L’accès distant est la porte d’entrée la plus utilisée dans les compromissions que nous analysons. C’est aussi celle qu’on durcit le moins, parce que chaque restriction se heurte à un usage légitime.
Voici les principes qui tiennent, dans l’ordre où ils produisent du résultat.
1. L’authentification multifacteur, sans exception
C’est la mesure la plus rentable du domaine. Un identifiant volé devient inutilisable seul.
Le mot important est sans exception. Les dispositifs que nous auditons comportent presque toujours des dérogations : comptes de service, comptes de secours, prestataires, direction générale. Ce sont exactement les comptes les plus ciblés.
Une exception documentée, à durée limitée et compensée par une autre mesure est acceptable. Une exception permanente et oubliée est une porte ouverte.
2. Ne pas donner accès au réseau, donner accès à une application
Le modèle historique place l’utilisateur distant dans le réseau interne. Une fois connecté, il voit tout ce que voit un poste sur site — et un attaquant qui détourne la session aussi.
Le principe inverse consiste à n’exposer que les applications nécessaires, par utilisateur, sans exposer le réseau lui-même. C’est ce que recouvre l’idée d’accès réseau à vérification systématique, décrite dans le NIST SP 800-207.
Cette bascule dépend directement de votre segmentation : sans zones définies, il n’y a rien à restreindre.
3. Distinguer les populations
Un salarié en télétravail, un administrateur, un prestataire et un partenaire n’ont pas les mêmes besoins ni les mêmes risques. Les traiter avec le même profil d’accès conduit soit à trop ouvrir, soit à trop contraindre.
Le cas des prestataires mérite un traitement séparé : accès ouvert à la demande pour une durée déterminée, comptes nominatifs, sessions journalisées, revue trimestrielle. C’est la mesure qui ferme le plus de portes oubliées.
4. Traiter le poste, pas seulement la connexion
Un tunnel chiffré depuis une machine compromise transporte la compromission. La question à se poser : quelles garanties avons-nous sur l’équipement qui se connecte ?
Vérifications minimales avant ouverture de session : machine connue de l’organisation, système à jour, protection active, chiffrement du disque. Sur des postes personnels, l’accès doit être restreint en conséquence.
5. Journaliser les sessions
Qui s’est connecté, depuis où, vers quoi, combien de temps. C’est un volume faible pour une valeur d’enquête maximale — voir ce qu’il faut collecter.
Pour les accès à privilèges et les prestataires, la traçabilité doit être conservée séparément, hors de portée des comptes concernés.
Le vrai risque : le contournement
C’est le point que les projets techniques négligent. Si l’accès conforme est lent, capricieux ou soumis à des délais de validation de deux semaines, les équipes trouveront autre chose : partage de fichiers personnel, outil de prise en main à distance installé discrètement, transfert de documents par messagerie privée.
Vous aurez alors un dispositif d’accès très sécurisé, et des données qui circulent en dehors.
Deux mesures évitent ce scénario : un circuit d’ouverture rapide et tracé pour les besoins urgents, et une alternative officielle pour chaque usage qu’on interdit. Interdire sans proposer produit toujours le même résultat.
Ce que demandent les référentiels
ISO/IEC 27002:2022 traite le sujet par les mesures 6.7 (travail à distance), 8.1 (terminaux des utilisateurs) et la famille 5.15 à 5.18 sur le contrôle d’accès.
L’article 21 de NIS 2 cite explicitement l’authentification à plusieurs facteurs et les communications sécurisées parmi les mesures attendues.
Par où commencer
- Inventorier tous les points d’accès distants existants — il y en a toujours plus que prévu.
- Activer l’authentification multifacteur partout, y compris sur les dérogations.
- Séparer le profil des prestataires et fermer les accès permanents.
- Journaliser les sessions et conserver les traces à part.
- Engager la restriction par application, en commençant par les environnements sensibles.
Sources
- ISO/IEC 27002:2022, mesures 5.15 à 5.18, 6.7 et 8.1
- NIST SP 800-207 — Zero Trust Architecture
- ANSSI — recommandations sur le nomadisme et le travail à distance
Aller plus loin
Nous concevons et reprenons ces architectures en sécurité réseau périmétrique. L’évaluation de l’existant relève de l’audit 360.