Le télétravail n'est plus un aménagement ponctuel accordé au coup par coup : il fait désormais partie de l'infrastructure permanente de la plupart des organisations, avec des collaborateurs qui se connectent depuis leur domicile, un espace de coworking ou un site client, souvent sur des réseaux que la direction des systèmes d'information ne contrôle pas. Cette bascule a transformé le VPN d'accès distant, longtemps considéré comme une solution de dépannage pour quelques cadres nomades, en un composant central de la politique de sécurité de l'entreprise. Elle a aussi fait émerger des tensions structurelles, notamment autour du BYOD (Bring Your Own Device), que ce guide se propose d'examiner sans détour.
Un VPN d'accès distant établit un tunnel chiffré entre le poste de travail du collaborateur et le système d'information de l'entreprise, généralement via une passerelle dédiée. Ce tunnel remplit deux fonctions distinctes : il authentifie la connexion, en vérifiant que le poste et l'utilisateur sont autorisés à accéder au réseau interne, et il chiffre l'ensemble du trafic qui transite entre les deux extrémités, le rendant illisible pour quiconque l'intercepterait sur le trajet.
Cette protection porte sur le trajet des données, pas sur les données elles-mêmes une fois arrivées à destination, ni sur la sécurité de l'appareil qui initie la connexion. C'est une distinction essentielle pour dimensionner correctement une politique de sécurité : un VPN protège un canal de communication, il ne remplace ni un antivirus d'entreprise, ni une politique de gestion des accès aux applications internes.
L'autorisation, explicite ou tacite, d'utiliser des appareils personnels pour accéder au système d'information introduit une hétérogénéité que les politiques de sécurité classiques gèrent mal. Un ordinateur personnel n'a pas nécessairement les mêmes mises à jour de sécurité, le même antivirus, ni la même hygiène numérique qu'un poste fourni et administré par l'entreprise. Or, une fois connecté via VPN, cet appareil obtient un accès réseau qui, selon la configuration retenue, peut être aussi large que celui d'un poste professionnel.
La réponse structurelle à ce risque passe par une vérification de la conformité du poste avant l'établissement de la connexion (contrôle de posture) : version du système d'exploitation, présence d'un antivirus à jour, chiffrement du disque activé. Les solutions de gestion des appareils mobiles (MDM) ou de gestion unifiée des points de terminaison (UEM) permettent d'appliquer ce contrôle de façon automatisée, plutôt que de se reposer sur la bonne foi déclarative du collaborateur.
Un second point technique mérite attention : le split tunneling, qui consiste à ne router vers l'entreprise qu'une partie du trafic (les applications professionnelles), le reste (navigation personnelle, streaming) passant directement par la connexion Internet locale. Cette configuration améliore les performances et réduit la charge sur la passerelle VPN, mais elle signifie aussi qu'une partie du trafic de l'appareil échappe à toute inspection de sécurité de l'entreprise — un compromis qui doit être un choix documenté, pas un réglage laissé par défaut sans analyse.
Un identifiant et un mot de passe ne suffisent plus à sécuriser un accès distant exposé sur Internet. L'authentification multifacteur (MFA), qui combine un élément connu (mot de passe) à un élément possédé (application d'authentification, clé physique) ou inhérent (biométrie), doit être considérée comme un prérequis, pas une option avancée. De nombreuses violations de VPN d'entreprise documentées ces dernières années trouvent leur origine dans des identifiants compromis utilisés sans second facteur.
L'intégration à un fournisseur d'identité existant (Active Directory, Azure AD, ou tout autre système de authentification unique) permet en outre de centraliser la gestion des droits d'accès et de révoquer immédiatement un compte lors du départ d'un collaborateur, plutôt que de gérer des comptes VPN isolés dans un système à part, souvent oublié lors des procédures de départ.
Le modèle VPN classique repose sur une logique de périmètre : une fois authentifié, l'utilisateur obtient un accès de niveau réseau, souvent plus large que ce dont il a réellement besoin pour ses tâches quotidiennes. Le Zero Trust Network Access (ZTNA) propose une approche différente, formalisée notamment par le NIST dans sa publication SP 800-207 publiée en août 2020 : plutôt que d'accorder une confiance implicite fondée sur la localisation réseau, chaque demande d'accès à une ressource spécifique est vérifiée individuellement, indépendamment du fait que l'utilisateur soit déjà « à l'intérieur » du réseau ou non.
Concrètement, un utilisateur en Zero Trust n'obtient jamais un accès réseau global : il obtient un accès à une application ou une ressource précise, pour une durée limitée, après vérification continue de son identité et de la conformité de son appareil. Cette granularité réduit mécaniquement la surface d'exposition en cas de compromission d'un compte, comparée à un accès VPN traditionnel qui ouvre potentiellement la voie à l'ensemble du réseau interne.
Il serait excessif d'annoncer la disparition pure et simple du VPN d'entreprise. Dans la pratique, la plupart des organisations qui adoptent une architecture Zero Trust le font de façon progressive et hybride : le VPN continue de sécuriser l'accès à des applications historiques hébergées sur site, difficiles à migrer vers un modèle Zero Trust natif, pendant qu'une solution ZTNA ou une architecture SASE (Secure Access Service Edge) prend en charge l'accès aux applications cloud plus récentes.
Cette coexistence n'est pas un compromis provisoire honteux, mais une réalité opérationnelle pour la majorité des entreprises dont le système d'information s'est construit par strates successives. La question pertinente n'est donc pas « faut-il remplacer le VPN par du Zero Trust », mais « quelles ressources justifient encore un accès de type VPN, et lesquelles gagneraient à passer sous un contrôle plus granulaire ».
Le NIST, dans son guide SP 800-46 révision 2 consacré à la sécurité du télétravail, de l'accès distant et du BYOD, recommande plusieurs mesures qui restent pertinentes indépendamment de la taille de l'organisation : vérifier la conformité de chaque appareil avant de lui accorder l'accès, définir explicitement une politique de split tunneling plutôt que de laisser un réglage par défaut, imposer une déconnexion automatique après une période d'inactivité, et exiger une protection de point de terminaison active et à jour sur tout appareil autorisé à se connecter.
Une dernière recommandation, souvent négligée, consiste à segmenter le réseau interne une fois la connexion établie : un collaborateur du service commercial n'a généralement aucune raison d'accéder au réseau de production ou aux serveurs de la comptabilité, même une fois connecté via VPN. Cette segmentation limite les dégâts potentiels si un compte venait à être compromis, sans remettre en cause l'architecture VPN existante.
Aucune de ces mesures techniques ne compense une adhésion insuffisante des collaborateurs. Un VPN perçu comme une contrainte qui ralentit la connexion sera contourné dès que l'occasion se présentera, par exemple en travaillant depuis une session personnelle non protégée plutôt que d'attendre l'établissement du tunnel. La formation des équipes doit donc accompagner le déploiement technique : expliquer pourquoi la mesure existe, pas seulement comment l'activer, réduit sensiblement les comportements de contournement observés dans les organisations qui se contentent d'une note de service.
Il est également recommandé de prévoir une procédure claire en cas de perte ou de vol d'un appareil autorisé à se connecter au VPN, avec révocation immédiate des certificats et des accès associés. Cette procédure, souvent rédigée au moment du déploiement puis jamais testée, mérite un exercice périodique au même titre qu'un plan de reprise après sinistre.
Retour à la page d'accueil consacrée aux VPN d'entreprise pour une vue d'ensemble des dix raisons d'adopter un VPN professionnel.