Sécuriser le télétravail : VPN, Zero Trust et bonnes pratiques 2026

Les risques cybersécurité du télétravail

Le télétravail s’est imposé comme un mode de travail pérenne dans les entreprises françaises. En 2026, plus de 40 % des salariés du secteur tertiaire pratiquent le travail à distance au moins partiellement. Cette évolution a considérablement élargi la surface d’attaque des entreprises et créé de nouvelles vulnérabilités que les cybercriminels exploitent activement.

Sécuriser le télétravail est devenu un enjeu stratégique pour toute entreprise. Les risques spécifiques au travail à distance sont nombreux et souvent sous-estimés :

• Réseaux domestiques non sécurisés : Wi-Fi personnel avec un chiffrement faible, box Internet non mise à jour, réseau partagé avec des appareils IoT vulnérables
• Absence de protection périmétrique : hors du réseau de l’entreprise, le poste n’est plus protégé par le firewall et les autres contrôles réseau
• Shadow IT : utilisation de services cloud non approuvés (transfert de fichiers, messagerie) pour contourner les contraintes des outils officiels
• Phishing renforcé : les télétravailleurs sont plus vulnérables au phishing, isolés de leurs collègues et privés de la possibilité de vérifier un email suspect de vive voix
• Connexions depuis des lieux publics : cafés, espaces de coworking, hôtels — autant d’environnements où le trafic réseau peut être intercepté
• Mélange vie professionnelle/personnelle : utilisation du même appareil pour le travail et les activités personnelles, augmentant le risque de compromission

VPN entreprise : fonctionnement et limites

Principe du VPN

Le VPN (Virtual Private Network) crée un tunnel chiffré entre le poste du télétravailleur et le réseau de l’entreprise. Tout le trafic passe par ce tunnel, offrant un niveau de confidentialité et de sécurité équivalent à une connexion depuis les locaux. Le VPN reste en 2026 la solution la plus déployée pour le télétravail.

Types de VPN

• VPN IPsec : protocole standard, très sécurisé, nécessite un client installé sur le poste. Adapté aux connexions site-à-site et aux postes gérés par l’entreprise
• VPN SSL/TLS : fonctionne via le navigateur ou un client léger, traverse facilement les firewalls. Plus flexible pour les accès distants occasionnels
• WireGuard : protocole moderne, très performant avec un code compact et auditable. De plus en plus adopté pour sa simplicité et ses performances

Limites du VPN

Le VPN traditionnel présente plusieurs limites qui poussent les entreprises vers des alternatives :

• Accès tout ou rien : une fois connecté au VPN, l’utilisateur a généralement accès à l’ensemble du réseau interne, ce qui offre un terrain de jeu étendu en cas de compromission du poste
• Performances : le routage de tout le trafic via le VPN crée un goulot d’étranglement, impactant les performances des applications cloud
• Scalabilité : les concentrateurs VPN ont une capacité limitée en nombre de connexions simultanées
• Confiance implicite : le VPN fait confiance au poste connecté sans vérifier son état de sécurité (correctifs, antivirus, intégrité)

Zero Trust : le nouveau paradigme de sécurité

Le modèle Zero Trust (confiance zéro) repose sur un principe simple : ne jamais faire confiance, toujours vérifier. Contrairement au VPN qui accorde un accès large après une authentification unique, le Zero Trust vérifie en permanence l’identité de l’utilisateur, l’état de son appareil et le contexte de chaque demande d’accès.

Les piliers du Zero Trust

• Vérification continue : chaque tentative d’accès est authentifiée et autorisée, même pour un utilisateur déjà connecté
• Moindre privilège : l’utilisateur n’accède qu’aux ressources strictement nécessaires à sa mission, application par application
• Micro-segmentation : le réseau est découpé en segments ultra-granulaires, limitant la capacité de mouvement latéral d’un attaquant
• Posture du device : l’état de sécurité de l’appareil est vérifié avant chaque accès — correctifs installés, EDR actif, disque chiffré, pas de jailbreak
• Contexte adaptatif : les conditions d’accès s’adaptent au contexte — localisation, heure, comportement habituel de l’utilisateur

Architecture Zero Trust

Une architecture Zero Trust s’appuie sur plusieurs composants technologiques :

• Identity Provider (IdP) : gestion centralisée des identités (Azure AD, Okta, Google Workspace)
• Proxy d’accès : point de contrôle qui vérifie chaque demande d’accès avant de l’autoriser
• Agent de posture : vérifie l’état de sécurité de l’appareil
• Moteur de politique : applique les règles d’accès en fonction de l’identité, du device et du contexte

VPN vs Zero Trust : comparatif détaillé

En pratique, la plupart des entreprises adoptent une approche hybride : le VPN est maintenu pour les accès aux applications legacy on-premise, tandis que le Zero Trust est déployé progressivement pour les applications cloud et les accès sensibles.

MFA : l’authentification multi-facteurs indispensable

L’authentification multi-facteurs (MFA) est la mesure de sécurité la plus efficace et la plus accessible pour protéger les accès distants. Elle réduit de 99,9 % le risque de compromission de compte selon Microsoft.

Les facteurs d’authentification

• Ce que vous savez : mot de passe, code PIN
• Ce que vous possédez : smartphone (notification push, TOTP), clé de sécurité FIDO2 (YubiKey)
• Ce que vous êtes : empreinte digitale, reconnaissance faciale

Recommandations de déploiement

• Déployer le MFA sur tous les accès distants sans exception : VPN, messagerie, applications cloud, accès RDP
• Privilégier les clés FIDO2 ou les notifications push plutôt que les SMS (vulnérables au SIM swapping)
• Activer le MFA résistant au phishing pour les comptes administrateurs (FIDO2 obligatoire)
• Mettre en place des politiques d’accès conditionnel combinant MFA et vérification du device

Sécuriser les postes de travail distants

Le poste de travail du télétravailleur est le maillon faible de la chaîne de sécurité. Hors du réseau de l’entreprise, il doit embarquer sa propre protection :

Configuration de sécurité du poste

• Solution EDR : protection endpoint avancée avec détection comportementale et capacité d’isolation
• Chiffrement intégral du disque : BitLocker (Windows) ou FileVault (macOS) pour protéger les données en cas de vol ou de perte
• Gestion des correctifs automatisée : déploiement automatique des mises à jour de sécurité via un outil de MDM
• DNS sécurisé : filtrage DNS pour bloquer les domaines malveillants même hors VPN
• Pare-feu local : règles de filtrage restrictives sur le poste
• Verrouillage automatique : session verrouillée après 5 minutes d’inactivité

Gestion des appareils (MDM/UEM)

Un outil de MDM (Mobile Device Management) ou UEM (Unified Endpoint Management) comme Microsoft Intune, VMware Workspace ONE ou Jamf permet de gérer et sécuriser les postes à distance : déploiement de configurations, application de politiques de sécurité, effacement à distance en cas de vol.

BYOD : encadrer l’utilisation des appareils personnels

Le BYOD (Bring Your Own Device) — l’utilisation d’appareils personnels pour le travail — présente des risques de sécurité spécifiques. L’entreprise n’a pas le contrôle total de l’appareil mais doit néanmoins protéger ses données.

Stratégies de gestion du BYOD

• Conteneurisation : les données et applications professionnelles sont isolées dans un conteneur chiffré sur l’appareil personnel. En cas de départ du collaborateur, seul le conteneur professionnel est effacé
• VDI (Virtual Desktop Infrastructure) : le collaborateur accède à un bureau virtuel hébergé dans l’infrastructure de l’entreprise. Aucune donnée n’est stockée sur l’appareil personnel
• MAM (Mobile Application Management) : gestion des applications professionnelles sans contrôle de l’appareil complet

Politique BYOD

Toute entreprise autorisant le BYOD doit formaliser une politique écrite couvrant :

• Les appareils et OS autorisés (versions minimales)
• Les exigences de sécurité (MFA, chiffrement, code de verrouillage)
• Les applications professionnelles obligatoires
• Les droits de l’entreprise sur l’appareil (effacement à distance)
• La séparation données professionnelles / personnelles

Accès cloud sécurisé et SASE

Avec la multiplication des applications SaaS (Microsoft 365, Google Workspace, Salesforce), le trafic des télétravailleurs se dirige majoritairement vers le cloud plutôt que vers le réseau interne. Le modèle SASE (Secure Access Service Edge) combine les fonctions de sécurité réseau et d’accès cloud dans une plateforme unifiée :

• CASB (Cloud Access Security Broker) : visibilité et contrôle des applications cloud utilisées
• SWG (Secure Web Gateway) : filtrage web et protection contre les menaces en ligne
• ZTNA (Zero Trust Network Access) : accès Zero Trust aux applications privées
• FWaaS (Firewall as a Service) : pare-feu cloud pour les utilisateurs distants

Le SASE est particulièrement adapté aux entreprises ayant une forte proportion de télétravailleurs et un usage intensif du cloud. Il offre une protection homogène quel que soit l’emplacement de l’utilisateur.

Sensibiliser les télétravailleurs

La technologie seule ne suffit pas. La sensibilisation des collaborateurs est un pilier essentiel de la sécurité du télétravail :

• Formation au phishing : exercices réguliers de simulation de phishing adaptés au contexte du télétravail
• Sécurisation du poste de travail domestique : bonnes pratiques pour la configuration du Wi-Fi, la mise à jour de la box Internet, la séparation des usages
• Procédures en cas d’incident : que faire en cas de perte d’appareil, de clic sur un lien suspect, de comportement anormal du poste
• Verrouillage et confidentialité : importance du verrouillage de session, de la discrétion visuelle et de la prudence en environnement partagé
• Signalement : encourager la culture du signalement sans culpabilisation — un clic malheureux signalé immédiatement peut éviter une catastrophe

L’accompagnement Odyssix

Odyssix vous accompagne dans la sécurisation complète de vos accès distants : déploiement de VPN, mise en place d’architectures Zero Trust, déploiement du MFA, gestion des postes via MDM et sensibilisation de vos collaborateurs.

Notre Protection Cyber 360 couvre l’ensemble des besoins de sécurité liés au télétravail, intégrée à une stratégie de cybersécurité globale pour votre entreprise.

Rédigé par l'équipe Odyssix

Experts IT, Cybersécurité & Digital depuis 2018

Odyssix accompagne les PME dans leur transformation numérique et la sécurisation de leur système d'information. Nos experts certifiés (CEH, OSCP, ISO 27001) partagent leur expérience terrain à travers nos articles de blog.

En savoir plus → Nous contacter →