Dans une PME industrielle, le télétravail des équipes administratives n'est pas le principal risque d'accès distant. Le risque se situe du côté des accès permanents ouverts à des prestataires extérieurs sur les postes de supervision et les automates, souvent installés il y a des années et jamais revus depuis.
Cela ne veut pas dire que le télétravail se traite tout seul. Cela veut dire que si vous ne devez regarder qu'une chose, regardez d'abord qui peut entrer sur vos machines depuis l'extérieur, et par quel chemin.
L'accès de l'intégrateur, ouvert et oublié
Le scénario est presque toujours le même. Une ligne de production est installée, l'intégrateur demande un accès distant pour la mise au point et la maintenance, l'accès est ouvert dans l'urgence du démarrage, et il reste actif.
Trois problèmes s'accumulent avec le temps. Le compte est souvent partagé entre plusieurs techniciens du prestataire, donc personne ne sait qui s'est connecté. L'accès n'est presque jamais limité dans le temps, il est permanent alors qu'une intervention dure quelques heures par an. Et il aboutit fréquemment sur un réseau où se trouvent aussi vos serveurs de gestion.
La correction ne demande pas de refuser l'accès, elle demande de l'encadrer. Un compte nominatif par technicien, un accès ouvert à la demande plutôt qu'en permanence, une arrivée cantonnée au seul équipement concerné, et une trace de chaque connexion. Ces quatre points se négocient très bien lors du renouvellement d'un contrat de maintenance.
Ce que le télétravail change réellement
Pour les équipes internes, les risques sont connus et se traitent avec des moyens ordinaires.
Le réseau du domicile n'est pas maîtrisé, ce qui rend le chiffrement des communications indispensable. Un tunnel vers l'entreprise pour les applications internes et des connexions chiffrées pour les services en ligne couvrent la question.
L'équipement personnel est le vrai point sensible. Un ordinateur familial partagé avec des adolescents, sans mise à jour et sans antivirus à jour, n'a pas sa place dans le système d'information. Fournir un poste professionnel coûte moins cher qu'un incident, et cela règle en même temps la question du chiffrement du disque et des mises à jour.
L'environnement, enfin, échappe à toute technique. Un écran visible dans un espace de travail partagé ou une conversation tenue dans un train n'ont pas de solution logicielle, seulement des règles connues et rappelées.
L'authentification, le point qui rapporte le plus
Un mot de passe seul suffit à un attaquant qui l'a récupéré dans une fuite ou par hameçonnage. C'est le mode d'entrée le plus fréquent, et de loin.
L'authentification à deux facteurs sur les accès distants et sur la messagerie est la mesure au meilleur rapport entre effort et effet dont dispose une PME. Elle se déploie en quelques jours, elle est incluse dans la plupart des abonnements que vous payez déjà, et elle neutralise l'essentiel des tentatives.
L'objection habituelle porte sur la gêne quotidienne. En pratique, une configuration correcte ne redemande le second facteur que sur un appareil non reconnu ou après un délai, ce qui représente quelques secondes par semaine et non par connexion.
Ne pas ouvrir la porte trop grand
Un accès distant donne trop souvent l'équivalent d'un branchement sur le réseau interne, avec la visibilité qui va avec. Ce n'est nécessaire pour presque personne.
Un collaborateur administratif a besoin de sa messagerie, de ses fichiers et de deux ou trois applications. Un prestataire a besoin d'un équipement précis. Restreindre l'arrivée à ce périmètre limite considérablement ce qu'un compte compromis permet de faire, et cela se configure au niveau du pare-feu sans investissement.
C'est le prolongement direct de la segmentation du réseau. Si le réseau interne est plat, tout accès distant y donne accès en entier, quel que soit le soin apporté à l'authentification.
Écrire les règles une fois, en une page
Une charte de télétravail de vingt pages ne sera pas lue. Une page qui tient sur un écran et qui dit ce qui est autorisé, ce qui ne l'est pas et qui appeler en cas de doute, sera lue.
Le contenu utile se résume à quelques points. Quel matériel utiliser, comment se connecter, ce qu'il faut faire d'un poste laissé sans surveillance, comment traiter les documents papier sortis de l'entreprise, et surtout à qui signaler immédiatement un comportement anormal ou un message suspect.
Ce dernier point vaut tous les autres. La plupart des incidents évitables le sont parce que quelqu'un a eu un doute et a osé le dire tout de suite.
Ce qui suffit dans une petite structure
Une revue annuelle des accès distants convient, à condition d'être réellement conduite et écrite. Elle consiste à lister qui dispose d'un accès depuis l'extérieur, à quoi cet accès donne réellement droit, et si la personne ou la société en a toujours besoin.
Cette revue met presque systématiquement au jour deux choses. Des comptes appartenant à d'anciens collaborateurs ou à d'anciens prestataires, et des accès dont plus personne dans l'entreprise ne sait à quoi ils servent. Fermer ces derniers demande un peu de courage, et un préavis annoncé permet de le faire sans risque.
Questions fréquentes
Peut-on laisser un salarié travailler depuis son ordinateur personnel ?
C'est déconseillé et cela devrait rester exceptionnel. Un poste personnel échappe à vos mises à jour, à votre antivirus et au chiffrement du disque, et il est souvent partagé avec l'entourage. Si la situation ne peut pas être évitée, limitez l'usage à un accès en mode bureau distant, où aucune donnée ne se copie sur la machine du salarié.
Notre intégrateur a besoin d'un accès permanent, est-ce négociable ?
Oui, presque toujours. Un besoin réel de quelques interventions par an ne justifie pas un accès ouvert en continu. L'ouverture à la demande, avec un compte nominatif par technicien et une trace des connexions, est acceptée sans difficulté par les prestataires sérieux. Le moment le plus favorable pour en discuter est le renouvellement du contrat de maintenance.
L'authentification à deux facteurs est-elle indispensable en PME ?
C'est la mesure la plus rentable dont vous disposez. Elle bloque l'essentiel des tentatives d'intrusion, qui reposent sur des mots de passe volés, elle est comprise dans la plupart des abonnements déjà payés et elle se déploie en quelques jours. Si vous ne deviez engager qu'une action cette année sur les accès distants, ce serait celle-là.
À quelle fréquence revoir la liste des accès distants ?
Une fois par an convient à une petite structure, à condition que la revue soit réellement menée et consignée. Elle doit en revanche être déclenchée immédiatement lors du départ d'un collaborateur ou de la fin d'un contrat de prestation, ces deux événements étant à l'origine de la plupart des accès orphelins.