Pour sécuriser le télétravail d’une PME, la question n’est plus VPN ou ZTNA en absolu, mais quel accès donner à qui, vers quoi. Si l’essentiel de vos outils est déjà en SaaS (Microsoft 365, Google Workspace, CRM en ligne), un VPN n’apporte presque rien et l’identité devient votre vrai périmètre ; s’il reste des applications sur site, un accès ZTNA ou un VPN bien durci se justifie, mais jamais comme une porte ouverte sur tout le réseau.
Ce que le VPN d’entreprise protège vraiment, et ce qu’il ne protège pas
Un VPN d’accès distant crée un tunnel chiffré entre le poste du salarié et le réseau de l’entreprise. Il protège la confidentialité du trafic sur un Wi-Fi d’hôtel ou de gare, et il permet d’atteindre des serveurs internes : partages de fichiers, ERP, logiciel de paie hébergé dans le local technique.
Son défaut est structurel : une fois authentifié, l’utilisateur, ou l’attaquant qui a volé son identifiant, se retrouve sur le réseau, avec une visibilité large sur des machines qu’il n’a aucune raison de joindre. C’est ce qui rend les passerelles VPN si recherchées par les groupes de rançongiciel : une seule passerelle compromise donne un point d’appui à l’intérieur.
Le second défaut tient à l’équipement lui-même. Une passerelle VPN est exposée sur Internet en permanence, et les boîtiers des grands constructeurs reviennent très régulièrement dans le catalogue des vulnérabilités activement exploitées de la CISA. Pour une PME sans équipe dédiée, appliquer chaque correctif d’urgence dans les heures qui suivent sa publication est souvent irréaliste.
Le ZTNA : l’accès à une application, pas au réseau
Le ZTNA (Zero Trust Network Access) applique le principe décrit par le NIST dans sa publication SP 800-207 : aucune confiance implicite liée à l’emplacement réseau, chaque demande d’accès est évaluée selon l’identité, l’état du poste et la ressource visée.
Concrètement, le salarié ne « rejoint » plus le réseau. Il ouvre une application précise, après une authentification forte, depuis un poste reconnu comme conforme (chiffré, à jour, protégé par un EDR). Les autres serveurs lui restent invisibles. Et dans la plupart des offres, il n’y a plus de port d’entrée ouvert sur votre pare-feu : un connecteur interne établit une connexion sortante vers le service du fournisseur.
Le revers existe aussi : vous déplacez la confiance vers un fournisseur de cloud, la mise en place demande d’inventorier précisément qui doit accéder à quoi, et certaines applications anciennes (clients lourds, protocoles propriétaires) passent mal.
Trois profils de PME, trois réponses différentes
Vos outils sont presque tous en SaaS
C’est aujourd’hui le cas de nombreuses entreprises de services. Ici, le VPN est souvent un vestige. La priorité est l’identité : authentification multifacteur résistante au phishing, accès conditionnel qui refuse les postes non gérés, et désactivation des protocoles d’authentification anciens. Un guide dédié détaille le déploiement de la MFA en PME étape par étape.
Vous gardez quelques applications sur site
Un ERP, un serveur de fichiers, un logiciel métier hébergé en interne. Le ZTNA est alors le choix le plus cohérent : il publie ces quelques applications sans exposer le reste du réseau. Si un VPN reste en place le temps de la transition, il doit être segmenté, c’est-à-dire limité aux seuls serveurs utiles pour chaque groupe d’utilisateurs.
Vous avez des accès techniques ou industriels
Prestataires de maintenance, automates, administration de serveurs. Ces accès sont les plus sensibles et les plus souvent oubliés. Ils doivent passer par un point unique, nominatif, journalisé, ouvert à la demande et refermé ensuite, jamais par un compte partagé sur une passerelle toujours active.
Durcir un VPN que l’on ne peut pas encore remplacer
Remplacer une infrastructure d’accès distant prend des mois. En attendant, un VPN existant peut être rendu beaucoup moins dangereux :
- Authentification multifacteur obligatoire pour tous les comptes, y compris ceux des prestataires et les comptes d’administration de la passerelle.
- Correctifs appliqués en priorité : la passerelle passe avant les postes de travail, car elle est directement exposée. Abonnez-vous aux avis de sécurité de son constructeur.
- Interface d’administration fermée à Internet : elle ne doit être joignable que depuis le réseau interne.
- Segmentation des droits : un commercial n’a pas besoin d’atteindre le contrôleur de domaine.
- Journalisation exploitée : connexions depuis des pays inhabituels, tentatives répétées, sessions à 3 h du matin. Des journaux que personne ne lit ne détectent rien.
Le cas récent des failles critiques des VPN Check Point illustre la vitesse à laquelle une passerelle non corrigée devient une porte d’entrée.
Le poste de travail, angle mort du débat VPN ou ZTNA
Un tunnel parfaitement chiffré ne sert à rien si le portable qui l’ouvre est infecté par un voleur d’identifiants. L’ANSSI, dans ses recommandations sur le nomadisme numérique, insiste sur ce point : le poste nomade doit être maîtrisé par l’entreprise, chiffré, mis à jour, et l’utilisateur ne doit pas en être administrateur.
Trois règles simples couvrent l’essentiel : pas d’accès aux ressources de l’entreprise depuis un ordinateur personnel non géré, chiffrement intégral du disque, et un outil de détection sur chaque poste nomade. C’est précisément ce que le ZTNA vérifie automatiquement à chaque connexion, et ce qu’un VPN classique ne regarde pas.
Par où commencer, dans quel ordre
Pour une PME, la séquence la plus rentable est la suivante :
- Inventoriez les applications réellement utilisées à distance, et par qui. Beaucoup découvrent à cette étape que le VPN ne sert plus qu’à deux ou trois usages.
- Généralisez l’authentification multifacteur sur la messagerie, les outils SaaS et le VPN.
- Durcissez la passerelle existante : correctifs, administration fermée, segmentation.
- Publiez les applications internes restantes via une solution ZTNA, application par application, en commençant par la plus sensible.
- Éteignez le VPN, ou réduisez-le aux seuls accès techniques, une fois les usages migrés.
Le modèle de maturité Zero Trust de la CISA rappelle qu’il s’agit d’une progression par étapes, pas d’un projet unique. L’ANSSI le souligne également : le Zero Trust ne remplace pas la défense en profondeur, il s’y ajoute. Aucune PME n’a besoin de tout faire en un trimestre ; l’important est de ne plus ajouter d’accès « à tout le réseau ».
Quel que soit le choix retenu, un accès distant abusé laisse des traces qu’il faut voir à temps : connexions anormales, comptes réactivés, mouvements latéraux. Notre SOC managé 24/7 pour PME et ETI surveille ces signaux en continu, y compris la nuit et le week-end.
Ce qu’il faut retenir
- Le VPN donne accès au réseau ; le ZTNA donne accès à une application. C’est toute la différence de risque.
- Si vos outils sont en SaaS, la sécurité du télétravail passe d’abord par l’identité et la MFA, pas par un tunnel.
- Une passerelle VPN exposée doit être corrigée en priorité, avec une interface d’administration fermée à Internet.
- Le poste nomade géré, chiffré et surveillé compte autant que la technologie d’accès.
- La migration se fait application par application, sans big bang.