Les agents des collectivités régionales qui travaillent depuis leur domicile se heurtent souvent à un obstacle technique : accéder à l’intranet de la Région sans compromettre la sécurité du réseau interne. La question ne se limite pas à entrer un identifiant et un mot de passe. Depuis que les collectivités territoriales de plus de 30 000 habitants sont classées parmi les « entités importantes » au sens du cadre européen NIS2, les exigences de sécurité ont changé de nature.
La connexion distante à l’intranet s’inscrit désormais dans un périmètre réglementaire plus strict.
Obligations NIS2 et accès distant à l’intranet régional
Le cadre NIS2 impose aux collectivités concernées de déclarer tout incident de sécurité significatif à l’ANSSI sous 24 heures, puis de fournir un rapport intermédiaire dans les 72 heures. Un compte VPN compromis ou un accès intranet piraté ne relève plus du simple ticket d’assistance informatique. La collectivité doit documenter, qualifier l’incident et le notifier dans un calendrier précis.
Pour l’agent qui se connecte depuis chez lui, cette contrainte a une conséquence directe : le service informatique régional durcit les conditions d’accès distant. Tolérer un mot de passe faible ou un poste personnel non sécurisé expose la collectivité à un défaut de conformité, pas seulement à un risque technique.
VPN et authentification multifacteur : ce que la Région attend de votre connexion
La plupart des Régions déploient un tunnel VPN (réseau privé virtuel) pour chiffrer les échanges entre le domicile de l’agent et le réseau interne. Le VPN crée un canal sécurisé qui rend les données illisibles pour un tiers qui intercepterait le trafic sur votre connexion domestique.
Le VPN seul ne suffit pas. L’authentification multifacteur (MFA) ajoute une couche de vérification : après avoir saisi votre identifiant et votre mot de passe, vous confirmez votre identité via un second facteur. Selon les configurations régionales, ce facteur peut prendre plusieurs formes :
- Un code temporaire envoyé par SMS ou généré par une application d’authentification sur votre téléphone professionnel
- Une carte à puce ou un certificat numérique installé sur votre poste de travail fourni par la collectivité
- Une notification push à valider sur un terminal enregistré auprès du service informatique
Le principe reste le même : un mot de passe volé ne suffit plus à accéder à l’intranet. L’attaquant devrait également disposer du second facteur physique, ce qui réduit le risque de compromission à distance.
Exfiltration de données : le risque qui change la donne pour l’accès à distance
Le Panorama de la cybermenace 2025 publié par l’ANSSI indique que le nombre total d’incidents traités reste stable (1 366 incidents en 2025 contre 1 361 en 2024), mais la nature des attaques évolue. Les exfiltrations de données progressent d’environ la moitié sur un an, alors que les rançongiciels reculent légèrement.
Cette évolution modifie la hiérarchie des risques pour un agent connecté à l’intranet régional depuis son domicile. Le scénario le plus probable n’est plus le blocage complet du système par un rançongiciel. C’est la fuite silencieuse de données internes : fichiers RH, délibérations en cours de rédaction, données budgétaires.
Un poste personnel connecté au Wi-Fi domestique, sans antivirus à jour, devient un vecteur d’exfiltration potentiel. Le réseau Wi-Fi domestique reste le maillon faible de la chaîne de connexion. Si un autre appareil du foyer est compromis, le trafic réseau peut être intercepté avant même d’atteindre le tunnel VPN, notamment si l’agent se connecte sans activer le VPN avant d’ouvrir le navigateur.
Configurer votre poste pour une connexion sécurisée à l’intranet
Le service informatique de la Région fournit généralement un poste de travail préconfiguré ou, à défaut, des instructions précises pour les postes personnels autorisés. Plusieurs vérifications s’imposent avant chaque session de connexion distante :
- Vérifier que le client VPN est à jour et que la connexion s’établit avant toute navigation vers l’intranet
- S’assurer que le système d’exploitation et l’antivirus disposent des dernières mises à jour de sécurité
- Utiliser exclusivement le navigateur recommandé par le responsable informatique, avec les certificats de sécurité installés
- Ne jamais enregistrer les identifiants de connexion dans le navigateur sur un poste partagé avec d’autres membres du foyer
Sur un poste professionnel fourni par la collectivité, ces paramètres sont souvent verrouillés par l’administrateur réseau. Sur un poste personnel, la responsabilité de la mise à jour incombe à l’utilisateur, ce qui constitue une faille organisationnelle fréquente.
Que faire en cas d’échec de connexion à l’intranet de la Région
Un échec de connexion peut avoir des causes multiples, et toutes ne relèvent pas d’un problème de mot de passe. Le certificat de sécurité peut avoir expiré, le client VPN peut être incompatible avec une mise à jour récente du système d’exploitation, ou le service d’authentification peut être temporairement indisponible côté serveur.
Le premier réflexe utile consiste à vérifier si le VPN s’établit correctement en dehors du navigateur. Si le tunnel se connecte mais que l’intranet reste inaccessible, le problème se situe probablement au niveau du portail web ou du DNS interne. Si le VPN lui-même échoue, la cause est souvent liée au poste (pare-feu local, mise à jour système en attente) ou à la configuration réseau domestique.
En cas de suspicion de compromission (tentative de connexion non reconnue, notification MFA non sollicitée), signaler immédiatement l’incident au responsable informatique n’est pas optionnel. Dans le cadre NIS2, la collectivité a besoin de ces signalements pour respecter son obligation de déclaration à l’ANSSI.
Limites du dispositif actuel
Les retours terrain divergent sur la fluidité des solutions de connexion distante selon les Régions. Certaines collectivités ont déployé des portails d’accès web qui ne nécessitent pas d’installation VPN lourde, tandis que d’autres imposent encore des configurations manuelles complexes sur les postes personnels. L’homogénéité des pratiques entre Régions reste limitée, et aucun référentiel technique unique ne s’applique à l’ensemble des intranets régionaux.
La montée en charge du télétravail a aussi révélé des goulets d’étranglement sur les serveurs VPN de certaines collectivités, avec des déconnexions fréquentes aux heures de pointe. Ces incidents, bien que bénins individuellement, compliquent le travail quotidien des agents et alimentent la tentation de contourner le VPN pour accéder plus rapidement aux ressources, ce qui annule précisément les protections mises en place.
