Le VPN a longtemps été la solution standard pour connecter les utilisateurs à distance au réseau de l’entreprise. Mais dans un contexte dominé par le cloud, le SaaS et le télétravail, son modèle montre aujourd’hui ses limites.
Dans cet épisode du podcast « L’Humain au cœur du Digital » Thomas SCHAAL, expert du monde digital, va analyser pour vous cette transformation majeure et vous expliquer pourquoi le modèle périmétrique est en train de perdre sa pertinence.
Un modèle devenu obsolète
Le VPN a été imaginé dans un contexte où le système d’information était essentiellement centralisé. Les applications étaient hébergées dans les datacenters de l’entreprise, et les utilisateurs travaillaient majoritairement sur site.
Dans ce modèle, le réseau interne constituait une frontière claire et naturelle entre l’extérieur et l’intérieur de l’entreprise. Le VPN servait alors à étendre ce périmètre aux utilisateurs distants, en leur donnant un accès sécurisé au réseau interne.
Aujourd’hui, cette logique est profondément remise en cause. Les applications sont réparties entre cloud public, cloud privé et solutions SaaS, tandis que les collaborateurs travaillent depuis des environnements multiples et souvent mobiles. Le périmètre réseau n’est plus réellement identifiable.
Des limites de sécurité de plus en plus visibles
Le fonctionnement du VPN repose sur un principe simple : une fois authentifié, l’utilisateur est considéré comme légitime et accède au réseau interne.
C’est précisément ce modèle qui pose aujourd’hui problème.
En cas de compromission d’un compte ou d’un poste de travail, un attaquant peut exploiter cet accès pour se déplacer latéralement dans le système d’information, explorer les ressources internes et potentiellement accéder à des données sensibles ou critiques.
Le VPN devient alors non seulement un point d’entrée, mais aussi un accélérateur de propagation des attaques. Au-delà du chiffrement des échanges, c’est donc la notion de confiance implicite qui interroge.
Une exposition accrue aux menaces
Comme l’explique Thomas SCHAAL dans cet épisode, toutes les grandes familles de solutions VPN et de firewalls ont déjà été confrontées à des vulnérabilités exploitables.
Dans un contexte où les attaques sont de plus en plus automatisées et industrialisées, ces failles peuvent être rapidement détectées et exploitées si les systèmes ne sont pas parfaitement à jour.
Mais la difficulté ne réside pas uniquement dans l’existence de ces vulnérabilités. Elle tient aussi à la complexité opérationnelle de leur gestion, notamment dans des environnements critiques où les mises à jour ne peuvent pas toujours être appliquées immédiatement.
Cette capacité ouvre des perspectives considérables pour les entreprises, mais elle modifie également les équilibres traditionnels.
Le risque ne réside pas nécessairement dans le fait qu’une IA produise du code. Après tout, les développeurs eux-mêmes peuvent introduire des erreurs ou des vulnérabilités.
L’enjeu principal devient la capacité de l’organisation à maintenir des processus de validation, de contrôle et de sécurité adaptés à cette nouvelle vitesse de production.
Le Zero Trust comme nouvelle approche
Face à ces limites, une nouvelle approche s’impose progressivement : le Zero Trust.
Son principe fondamental est simple mais radical : ne jamais faire confiance par défaut, et toujours vérifier chaque accès.
Contrairement au VPN, qui ouvre un accès global au réseau, le Zero Trust fonctionne de manière beaucoup plus granulaire. L’utilisateur n’accède plus à un environnement complet, mais uniquement aux ressources strictement nécessaires à son activité.
L’accès est évalué en continu en fonction de plusieurs critères comme l’identité de l’utilisateur, le contexte de connexion, l’état du terminal ou encore le niveau de risque associé.
Une transformation de l’expérience utilisateur
L’un des changements majeurs apportés par le Zero Trust concerne l’expérience utilisateur.
Là où le VPN impose une connexion explicite et parfois contraignante, le Zero Trust vise au contraire à rendre l’accès totalement transparent. L’utilisateur n’a plus à se connecter à un réseau, mais accède directement à ses applications et services.
La sécurité reste bien présente, mais elle s’exécute en arrière-plan, de manière invisible pour l’utilisateur, tout en étant plus fine et plus adaptative.
