Firewall & VPN

Un pare-feu sert d’abord à fermer. La règle de base est simple : rien n’est accessible depuis l’extérieur sauf ce qui doit l’être, et chaque ouverture est justifiée par un usage, documentée, et revue de temps en temps. La plupart des installations que nous auditons ont l’inverse : des ouvertures dont personne ne se souvient.

Le VPN répond à un besoin différent : permettre à quelqu’un de travailler à distance comme s’il était au bureau, sans exposer les ressources internes à Internet. C’est la bonne réponse au télétravail et aux interventions à distance, et c’est aussi ce qui évite la mauvaise réponse — ouvrir un accès direct sur un serveur.

Ces deux dispositifs ne remplacent pas les autres mesures. Un pare-feu ne protège pas d’un mot de passe partagé ni d’une pièce jointe ouverte, et le présenter comme une solution globale est le raccourci commercial le plus courant dans ce domaine.

Enfin, une règle qui bloque le travail est une règle qui sera contournée. Nous concevons donc ce qui sera réellement appliqué, quitte à être un peu moins strict et beaucoup plus respecté.

Les ouvertures oubliées sont la règle. Un accès créé pour dépanner un jour, un port ouvert pour un logiciel qui n’est plus utilisé, une caméra rendue accessible depuis Internet pour la consulter de chez soi : chacune reste des années, et aucune n’est documentée. La revue périodique existe précisément pour cela.

L’accès distant improvisé est le second constat. Un technicien qui se connecte directement au serveur depuis son domicile, avec un mot de passe qu’il connaît par cœur, est un usage courant et une porte permanente. Le remplacer par un tunnel nominatif ne coûte presque rien et change la nature du risque.

Enfin, la stabilité de la liaison compte pour le VPN. Une connexion qui coupe régulièrement rend le travail à distance pénible, et la solution technique n’y peut rien. Nous mesurons avant de promettre un usage confortable.