pratiques sur le télétravail.