La prise en main à distance est un confort... mais aussi un risque majeur pour le SI

La téléassistance a longtemps été présentée sous le seul angle du gain de productivité (un ticket résolu en quelques minutes, un poste dépanné sans déplacement et un utilisateur rassuré).

Dans les faits, elle est aussi une porte technique ouverte vers le cœur du système d'information. Une session de prise en main, c'est un accès direct à une machine, à ses identifiants, à ses fichiers, à ses applications et parfois même à des outils d'administration. Tout ce que l'on cherche d'ordinaire à cloisonner se retrouve, le temps d'une intervention, sous contrôle distant.

Evidemment, les attaquants l'ont compris depuis bien longtemps. Les accès distants mal maîtrisés font en effet partie des surfaces d'attaque « classiques ». La plupart des recommandations de sécurité insistent d’ailleurs déjà sur la nécessité de limiter l'ouverture des accès externes ou distants aux seules personnes indispensables, de filtrer strictement, et de cloisonner les systèmes sensibles. Dans le même esprit, la CNIL rappelle que les opérations de support et de maintenance doivent toujours être encadrées afin de maîtriser l'accès aux données par des prestataires.

Dans un contexte de prise en main à distance, le risque ne se résume pas à la connexion elle-même. Il s'étend également à la manière dont on authentifie, dont on trace, dont on limite les privilèges, dont on autorise ou non le transfert de fichiers, dont on gère les comptes techniciens, et dont on prouve, après coup, ce qui s'est passé. Une session non journalisée constitue ainsi un parfait angle mort opérationnel, une intervention impossible à reconstituer en cas d'incident.

C'est là que la question de la solution change de nature. L’idée n’est plus de se demander « quel outil choisir ? », mais plutôt « quel cadre imposer à l'usage de l'outil ? ».

EasyRemote by Septeo : une solution française adossée à une infrastructure ISO 27001

Le logiciel de prise en main à distance EasyRemote by Septeo s'inscrit dans une promesse désormais centrale pour de nombreuses DSI, à savoir simplifier l'assistance sans renoncer à un socle de conformité et de traçabilité. L'éditeur met en avant deux modes de connexion, par code unique pour une intervention ponctuelle sans agent, ou via un agent installé pour un accès direct et récurrent aux postes.

Cette dualité est moins un détail qu'un choix de gouvernance. Elle permet de distinguer l'urgence du récurrent, et d'adapter le niveau de contrôle à la criticité.

Sur le plan fonctionnel, plusieurs éléments relèvent directement d'une logique de réduction du risque. La journalisation est présentée comme un historique détaillé des sessions, horodaté, avec la durée, le technicien intervenant et l'appareil concerné. Le transfert de fichiers est quant à lui décrit comme chiffré et compressé, avec l'objectif de préserver la confidentialité.

L'outil met aussi en avant des capacités de contrôle pendant l'intervention, comme le blocage temporaire de la souris de l'utilisateur, utile lors d'opérations sensibles.

Le point le plus structurant reste l'adossement à un référentiel de sécurité. EasyRemote by Septeo s'appuye en effet sur une plateforme certifiée ISO 27001 et sur un hébergement en France, en liant cette certification à une protection renforcée des données.

Un autre signal, plus commercial mais non négligeable dans les projets outillés, est la possibilité de tester gratuitement, via une période d'essai annoncée de quatorze jours, correspondant à l'offre Pro.

Dans les organisations où l'adoption d'un outil se joue aussi sur l'acceptabilité terrain, ce type de test permet de confronter rapidement la promesse à la réalité, ergonomie, contraintes de sécurité, traçabilité, intégration aux pratiques du support.

La norme ISO 27001 : donner un cadre global à l’usage d’outils comme EasyRemote by Septeo

La norme ISO 27001 est souvent invoquée comme un label de qualité, mais elle est, à l'origine, un cadre de management. ISO/IEC 27001 est décrit par l'ISO comme la norme la plus connue pour les systèmes de management de la sécurité de l'information, avec des exigences pour établir, mettre en œuvre, maintenir et améliorer en continu un SMSI.

Ce détour est important, parce qu'il évite un malentendu fréquent. Un outil peut tout à fait être « sécurisé » au sens où il chiffre, authentifie, journalise, mais il ne devient pas pour autant automatiquement « maîtrisé » dans un SI.

ISO 27001 impose d'identifier des risques, de définir des règles, de documenter, de vérifier, d'auditer, puis d'améliorer. Elle oblige à sortir de la sécurité déclarative, celle qui se contente d'affirmer, pour entrer dans la sécurité prouvable, celle qui démontre.

Appliquée à la prise en main à distance, cette logique oblige à poser des questions qui ne sont pas techniques de prime abord. Qui a le droit de prendre la main sur quoi, et dans quels cas ? Quels comptes, quels rôles, quelles habilitations, et quel principe de moindre privilège ? Quelles données peuvent transiter, et comment ? Quelle procédure pour les interventions sensibles ? Quel circuit d'alerte et de réponse si une session paraît anormale ? Et, surtout, quelles preuves conserver ?

Sur ce point, les recommandations de l'ANSSI sur la téléassistance rappellent l'importance d'un encadrement de la pratique et de mesures de sécurité adaptées à ce type d'accès. Les lignes directrices plus générales, comme celles de la CNIL, insistent également sur la nécessité d'encadrer les opérations de support pour maîtriser l'accès aux données, en particulier lorsque des prestataires interviennent.

ISO 27001 n'efface pas la question de l'outil. Elle la replace dans un dispositif. Globalement, le meilleur logiciel devient un point faible si son usage est improvisé, alors qu’un outil plus ordinaire peut améliorer la performance si son déploiement est rigoureux, contrôlé, audité.

Le rôle d'un cabinet comme Fidens : passer de « nous avons un outil sécurisé" à "nous avons un dispositif maîtrisé »

C'est souvent à ce moment qu'intervient un acteur de conseil. Non pas pour ajouter de la sécurité, mais pour transformer un choix d'outil en pratique maîtrisée, intégrée au SMSI. Fidens, dans ce cadre, joue un rôle typique d'architecte de la gouvernance, à savoir faire le lien entre une brique technique et un référentiel d'exigences, puis aider à produire les éléments qui tiennent dans la durée.

Concrètement, cela commence par une analyse de risque spécifique à la prise en main à distance. L'exercice est moins théorique qu'il n'y paraît, puisqu’il s'agit d'identifier les scénarios plausibles de type compromission d'un compte technicien, abus de privilège, session détournée, exfiltration via transfert de fichiers ou absence de traçabilité, et de regarder, pour chacun, quels contrôles existent et quels contrôles manquent. C'est aussi le moment de poser la frontière entre ce que l'outil permet et ce que l'organisation autorise.

Ensuite vient la formalisation. Politiques d'usage, segmentation des droits, règles d'habilitation, conditions d'ouverture de session, validation par l'utilisateur lorsque cela est pertinent, conservation des journaux, contrôle des accès administrateurs, et intégration dans le plan de réponse à incident. Sur le papier, cela ressemble à des procédures, mais dans un audit, cela devient la différence entre une organisation simplement en mode « déclaratif » et une organisation qui « démontre » réellement.

Enfin, le cabinet aide à inscrire l'outil dans le cycle de vie du SMSI, grâce à des revues périodiques, des tests de contrôle, une vérification de l'efficacité des mesures ou encore un traitement des écarts. La prise en main à distance cesse alors d'être un sujet d'équipe support et devient un sujet de gouvernance à part entière.

Aligner l'éditeur et l'entreprise sur le même référentiel ISO 27001

Lorsque l'outil repose sur une infrastructure annoncée « certifiée ISO 27001 », et que l'entreprise vise elle-même cette norme, un alignement devient naturellement possible, puisque tout le monde parle le même langage. Classification des informations, contrôle d'accès, traçabilité, gestion des prestataires, revues, audits, amélioration continue... L'ISO rappelle que la norme vise précisément l'établissement, la mise en œuvre, le maintien et l'amélioration continue d'un SMSI.

Bien entendu, cela ne signifie pas qu'une certification « se transfère ». Une plateforme certifiée ne certifie pas automatiquement l'organisation cliente. Mais elle facilite plusieurs points :

  • D'abord, elle réduit l'incertitude sur la manière dont certains contrôles sont mis en oeuvre côté fournisseur.
  • Ensuite, elle rend plus fluide le dialogue lors des audits, parce que les notions de preuve, de contrôle et de processus sont déjà structurées.
  • Enfin, elle évite, dans certains cas, les bricolages d'hébergement ou d'architecture qui compliquent la démonstration de conformité.

Dans les appels d'offres, ce langage commun compte et devient même parfois une condition d'accès dans les secteurs régulés. Et, plus généralement, il permet d'éviter un piège courant : confondre souveraineté géographique et maîtrise de la sécurité.

L'hébergement en France peut répondre à un besoin. Mais la sécurité se prouve surtout dans l'organisation des contrôles, la traçabilité, la gouvernance et la capacité à auditer.

Vers une téléassistance "by design" sécurisée, gouvernée et auditée

L'objectif final est relativement banal…et exigeant à la fois : des sessions simples pour l'utilisateur, efficaces pour le support, mais encadrées par des règles, des contrôles et des preuves. En clair, une téléassistance qui ne repose pas sur la confiance implicite, mais sur un dispositif vérifiable.

Dans ce modèle, l'outil apporte des briques (modes d'accès adaptés aux contextes, chiffrement, journalisation, contrôle pendant l'intervention, etc.), le référentiel ISO 27001 apporte la grammaire (risques, procédures, audits, amélioration continue, etc.) et l'accompagnement transforme le tout en pratique (intégration au SMSI, politiques d'usage, droits, scénarios d'incident, preuves, etc.).

On revient alors à une idée simple, qui vaut au-delà de la téléassistance : un outil de sécurité n'est pas un dispositif de sécurité, il en est une composante. La maturité, aujourd'hui, consiste à faire en sorte que cette composante parle le même langage que la stratégie, et que ce langage soit prouvable, audit après audit, incident après incident.