Modèles de sécurité pour les télétravailleurs

Au printemps 2020, alors que le monde entier basculait en télétravail, les modèles de sécurité de nombreuses entreprises ont été mis à rude épreuve.

Si le télétravail était loin d’être une nouveauté, l’urgence et l’ampleur du déploiement requis battaient ici tous les records. Tandis que beaucoup d’entreprises comptaient un certain nombre de collaborateurs en distanciel, peu d’entre elles étaient prêtes à voir la totalité de leurs effectifs adopter ce modèle. À l’époque, l’enjeu principal pour elles était de rester opérationnelles en pleine tourmente.

Dans certains cas, le VPN a permis d’établir des connexions à distance sécurisées. Quelques rares entreprises ont eu la chance de pouvoir souscrire des licences supplémentaires. Mais pour une grande majorité, cette option s’est avérée inenvisageable, faute d’une infrastructure informatique suffisamment puissante pour absorber une telle montée en charge. Mais vu qu’il leur était impossible de procéder à une grande refonte en si peu de temps, elles ont dû affronter la tempête, composer avec la situation et les moyens du bord, et projeter un renouvellement technologique à la première accalmie. La principale faiblesse des VPN, c’est leur manque d’évolutivité à l’heure où tant d’applications sont soit hébergées sur le cloud public, soit fournies en mode SaaS, avec les problèmes de performance et de sécurité que cela comporte. Ces insuffisances expliquent sans doute pourquoi, ces derniers mois, les entreprises sont de plus en plus nombreuses à explorer différents moyens de sécuriser leurs connexions en périphérie et dans le cloud.

Sécurité : les modèles d’hier inadaptés aux exigences de demain

Autrefois, les connexions à distance sécurisées étaient limitées et fixes. Limitées d’abord par le nombre de licences autorisant une quantité restreinte de collaborateurs à se connecter aux appareils VPN. Fixes, ensuite, puisque les applications résidaient sur des serveurs bien définis.

Or voilà, les ressources statiques n’ont plus leur place dans un monde en perpétuelle mutation. Et nul ne sait de quoi l’avenir sera fait. En attendant, la flexibilité est appelée à régner en maître, que les salariés soient chez eux, sur site ou en déplacement.

Les utilisateurs ne sont pas les seuls à bouger ; les applications d’entreprise aussi. L’époque où elles étaient cantonnées au data center de l’entreprise est bel et bien révolue. Désormais, les applications et les données sont présentes partout : sur site, dans le cloud et en périphérie. Cette ubiquité signe ainsi la disparition du périmètre unique de l’entreprise.

Sécuriser un périmètre en perpétuel mouvement

Si l’entreprise utilise 25 applications SaaS différentes, elle se doit de sécuriser tous ces îlots de données, aussi petits soient-ils. Autrement dit, chaque application et chaque source de données sont à protéger. Il s’agit donc pour l’entreprise d’avoir une visibilité totale sur les modes d’accès des utilisateurs à ces ressources, qu’ils soient sur site ou en télétravail.

Pour ma part, le modèle Work-From-Anywhere (WFA) des environnements de travail hybride tel que nous le connaissons aujourd’hui se résume à deux grandes nécessités : la sécurisation des accès utilisateurs et l’octroi d’un accès à tous les outils et ressources dont les collaborateurs ont besoin pour accomplir leurs missions. Ainsi, toute connexion à distance doit bénéficier d’un niveau de sécurité équivalent à celui sur site. Même utilisation des ressources, même degré de sécurisation : il ne doit y avoir aucune différence.

Tout comme il existe naturellement plusieurs solutions de sécurité pour protéger les utilisateurs sur site, la sécurisation des connexions à distance ne peut pas dépendre exclusivement du VPN. La réduction des risques au quotidien passe par un niveau élevé d’inspection et de rigueur en matière de sécurité.

Faire sortir le Shadow IT de l’ombre

Pour être tout à fait honnête, le strict contrôle exercé par la DSI sur les utilisateurs n’a jamais été vraiment infaillible. Ainsi, la centralisation de la sécurité des ressources IT se heurte fréquemment au problème du Shadow IT, à savoir l’utilisation de ressources informatiques sans l’aval du département IT.

À l’heure d’imaginer les modèles de sécurité de demain, c’est le moment idéal de faire toute la lumière sur cette pratique de l’ombre. Rapprochons-nous de nos utilisateurs pour faire le point sur les applications qu’ils utilisent ou qu’ils souhaitent employer pour améliorer leur productivité. L’heure est à l’écoute, au dialogue et aux retours d’expérience. Parce qu’après tout, rien de tel qu’une question directe pour obtenir des réponses claires.

Le Shadow IT étant la conséquence directe de l’impératif de productivité, l’adoption d’un modèle de sécurité en phase avec les méthodes et outils de travail plébiscités par les utilisateurs leur permettra de gagner en efficacité et en performance.

Survie. Croissance. Optimisation.

La mise en place du télétravail en pleine pandémie s’est opérée en trois temps avec, en premier lieu, la phase de survie visant à assurer la continuité de l’activité. Une fois celle-ci acquise, il s’est agi ensuite de tirer le meilleur parti de la situation et d’y trouver de nouveaux relais de croissance. Nous sommes aujourd’hui entrés dans la troisième phase, celle de la mise en place de la sécurité à distance de demain pour pérenniser le nouveau modèle WFA.

Dans cette configuration de travail hybride, agilité et évolutivité sont les nouveaux maîtres-mots de la sécurité. Fini l’époque où la sécurisation du télétravail passait exclusivement par du matériel sur site et des logiciels sous licences fixes.

Ce qu’il faut aux entreprises, c’est un modèle de sécurité non-stop en mode cloud et disponible sur site et en périphérie. Car qui dit cloud dit possibilité de monter ou de baisser en charge selon les besoins.

D’où l’avantage d’une approche SASE (Secure Access Service Edge) qui rend possible le travail hybride grâce à des chemins déployés par logiciels. Par ailleurs, l’association Zero Trust et SASE contribue à protéger un périmètre en perpétuel mouvement, ainsi que les différents silos d’applications et de données auxquels les utilisateurs accèdent au quotidien.

À l’heure actuelle, nul ne sait ce que l’avenir nous réserve, si ce n’est que l’agilité sera un atout essentiel. Dès lors, la sécurité doit faire preuve d’une grande flexibilité pour épouser parfaitement les besoins des utilisateurs, où qu’ils se trouvent et quel que soit leur mode d’accès aux applications.