Durcir son accès à distance

Ce que la plateforme impose déjà

Commencez par ce qui est déjà garanti, parce que cela ne dépend pas de votre configuration :

• MFA obligatoire sur tous les comptes de technicien (TOTP, passkeys, FIDO2) ;
• TLS 1.3 sur l’unique port 443 ;
• chiffrement de session AES-256-GCM avec clés ECDH par session ;
• confirmation obligatoire de l’utilisateur avant tout transfert de fichier ;
• journal d’audit chaîné par hachage.

Le durcissement consiste à utiliser ces garanties à bon escient, pas à les recréer.

Activer la MFA la plus stricte

1. Privilégiez les passkeys ou une clé FIDO2 plutôt que le TOTP pour les comptes administrateurs : ils résistent au hameçonnage.
2. Vérifiez que chaque technicien possède son propre compte. Les comptes partagés affaiblissent l’audit : on ne sait plus qui a fait quoi.
3. Sur le plan Business, branchez le SSO SAML ou OIDC sur votre fournisseur d’identité.

Encadrer les sessions

• Réservez l’accès non surveillé aux machines dont vous êtes responsable. Voir Accès non surveillé : configuration.
• Utilisez les sessions assistées dès qu’un utilisateur peut confirmer les actions.
• Rappelez aux utilisateurs qu’un code à 6 chiffres ne se communique qu’à la personne qui les assiste. Ubidesk ne démarre jamais de session vers un utilisateur sans que celui-ci ne rejoigne la session.

Exploiter le journal chaîné

1. Activez l’export du journal d’audit vers votre SIEM dès la mise en service : Syslog, Splunk ou Microsoft Sentinel.
2. Créez des alertes sur les événements sensibles : connexion hors horaires, création d’un technicien, transferts de fichiers.
3. Revoyez le journal après chaque incident, pas seulement lors des audits annuels.

Choisir et verrouiller la résidence des données

Choisissez la région (UE, Canada ou États-Unis) à la création de l’espace, en fonction de vos obligations légales et contractuelles. Un changement ultérieur implique une migration de données : décidez avant la première mise en production.

Enregistrement des sessions

Sur les plans Pro et plus, l’enregistrement des sessions ajoute une couche de preuve. Annoncez-le aux utilisateurs, et définissez une durée de conservation alignée sur vos règles internes.

Checklist finale

• MFA par passkey ou FIDO2 pour les administrateurs
• SSO configuré (plan Business)
• Export SIEM actif et alertes créées
• Résidence des données choisie et documentée
• Règle d’enregistrement définie et communiquée
• Parc d’agents revu, machines réformées retirées
• Procédure de départ d’un technicien : révocation immédiate du compte et du jeton

Pour aller plus loin

• Modèle de sécurité et chiffrement
• Sessions assistées : fonctionnement
• Trust Layer