# VPN ou ZTNA pour le télétravail : le comparatif pour PME

Source : https://cybercaribou.com/comparatifs/vpn-vs-ztna-teletravail · Cyber Caribou

> VPN, ZTNA, accès conditionnel ou bureau virtuel : quelle façon de donner accès à distance convient à votre PME en télétravail ? Risques, coûts et prérequis.

Pendant des années, la réponse au télétravail tenait en trois lettres : VPN. On installait un client sur le portable, l'employé se connectait et retrouvait ses lecteurs réseau comme au bureau. Aujourd'hui, les fournisseurs parlent plutôt de ZTNA, de zéro confiance et d'accès conditionnel, souvent sans expliquer ce que ça change pour une PME de 20 personnes.

La bonne question n'est pas « quelle technologie est la plus moderne ? », mais « à quoi mes employés doivent-ils accéder, et depuis quels appareils ? ». Ce comparatif complète notre guide sur la [sécurité du télétravail](https://cybercaribou.com/blogue/securite-teletravail-entreprise).

- Nous comparons des approches d'accès à distance, pas des produits. Les critères s'appuient sur les publications du Centre canadien pour la cybersécurité, du NIST, du NCSC britannique et de la CISA, ainsi que sur la documentation de Microsoft, consultées en octobre 2026.
- Critères retenus : ressources accessibles, vérification de l'appareil, déplacement latéral, exposition sur Internet, accès aux ressources locales, MFA, effort de déploiement et coût.
- Les prix cités proviennent des sites officiels et servent d'exemples ; ils excluent les taxes.
- Ce comparatif n'est pas commandité.

## D'abord, faites l'inventaire

Avant de comparer les technologies, dressez la liste de ce que vos employés utilisent à distance. Si tout se trouve dans Microsoft 365 et d'autres services infonuagiques, vous n'avez peut-être plus besoin d'un tunnel vers le bureau. S'il reste un serveur de fichiers, un logiciel comptable hébergé sur place ou une application métier, il faut un moyen de les atteindre de façon sécuritaire.

Notez aussi les appareils : portables gérés par l'entreprise, cellulaires personnels, ordinateur d'un sous-traitant. La réponse restreint les options. Un appareil géré peut être vérifié avant de se connecter ; un appareil non géré gagne à rester à l'écart de vos données.

Cet inventaire est aussi le premier geste de toute démarche zéro confiance, selon le Centre canadien pour la cybersécurité : connaître ses données, ses utilisateurs, ses appareils et ses applications.

## Le VPN : simple, mais souvent tout ou rien

Le VPN crée un tunnel chiffré entre le poste et le réseau du bureau. C'est pratique, et souvent déjà payé avec le pare-feu. Le revers : une fois connecté, l'utilisateur, ou l'attaquant qui a volé son mot de passe, voit souvent une grande partie du réseau.

Le Centre canadien pour la cybersécurité énumère les risques : vulnérabilités des équipements VPN, vol d'identifiants, mauvaise configuration. Ses recommandations sont claires : MFA de préférence résistant à l'hameçonnage, correctifs appliqués rapidement, journalisation, et tunnel partagé à éviter autant que possible. Ce n'est pas théorique : des failles de passerelles VPN de plusieurs fabricants figurent dans la liste des vulnérabilités les plus exploitées publiée par la CISA et ses partenaires, dont le Centre canadien. Une [politique de gestion des correctifs](https://cybercaribou.com/blogue/politique-gestion-correctifs-pme) qui traite le pare-feu en priorité est donc indispensable.

## Le ZTNA : l'accès application par application

Le ZTNA applique les principes du [zéro confiance](https://cybercaribou.com/blogue/zero-trust-pme-explique) : aucune confiance n'est accordée par défaut, et chaque connexion est authentifiée et autorisée selon l'identité, l'appareil et le contexte. L'employé n'atteint que l'application dont il a besoin, pas le réseau entier. Si son compte est volé, l'attaquant reste confiné.

Le Centre canadien pour la cybersécurité fait du MFA un prérequis essentiel et recommande une transition graduelle, en faisant au besoin cohabiter l'ancien et le nouveau modèle. Le NCSC britannique prévient que les services anciens qui ne prennent pas en charge le zéro confiance peuvent compliquer le projet en fin de parcours.

## L'accès conditionnel : souvent déjà compris dans la licence

Pour une PME entièrement infonuagique, la solution est souvent déjà dans la licence. L'accès conditionnel de Microsoft Entra, compris dans Microsoft 365 Business Premium, applique des règles à chaque connexion : exiger le MFA, exiger un appareil marqué conforme, bloquer certains pays, bloquer les anciens protocoles. Il ne couvre toutefois pas ce qui reste au bureau, et une exclusion oubliée suffit à affaiblir l'ensemble.

## Le bureau virtuel : quand l'appareil ne peut pas être géré

Pour un sous-traitant ou un employé sur un appareil personnel, un bureau virtuel comme Windows 365 évite de stocker les données sur l'appareil. Le poste hébergé s'ouvre depuis Windows, Mac, iOS, Android ou un navigateur. La facture est mensuelle, par utilisateur, et Microsoft précise que des frais liés à l'utilisation du réseau peuvent s'ajouter.

## Comment choisir

- **Tout est dans Microsoft 365 ?** L'accès conditionnel suffit souvent, sans VPN.
- **Un serveur ou un logiciel reste au bureau ?** Un VPN bien durci fait le travail ; planifiez la migration de ces ressources ou un passage au ZTNA.
- **Des sous-traitants ou plusieurs applications internes ?** Le ZTNA limite chacun à ce dont il a besoin.
- **Des appareils que vous ne gérez pas ?** Le bureau virtuel garde les données hors de l'appareil.

Dans tous les cas, le MFA est obligatoire sur chaque voie d'accès. Notre service de [remédiation et durcissement](https://cybercaribou.com/services/remediation-durcissement) peut renforcer un VPN existant ou accompagner la transition vers un accès plus ciblé.

## FAQ

**Le ZTNA remplace-t-il complètement le VPN ?**
Pas du jour au lendemain. Le Centre canadien pour la cybersécurité recommande d'appliquer les principes zéro confiance graduellement et, au besoin, de faire cohabiter les deux modèles pendant la transition. Concrètement, vous pouvez garder un VPN pour quelques usages résiduels pendant que les applications migrent vers un accès plus ciblé.

**Faut-il désactiver le tunnel partagé (split tunneling) ?**
Le Centre canadien pour la cybersécurité recommande de l'éviter autant que possible, car il crée un pont entre Internet et le tunnel sécurisé. Il privilégie un VPN forcé, où tout le trafic passe par le tunnel. Si la performance pose problème, discutez des exceptions avec votre fournisseur TI plutôt que d'ouvrir le tunnel par défaut.

**Un VPN grand public protège-t-il nos télétravailleurs ?**
Non, ce n'est pas le même outil. Un VPN grand public chiffre la connexion vers le serveur d'un fournisseur commercial, sans donner accès aux ressources de l'entreprise ni appliquer vos règles de sécurité. Pour les employés, l'accès doit passer par une solution que l'entreprise contrôle, avec le MFA.

**Un produit peut-il nous rendre « zéro confiance » ?**
Non. Le Centre canadien pour la cybersécurité met en garde contre les fournisseurs qui prétendent qu'un seul produit suffit : le zéro confiance est une approche, pas une solution technique unique. Un ZTNA en est une pièce, au même titre que le MFA, la gestion des appareils et l'inventaire des accès.

## Sources

- [Centre canadien pour la cybersécurité : les réseaux privés virtuels (ITSAP.80.101)](https://www.cyber.gc.ca/fr/orientation/les-reseaux-prives-virtuels-itsap80101)
- [Centre canadien pour la cybersécurité : approche de vérification systématique pour l'architecture de sécurité (ITSM.10.008)](https://www.cyber.gc.ca/fr/orientation/approche-verification-systematique-larchitecture-securite-itsm10008)
- [NIST SP 800-207 : Zero Trust Architecture](https://csrc.nist.gov/pubs/sp/800/207/final)
- [NCSC (Royaume-Uni) : Zero trust architecture design principles](https://www.ncsc.gov.uk/collection/zero-trust-architecture)
- [CISA et partenaires (dont le Centre canadien pour la cybersécurité) : vulnérabilités les plus exploitées en 2023 (AA24-317A)](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-317a)
- [Microsoft Learn : accès conditionnel Microsoft Entra (fonctionnement et licences)](https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview)
- [Microsoft Learn : qu'est-ce que Windows 365 ?](https://learn.microsoft.com/en-us/windows-365/overview)
- [Microsoft : forfaits et prix de Windows 365 Business (Canada)](https://www.microsoft.com/en-ca/windows-365/business/compare-plans-pricing)
- [Sophos : licences de Sophos Firewall (VPN d'accès distant dans la licence de base)](https://www.sophos.com/en-us/products/next-gen-firewall/how-to-buy)
- [WatchGuard : services de sécurité Firebox](https://www.watchguard.com/wgrd-products/security-services)
- [Ubiquiti : passerelles UniFi Cloud Gateway](https://ui.com/cloud-gateways)
- [Cloudflare : forfaits Zero Trust](https://www.cloudflare.com/plans/zero-trust-services/)