Prendre la main à distance sans laisser une porte ouverte derrière soi

C'est le geste le plus quotidien du dépannage informatique. C'est aussi le plus mal encadré, et pour une raison très banale : on installe un outil en urgence pour aider quelqu'un, ça marche, et personne ne le retire.

Trois ans plus tard, il y a sur le parc une douzaine d'outils d'accès à distance, installés par autant de personnes, dont certaines sont parties. Chacun donne un accès complet à un poste de travail.

Ce guide traite les deux choses qui manquent presque toujours : prévenir la personne, et refermer derrière soi.

Avant la technique : la personne devant l'écran

Prendre la main sur un poste, c'est voir ce que quelqu'un a sous les yeux. Sa messagerie, ses onglets ouverts, ses fichiers personnels s'il en a.

Trois règles, aucune n'est technique.

La session commence quand la personne le sait. Pas quand elle a coché une case dans une politique interne il y a deux ans. Une notification visible, ou mieux, un appel en cours pendant l'intervention.

Elle voit ce qui se passe. Un accès qui masque l'écran de la personne pendant qu'on y travaille est acceptable sur un serveur, pas sur le poste d'un humain.

Elle peut couper. À tout moment, sans avoir à se justifier, et sans que cela demande une compétence.

Une précision utile, parce que la confusion est facile : ce guide traite le dépannage, pas la surveillance des salariés. Ce sont deux sujets différents, le second est encadré par le droit du travail et sort complètement de ce périmètre.

Deux besoins, deux niveaux de risque

C'est la distinction structurante, et la confondre est l'erreur qui produit les parcs criblés d'accès oubliés.

flowchart TD
    A["J'ai besoin d'acceder<br/>a un poste"] --> B{"La personne<br/>est-elle devant ?"}
    B -->|Oui| C["ASSISTANCE PONCTUELLE"]
    B -->|Non| D["ACCES PERMANENT"]
    C --> E["Session a la demande,<br/>code valable une fois"]
    E --> F["Retirer ou desactiver<br/>apres l'intervention"]
    D --> G["Compte nomme,<br/>authentification forte"]
    G --> H["Inventorie, journalise,<br/>revu periodiquement"]

L'assistance ponctuelle. La personne est là, elle demande de l'aide, elle vous donne un code valable pour cette session. Rien ne survit à la fin de l'intervention. C'est le mode par défaut, et il couvre la grande majorité des besoins.

L'accès permanent. Vous devez atteindre une machine sans personne devant : un poste en atelier, un serveur, une machine à maintenir la nuit. Le risque est d'une autre nature, et les exigences avec : compte nommé et non partagé, authentification forte, journalisation, et une revue périodique de qui a encore cet accès.

Le piège est de prendre un outil d'accès permanent pour faire de l'assistance ponctuelle, parce qu'il était déjà installé. C'est confortable, et c'est ainsi que les accès s'accumulent.

Les trois familles de solution

Décrites par leur fonctionnement, pas par leur nom, pour que ce guide reste valable.

L'outil intégré au système. Windows, macOS et les bureaux Linux ont tous une fonction d'assistance ou de bureau à distance. Avantage décisif : rien à installer, rien à retirer, et aucun tiers dans la boucle. Limite : il faut généralement être sur le même réseau, ou avoir configuré un accès depuis l'extérieur, ce qui est un vrai sujet de sécurité.

Le service qui passe par un tiers. Les deux machines se connectent à un serveur du fournisseur, qui fait le pont. C'est ce qui explique que ça fonctionne sans rien configurer, à travers n'importe quelle box. C'est la solution la plus pratique, et de loin la plus utilisée.

Il faut dire franchement ce que cela implique : le flux passe chez un fournisseur. Techniquement, il est en position de voir l'écran. Les fournisseurs sérieux chiffrent de bout en bout et s'engagent sur ce point, et la plupart des organisations acceptent ce risque en connaissance de cause. Le problème n'est pas le choix, c'est de le faire sans le savoir.

L'accès par le réseau de l'organisation. Un tunnel chiffré vers le réseau interne, puis un accès direct à la machine. Pas de tiers, un contrôle complet, et plus de travail de mise en place. C'est le bon choix quand les postes contiennent des données que vous ne voulez pas voir transiter ailleurs.

Le tableau de décision

Les règles qui évitent l'incident

Six règles. Aucune n'est coûteuse, et leur absence explique la plupart des incidents sur ce sujet.

Authentification forte sur le compte de l'outil. Ce compte donne accès à tous les postes qu'il gère. C'est une cible de premier choix, et un mot de passe seul ne suffit pas.

Jamais de code de session partagé en clair. Ni par message, ni écrit sur un papier collé à l'écran. Pour les identifiants permanents, un gestionnaire de mots de passe, traité par Mettre en place un gestionnaire de mots de passe.

Un compte par personne, jamais un compte d'équipe. Un compte partagé rend le journal inutilisable : vous savez qu'une intervention a eu lieu, pas qui l'a faite. Et il ne se révoque pas au départ de quelqu'un.

Sessions journalisées. Qui, quand, sur quelle machine. Sans ce journal, vous ne pourrez répondre à aucune question après un incident.

Retirer après l'intervention ponctuelle. C'est la règle la plus simple et la plus violée. Si l'outil reste, il devient un accès permanent qui n'a jamais été décidé comme tel.

Revoir périodiquement. Une fois par an au minimum, listez les outils d'accès installés sur le parc et les comptes qui y ont droit. Cette liste surprend toujours. Au départ d'une personne, cet accès fait partie de ce qu'il faut couper : voir Départ d'un salarié, couper les accès.

Pendant la session : quatre gestes à éviter

Redémarrer sans prévenir. La personne a peut-être un document non enregistré sous les yeux.

Saisir un mot de passe pendant que l'écran est partagé. Y compris le vôtre. Coupez le partage, saisissez, reprenez.

Ouvrir la messagerie ou les fichiers personnels de la personne, même pour vérifier quelque chose. Demandez-lui de le faire.

Rester connecté après avoir fini. Fermez explicitement la session, et vérifiez qu'elle est bien fermée.

À retenir

• La personne doit savoir quand la session commence, voir ce qui se passe, et pouvoir couper.
• Assistance ponctuelle et accès permanent sont deux besoins différents. Ne pas utiliser le second pour faire le premier.
• Un service par un tiers est pratique, et ce tiers est techniquement en position de voir l'écran. Choisissez-le en le sachant.
• Authentification forte sur le compte de l'outil : il donne accès à tout le parc.
• Un compte par personne. Un compte partagé rend le journal inutile et ne se révoque pas.
• Retirez après l'intervention ponctuelle. C'est la règle la plus simple et la plus violée.
• Une revue annuelle des accès installés surprend toujours. Faites-la.