Accès distants : quel VPN pour réconcilier sécurité et UX ?

Les enjeux des accès distants et multi-sites

Le travail à distance prend de nombreuses formes : télétravail, nomadisme, coworking... Il concerne aussi les entreprises qui disposent de plusieurs sites éloignés géographiquement les uns des autres.

Lorsque le collaborateur accède aux ressources de l’entreprise depuis son domicile ou un lieu public, il se connecte depuis des réseaux sur lesquels la DSI n'a aucune maîtrise. Or, chaque point de connexion extérieur au périmètre de l'entreprise représente une porte d'entrée potentielle pour les cybercriminels.

Par exemple, si un collaborateur utilise le Wi-Fi public d’un café, les données qu’il échange avec ses collègues, ses clients ou ses partenaires depuis ce réseau sont susceptibles d’être interceptées par des personnes malveillantes. Ce mode opératoire, bien connu des cybercriminels, correspond aux attaques de type Man in the Middle (MITM). 

La confidentialité des données ne peut donc pas être garantie. Les attaquants peuvent également modifier les données pour les corrompre ou y injecter des contenus malveillants afin d’accéder au système d’information de votre organisation.

En tant que DSI, votre enjeu est double : sécuriser les accès distants sans pour autant freiner l'activité des équipes. Car un outil trop contraignant sera contourné par les équipes… exposant ainsi votre entreprise.

Qu’est-ce qu’un VPN ?

Le VPN (Virtual Private Network) est la solution de référence pour sécuriser le travail à distance. Son principe est simple : créer un tunnel entre le terminal de l’utilisateur et le réseau de l’entreprise. Toutes les données qui transitent par ce tunnel sont chiffrées de bout en bout. Même si un cybercriminel parvenait à mettre la main dessus, il serait ainsi incapable de déchiffrer les données et de les consulter.

L'accès à ce tunnel s’opère par une authentification renforcée de l'utilisateur. Seules les personnes habilitées peuvent donc se connecter aux ressources de l'entreprise.

Il existe deux principales catégories de VPN :

• Le VPN d'accès distant, qui connecte l’appareil de l’utilisateur au réseau de l'entreprise via un tunnel sécurisé (généralement grâce aux protocoles IPSec ou SSL/TLS). Il peut ainsi accéder à ses ressources, quel que soit son lieu de travail.
• Le VPN site-à-site ou multi-site, qui interconnecte plusieurs sites géographiques entre eux de façon permanente. Il crée ainsi un réseau unifié et sécurisé entre les différents établissements de l'entreprise. Il s’appuie principalement sur le protocole IPSec.

Leur point commun est d’offrir une gestion des accès centralisée. La DSI peut attribuer, modifier ou révoquer les droits au réseau de l’entreprise en temps réel, pour l'ensemble des utilisateurs et des sites.

D'autres variantes existent, comme le VPN SSL/TLS qui est directement accessible depuis un navigateur sans avoir besoin d’être installé sur le terminal, ou le VPN MPLS, utilisé pour les grandes infrastructures réseau. Cependant, les VPN d'accès distant (IPsec ou SSL/TLS) et site-à-site/multi-site (Ipsec) sont ceux qui répondent le mieux aux enjeux de sécurisation du travail à distance.

Comment le VPN sécurise-t-il les accès distants ?

Le VPN comporte plusieurs couches de sécurité pour protéger les accès distants ou multi-sites. D’abord, il assure le chiffrement de bout en bout des données en transit. Attention toutefois : dans un futur proche, la capacité de calcul des nouveaux ordinateurs quantiques aidera les cybercriminels à déjouer les algorithmes de chiffrement traditionnels. Pour réellement protéger les données de votre entreprise, il faut opter pour un VPN proposant une cryptographie dite “Quantum Safe”, résistante aux capacités de calcul des ordinateurs quantiques.

Par ailleurs, le VPN permet à la DSI de définir les accès de chaque utilisateur. Le fait de coupler cette gestion des accès à une authentification multi-facteurs permet de garantir que seuls les utilisateurs légitimes peuvent se connecter au réseau de votre entreprise.

Certaines solutions de VPN d'entreprise intègrent des mécanismes de protection complémentaires comme des pare-feu pour filtrer le trafic et bloquer les connexions non autorisées, un monitoring du trafic pour surveiller en temps réel les flux de données, ou une détection des comportements anormaux pour identifier et bloquer automatiquement toute activité suspecte.

Ces différentes mesures de sécurité font du VPN un outil de mise en conformité pour les entreprises assujetties à des réglementations comme la directive NIS2, ou celles qui souhaitent être certifiées par des normes reconnues comme l’ISO 27001. Cependant, certaines réglementations (comme la directive NIS2) imposent aux entreprises d’adopter des solutions souveraines. Le choix d’un VPN français certifié par l'ANSSI est alors incontournable pour garantir que les données de votre entreprise restent sous juridiction française.

L’importance de l’expérience utilisateur

La sécurité ne doit pas nuire à la productivité. C’est un reproche souvent adressé aux VPN : des connexions lentes, des déconnexions intempestives, une expérience dégradée pour les collaborateurs. Les VPN de dernière génération solutionnent ces écueils.

Pour y parvenir, ils réduisent la latence grâce à des protocoles modernes et un routage intelligent du trafic. Les collaborateurs peuvent ainsi accéder aux ressources de votre entreprise avec la même fluidité qu'au bureau, où qu’ils soient.

La gestion centralisée permet de déployer le VPN à grande échelle depuis une interface unique auprès de milliers de collaborateurs dispersés géographiquement. La DSI garde la main sur le contrôle des accès, par exemple pour révoquer les permissions d’un collaborateur qui quitte l’entreprise. Certains VPN s’appuient sur une gateway, un équipement qui centralise et sécurise toutes les connexions entre les terminaux des collaborateurs et le SI de l'entreprise. Cette passerelle permet de gérer à distance les terminaux, et aide également votre entreprise à monter en capacité si vous avez besoin d’ajouter des utilisateurs ou des sites supplémentaires.  Elle peut être configurée en redondance : si un équipement tombe en panne, un second prend le relais automatiquement, garantissant la continuité des accès.

L’idéal est de privilégier un VPN d’entreprise qui s’intègre facilement dans l’environnement existant comme les solutions SSO, les annuaires Active Directory, ou encore les outils MDM, afin de préserver l’expérience numérique des collaborateurs. La généralisation du travail à distance est une opportunité pour les cybercriminels qui redoublent d’ingéniosité pour dérober les données des entreprises. Le VPN est une solution simple et particulièrement performante pour déjouer les attaques MITM et sécuriser les accès distants… à condition de choisir la bonne solution. Cybels VPN est un VPN IPsec qui sécurise vos échanges entre sites distants jusqu’au profil à un niveau certifié “Diffusion Restreinte” de par l’ANSSI. Cryptosmart PC est la solution qui sécurise les connexions depuis et vers vos PC pour protéger vos accès distants. Elle dispose également la certification Diffusion Restreinte (en cours de renouvellement) et embarque une cryptographie “Quantum Safe” pour résister aux menaces les plus modernes. Contactez-nous pour découvrir la solution !