Sécurisation des accès distants
Vos salariés atteignent les ressources dont ils ont besoin depuis l’extérieur, chacun avec son propre compte, sans que le reste de votre système devienne atteignable.
La question qui décide de tout
Quelles ressources doivent être atteignables de l’extérieur, et lesquelles ne doivent surtout pas l’être ? C’est la première question que je pose, et c’est vous qui y répondez.
Elle n’est pas technique : elle demande de savoir qui fait quoi dans votre entreprise, et ça, personne ne le sait mieux que vous.
Tout le reste en découle. Une ressource qu’on n’a pas nommée est une ressource qui reste inatteignable — c’est le sens par défaut, et c’est le bon.
Les deux situations que je rencontre
Soit vos salariés n’ont accès à rien depuis l’extérieur. Alors ils se débrouillent : ils s’envoient les fichiers par courriel, les copient sur une clé, les déposent dans un service en ligne personnel. Les documents de l’entreprise finissent hors de l’entreprise, et vous ne savez pas où.
Soit l’accès existe déjà, et il ouvre presque toujours plus que nécessaire. Un mot de passe unique circule, la même connexion sert à tout le monde, et personne ne peut dire qui s’est connecté ni quand. Le jour où quelqu’un part, il n’y a rien à révoquer — il faudrait changer le mot de passe de tout le monde.
Les deux situations viennent de la même cause : l’accès n’a jamais été décidé, il s’est installé.
Ce que ça change
Un compte par personne, jamais de compte partagé. Vous savez qui accède, et l’accès de quelqu’un se retire sans toucher à celui des autres.
Une révocation qui prend une minute. Un salarié part, un prestataire termine sa mission : son accès disparaît, et vous avez la procédure écrite pour le faire vous-même.
Des connexions journalisées. En cas de doute, la question « qui s’est connecté, et quand » a une réponse. Elle ne l’avait pas avant.
Ce qui n’est pas exposé reste inatteignable. Ce n’est pas une liste de ce qu’on interdit, c’est l’inverse : on n’expose que ce qui a été nommé, et le reste n’existe pas depuis l’extérieur.
Ce que ça ne règle pas
Ce n’est pas un examen de tout votre système. Je sécurise un accès précis, décrit au devis. Je ne me prononce pas sur l’état de sécurité de l’ensemble de votre système, et cette prestation n’est pas une démarche de certification.
Vos obligations réglementaires restent les vôtres. Un accès mieux tenu vous y aide ; il ne les remplit pas à votre place, et je ne l’écrirai jamais.
La journalisation est mise en place, sa lecture ne l’est pas. Les journaux existent et se consultent ; personne ne les surveille en continu, ni moi ni un service. Si vous voulez une surveillance, c’est une autre prestation et elle n’existe pas ici.
Les postes de vos salariés restent les vôtres. Un accès distant bien fait ne protège pas d’un ordinateur portable non chiffré ou d’un mot de passe noté sur un papier.
Le dimensionnement
Le nombre de comptes, les ressources exposées et le niveau de filtrage se décident avec vous. Ces questions se posent au premier échange, et le résultat est écrit au devis — avec ce qu’il implique.
Comment ça se passe
- Le périmètre est écrit avant de commencer — ce qui en est exclu autant que ce qui y est inclus. Une demande hors périmètre est chiffrée dans un avenant, jamais absorbée en silence.
- Je commence par l’audit des accès existants : qui peut atteindre quoi aujourd’hui. C’est souvent la partie qui surprend le plus.
- J’installe une passerelle d’accès distant sur votre infrastructure.
- Je crée un compte nominatif par personne, pour le nombre d’utilisateurs convenu au devis — jamais de compte partagé.
- Je n’expose que les ressources que vous avez nommées, et je laisse le reste inatteignable.
- Je mets en place la journalisation des connexions.
- Je vous remets la procédure d’ajout et de révocation d’un accès, pour que vous n’ayez pas à m’appeler pour retirer un compte.
- Nous faisons la recette ensemble, en conditions réelles.
- Je documente la configuration, pour que l’ensemble puisse être repris sans moi.
Ce qui vous est remis
Sécurisation des accès
- L’accès distant opérationnel pour les utilisateurs déclarés.
- La documentation technique : architecture, règles de filtrage.
- La procédure d’ajout et de révocation d’un utilisateur.
- La journalisation des connexions en place.
- Les configurations et les secrets, remis par un canal sécurisé.
La documentation technique, pas un manuel utilisateur : apprendre l’outil à vos équipes est un autre métier.
Ce que j’attends de vous
Une mission est un travail à deux. Quatre engagements de votre côté, qui figurent dans chaque devis parce qu’ils conditionnent le prix ferme.
- Désigner un interlocuteur unique, décisionnaire et joignable.
- Réaliser et vérifier une sauvegarde complète et restaurable avant toute intervention, et me le confirmer par écrit.
- Me fournir les accès nécessaires sous cinq jours ouvrés.
- Répondre aux demandes de validation sous cinq jours ouvrés.
Tout retard qui vient de votre côté décale d’autant les délais. Le prix ne bouge pas.
Ce qui n’est jamais inclus
Ces limites figurent dans chacun de mes devis. Elles sont annoncées ici pour qu’aucune ne soit une surprise en cours de mission.
- La fourniture du matériel, des abonnements, des licences et de l’hébergement. Ils sont souscrits à votre nom, et restent à vous.
- L’exploitation courante après la livraison : surveillance, astreinte, maintenance. Elle fait l’objet d’une prestation distincte.
- La formation de vos utilisateurs. Je documente pour que le sujet soit reprenable — par vous ou par quelqu’un d’autre — et je remets une procédure de connexion en une page. Apprendre l’outil à vos équipes est un autre métier.
- La reprise de vos données existantes, chiffrée à part.
- Toute intervention sur un équipement dont vous n’avez pas la main administrative : une box opérateur, un pare-feu géré par un tiers.
- Toute intervention sur des développements réalisés par quelqu’un d’autre.
- Toute demande arrivée après signature : elle passe par un avenant chiffré, jamais absorbée en silence.
Par où commencer
Si vous savez déjà quelles ressources doivent être atteignables, décrivez-le : le premier échange est gratuit et sans engagement, et la réponse arrive sous 48 heures ouvrées.
Si la question vous paraît difficile, c’est normal, et c’est précisément ce que couvre le diagnostic d’une journée à 490 € : l’audit des accès existants, un état des lieux écrit, des recommandations classées par priorité et une estimation chiffrée. Le document vous reste, et son montant est déduit du devis si les travaux sont confiés dans les deux mois.