Dans les locaux d'une entreprise de négoce à Gaillard, un numéro de session TeamViewer et son mot de passe sont inscrits au feutre sur un tableau à côté de la photocopieuse. Ils datent d'un dépannage effectué il y a trois ans par un prestataire dont l'entreprise ne se souvient plus du nom. Le logiciel est toujours installé, il démarre avec le poste, et il accepte encore les connexions. Personne dans la société ne saurait dire qui s'y est connecté depuis. Un peu plus loin, sur le poste de caisse, un autre outil de prise en main reste ouvert en permanence parce que « c'est plus pratique ».
Ce fonctionnement s'appelle du dépannage improvisé, pas de l'assistance encadrée. La différence ne tient pas à la marque du logiciel mais à trois questions : l'accès est-il permanent ou ouvert à la demande, l'utilisateur voit-il ce qui se passe sur son écran, et sait-on après coup qui est intervenu. Nous prenons la main avec Splashtop, dans le cadre du contrat de gestion de parc informatique à partir de 120 HT / mois, et nous appliquons la même règle à chaque intervention : une session s'ouvre, elle est visible, elle se referme.
La différence entre un accès permanent et une session consentie
Un outil de prise en main laissé actif en permanence sur un poste équivaut, du point de vue de la sécurité, à un bureau à distance ouvert. Quiconque obtient l'identifiant et le mot de passe se retrouve sur la machine, avec les droits de l'utilisateur connecté, sans que personne ne s'en aperçoive. Le problème n'est pas théorique : ces identifiants circulent dans d'anciens courriels, restent affichés dans les locaux, et survivent au départ des personnes qui les avaient reçus. Le raisonnement est le même que celui que nous développons dans notre article sur le bureau à distance exposé sur Internet.
Une session assistée fonctionne autrement. L'utilisateur déclenche lui-même la demande, ou l'accepte quand elle vient de nous après un appel ou un ticket. Un code à usage unique est généré pour cette intervention et il ne sert qu'une fois. Rien ne reste actif quand la session se termine. Concrètement, si un individu appelle en se faisant passer pour votre prestataire, il n'a aucun moyen d'entrer sans que quelqu'un de chez vous fasse une action délibérée.
Nous appliquons ce principe même quand il nous coûte du temps. Il nous arrive de devoir rappeler un collaborateur parce qu'il a quitté son bureau et que la session ne peut pas s'ouvrir sans lui. C'est le prix d'un fonctionnement où personne n'entre sur un poste sans être vu.
Ce que l'utilisateur voit pendant l'intervention, et comment il l'arrête
Nous ne prenons jamais la main de manière invisible. Pendant toute la durée de l'intervention, la personne voit son écran bouger, elle voit le curseur se déplacer, et un indicateur signale que la session est en cours. Elle peut la couper à tout moment, sans nous demander l'autorisation et sans justification, par exemple si un client entre dans le bureau ou si elle doit ouvrir un document confidentiel. Nous le disons explicitement au début de chaque intervention, parce qu'un utilisateur qui sait qu'il garde la main coopère mieux et signale plus tôt les problèmes.
Nous annonçons également ce que nous allons faire avant de le faire, en particulier lorsque l'action touche des fichiers ou une messagerie. Si l'intervention nécessite de consulter des dossiers, nous le demandons. Si elle nécessite un redémarrage, nous attendons que la personne ait enregistré son travail. Ces règles ne sont pas de la politesse, elles évitent des malentendus qui coûtent ensuite bien plus cher qu'une minute d'explication.
La traçabilité : savoir après coup qui est entré, sur quel poste et quand
Le second apport d'un canal d'assistance encadré est le journal. Chaque intervention est rattachée à un technicien identifié, à un poste précis et à un horodatage, et elle est reliée au ticket qui l'a déclenchée. Cette trace sert dans trois situations très concrètes.
- Lorsqu'un dysfonctionnement apparaît après une intervention, vous savez immédiatement ce qui a été fait, par qui, et vous pouvez revenir en arrière au lieu de chercher à l'aveugle.
- Lorsque votre assureur ou un client vous interroge sur la maîtrise des accès distants, vous disposez d'une réponse documentée plutôt que d'une affirmation. Ce point revient régulièrement dans les questionnaires que nous décrivons dans notre article sur la cyberassurance en PME.
- Lorsqu'un technicien quitte notre équipe ou que vous changez de prestataire, la révocation de ses accès est une opération centrale, immédiate et vérifiable, et non une tournée des postes pour désinstaller un logiciel.
Cette exigence rejoint celle que nous appliquons aux comptes des collaborateurs, détaillée dans notre article sur la révocation des accès lors d'un départ. Un outil de prise en main oublié sur un poste fait partie des accès que l'on retire trop rarement.
Ce que la prise en main à distance ne réglera pas
L'assistance à distance traite l'essentiel des demandes quotidiennes : un logiciel qui ne se lance plus, une imprimante à reconfigurer, un profil de messagerie à recréer, une mise à jour à forcer, un droit d'accès à corriger. Elle supprime un déplacement dans la grande majorité des cas et raccourcit fortement le délai de prise en charge.
Elle s'arrête là où le matériel commence. Un poste qui ne démarre plus, un disque défaillant, un câble réseau abîmé, un copieur à raccorder ou un boîtier réseau à remplacer exigent une présence physique. Nous nous déplaçons pour cela dans le Bassin Genevois, à Saint-Julien-en-Genevois, Genève, Annemasse et alentours. Elle ne remplace pas non plus la supervision : c'est un outil de surveillance qui doit vous prévenir qu'un disque arrive à saturation, sujet que nous traitons dans notre article sur la supervision d'un parc de PME, et non un utilisateur qui appelle une fois la panne survenue.
Comment nous ouvrons, puis refermons un canal d'assistance
Lors de la reprise d'un parc, nous commençons par inventorier les outils de prise en main déjà installés, y compris ceux dont l'entreprise a oublié l'existence. Nous les désinstallons après avoir vérifié qu'aucun logiciel métier n'en dépend, et nous documentons ce retrait. Nous installons ensuite notre agent sur les postes concernés, sous Windows comme sous macOS, avec des comptes techniciens nominatifs et une authentification renforcée de notre côté.
Nous expliquons enfin aux équipes comment demander une intervention et à quoi ressemble une session légitime, ce qui constitue une protection simple contre les appels frauduleux. Hors contrat, une intervention ponctuelle relève de l'urgence à 230 HT / h, avec le même montant hors taxes en euros et en francs. Dans le contrat, l'assistance fait partie du forfait mensuel, comme nous l'expliquons dans notre article comparant le dépannage à l'heure et le contrat d'infogérance.
Si votre assistance repose aujourd'hui sur un identifiant noté dans un courriel ancien, signalez-le-nous. Nous mettons en place un canal propre, nous retirons les anciens accès, et vous saurez pour chaque intervention qui est entré sur quel poste.