Audit cybersécurité PME : 10 contrôles des accès distants

Ce qu’il faut retenir

Pourquoi auditer les accès distants d’une PME ?

Le périmètre informatique d’une PME ne s’arrête plus à ses bureaux. Collaborateurs en télétravail, commerciaux itinérants, responsables informatiques et prestataires accèdent aux ressources depuis l’extérieur.

Cette organisation multiplie les chemins d’accès au système d’information. Une passerelle VPN vulnérable, un compte inactif mais toujours autorisé ou un serveur RDP exposé constituent des risques à examiner.

L’audit doit répondre à trois questions : qui peut entrer, à quelles ressources et avec quelles garanties de sécurité ?

Les recommandations de l’ANSSI sur le nomadisme numérique fournissent un référentiel technique pertinent pour cette évaluation.

Audit des accès distants : commencer par l’inventaire

Contrôle 1 : identifier les services exposés

Le DSI doit recenser les points d’entrée accessibles depuis Internet : passerelles VPN, portails d’administration, applications métiers, outils d’assistance et services de bureau à distance.

L’inventaire associe chaque service à un propriétaire, une justification métier et une politique d’accès. Les services inconnus ou inutilisés nécessitent une investigation.

Contrôle 2 : analyser les technologies d’accès

Les technologies ne présentent pas toutes le même risque. L’audit doit tenir compte de l’architecture réelle et des données accessibles.

Sécurité VPN entreprise : vérifier la configuration

Contrôle 3 : examiner la passerelle VPN

La passerelle VPN constitue un composant critique. L’audit vérifie sa version logicielle, l’application des correctifs, les protocoles autorisés et les mécanismes d’authentification.

Les accès d’administration doivent être séparés des accès utilisateurs lorsque l’architecture le permet. Le filtrage réseau doit limiter les ressources accessibles au strict nécessaire.

Contrôle 4 : rechercher les accès RDP exposés

Un service RDP directement accessible depuis Internet augmente les possibilités d’attaque. L’audit doit rechercher ces expositions et vérifier leur suppression.

Les accès nécessaires passent par une infrastructure protégée, par exemple un VPN avec MFA ou une passerelle d’accès distant correctement sécurisée.

Le simple changement du port RDP ne constitue pas une protection suffisante.

Audit sécurité télétravail : maîtriser les postes

Contrôle 5 : vérifier l’état de sécurité des terminaux

Le chiffrement du VPN protège les échanges, mais pas un poste déjà compromis. Le DSI doit vérifier la gestion effective des équipements nomades.

• Inventaire des ordinateurs autorisés.
• Chiffrement des disques et gestion des clés de récupération.
• Installation des correctifs système et applicatifs.
• Protection antivirus ou EDR supervisée.
• Suppression des privilèges administrateur inutiles.

Pour approfondir ces exigences, consultez notre guide Sécuriser les postes et serveurs.

Contrôle 6 : évaluer les connexions nomades

Le télétravail et les déplacements impliquent des réseaux que l’entreprise ne contrôle pas toujours. L’audit vérifie la politique d’utilisation des réseaux Wi-Fi publics et domestiques.

Il examine également l’obligation éventuelle d’utiliser le VPN d’entreprise, la protection DNS et les restrictions d’accès depuis les appareils personnels.

Gestion des accès prestataires et des identités

Contrôle 7 : imposer une authentification forte

L’authentification multifacteur doit protéger les accès distants sensibles. Les comptes d’administration nécessitent une attention particulière.

Les méthodes résistantes à l’hameçonnage, notamment FIDO2 et les passkeys, doivent être privilégiées lorsque les systèmes les prennent en charge.

Consultez notre dossier MFA et passkeys pour PME pour préparer leur déploiement.

Contrôle 8 : examiner les comptes prestataires

Les interventions externes nécessitent des droits adaptés, individualisés et limités dans le temps.

L’audit rapproche la liste des comptes actifs des contrats et des besoins opérationnels. Il recherche les comptes partagés, les privilèges excessifs et les accès maintenus après une prestation.

Les comptes d’administration permanents accordés sans justification doivent faire l’objet d’une revue prioritaire.

Journalisation des accès : contrôler la traçabilité

Contrôle 9 : vérifier la collecte et la conservation

Les journaux doivent permettre d’identifier les connexions réussies, les échecs d’authentification et les événements administratifs sensibles.

La CNIL recommande généralement une conservation comprise entre six mois et un an. Cette durée peut varier selon les traitements et les justifications documentées.

L’audit vérifie la centralisation, l’intégrité, les droits d’accès et l’exploitation effective des journaux. Une collecte sans surveillance ne constitue pas une détection opérationnelle.

Contrôle 10 : tester la révocation des accès

Le départ d’un salarié ou la fin d’un contrat doit entraîner la suppression des accès devenus inutiles.

Le contrôle porte sur les comptes, les sessions actives, les clés d’accès, les facteurs d’authentification et les permissions applicatives.

Une revue périodique des habilitations permet de détecter les anomalies qui auraient échappé aux procédures de départ.

Comment prioriser les résultats de l’audit ?

Une liste de vulnérabilités ne constitue pas un plan de remédiation. Chaque écart doit être rapproché de son exploitabilité, des privilèges concernés et de l’importance des ressources exposées.

Chaque constat doit déboucher sur une mesure corrective, un responsable, une échéance et une vérification de mise en œuvre.

Pour aller plus loin cette semaine

Trois articles approfondissent ces contrôles : les pièges du wifi public (mardi 10 novembre), le VPN d’entreprise avec la vidéo pédagogique de l’ANSSI (jeudi 12 novembre) et les risques des VPN gratuits (mardi 17 novembre).

À lire aussi : VPN ou antivirus : pourquoi il faut les deux.

Audit cybersécurité PME : quelle démarche engager ?

Pour une PME, la première étape consiste à établir un état des lieux documenté. L’objectif est de repérer les écarts prioritaires avant d’engager des investissements.

Le dispositif MonAideCyber permet un premier diagnostic gratuit des mesures de sécurité. Il ne remplace pas un audit technique approfondi.

Eur’Net peut accompagner la PME dans l’inventaire des accès, l’analyse des configurations et la mise en place de corrections adaptées, dans le cadre d’une prestation distincte.