Sun Tzu disait : « Si vous vous connaissez vous-même mais pas votre ennemi, pour chaque victoire remportée, vous subirez également une défaite ». Et dans la bataille du cyber, confondre sécurité et conformité peut ouvrir la porte à des attaquants, motivés et bien équipés, qui ne respectent pas les règles. Pire encore, si les entreprises ignorent les réalités opérationnelles de leurs équipes. Et dans leur précipitation à atteindre la conformité, elles risquent même de s’équiper… des mauvais outils..  

1 - La conformité : une arme à double tranchant

Malgré ses limites, la conformité reste une priorité stratégique. À juste titre : elle constitue souvent une obligation légale (RGPD), un levier commercial (ex : SOC 2) ou un outil de confiance (ex : BSZ en Allemagne). Mais cette quête a un coût caché, à la fois perceptif et opérationnel.  

a) L’illusion de la sécurité

L’un des effets pervers les plus graves de la conformité est le faux sentiment de sécurité qu’elle peut engendrer. En se concentrant sur la réussite des audits, les organisations risquent de négliger les menaces réelles.

Si les certifications comme ISO 27001 ou SOC 2 visent à standardiser les pratiques de sécurité et rassurer les parties prenantes, elles ne garantissent pas pour autant une protection effective. Le problème ? Les cadres ne sont pas toujours adaptés. Les organisations diffèrent par leur taille, leur exposition aux risques, leur infrastructure et leurs modèles de menace, pourtant beaucoup appliquent une approche par checklist, uniformisée et rigide.

Cela peut laisser des actifs critiques sous-protégés, si des ressources sont réorientées sur des zones à faible risque, simplement parce que le référentiel l’exige. La posture de sécurité est alors davantage façonnée par les exigences d’audit que par une analyse réelle des menaces.

Equifax en est un exemple typique. Bien que techniquement conforme, l'entreprise n'a pas corrigé une vulnérabilité connue, entraînant une fuite massive de données affectant plus de 147 millions de personnes. La conformité ne les a pas protégés.

b) Le coût humain et financier de la conformité

Derrière la promesse de sécurité informatique se cache un coût caché : la complexité des infrastructures. Les équipes IT doivent ainsi gérer des environnements toujours plus complexes, tandis que les budgets, souvent accaparés par la conformité, laissent peu de place à l’innovation. Pour les utilisateurs finaux, cette conformité rime souvent avec des outils restrictifs et une flexibilité limitée.

Les cadres européens tels que les guides de l'ANSSI et la loi allemande sur la sécurité informatique (IT SiG) insistent sur un principe : la séparation. Les actifs sensibles doivent être isolés. En pratique, cela signifie que les administrateurs jonglent entre plusieurs systèmes et que les utilisateurs passent d'un écran à l'autre, parfois trois ou plus, juste pour faire leur boulot.

Cette complexité démultiplie également le nombre d'outils de sécurité déployés pour couvrir l'ensemble de la surface : pare-feu, SIEM, protection des terminaux, etc. Le déploiement, la maintenance et la gestion de cet écosystème exigent d'importantes ressources internes. Les coûts liés à l'achat de matériel, à la maintenance, aux licences et au personnel se cumulent rapidement.

À la recherche d’alternatives, les entreprises se sont tournées vers des techniques de virtualisation comme la VDI, le DaaS ou les services Bureau à distance (RDS) pour isoler leurs environnements. Pourtant, chacune de ces solutions présente ses compromis : la VDI dépend des performances réseau, le DaaS sacrifie la souveraineté des données, et le RDS peine à gérer le partionnement. Résultat, ces technologies échouent souvent à concilier sécurité et expérience utilisateur, laissant les organisations insatisfaites.

Le VDI, autrefois présenté comme la solution idéale, est aujourd'hui un exemple frappant de technologie pouvant créer des frictions à chaque étape.  

2 – Les promesses et les risques de la VDI

Pendant un temps, l’infrastructure de bureaux virtualisés (VDI) a semblé la solution idéale pour les organisations souhaitant isoler leurs environnements sensibles tout en réduisant le nombre d’écrans par utilisateur. Au lieu de gérer deux environnements distincts, elles conservent uniquement l’environnement sensible et utilisent la VDI pour accéder à celui moins protégé.

En centralisant les environnements de bureau sur des serveurs distants, la VDI promettait la flexibilité pour les utilisateurs, un contrôle centralisé pour les administrateurs, une gestion simplifiée de la conformité pour les DSI et des économies pour les DAF. En théorie, tout le monde y gagnait.

Mais la réalité a vite rattrapé ces promesses.

Les coûts cachés du VDI

La VDI n’est pas une solution miracle. En réalité, elle introduit souvent de nouveaux défis, notamment un coût élevé et une complexité de déploiement. Les dépenses liées aux licences, au matériel et à la maintenance peuvent rapidement s’envoler. Ce qui semblait au départ être un atout pour la conformité peut vite se transformer en risque financier.

Mais la vraie limite de la VDI réside dans l’expérience utilisateur. Les employés subissent souvent des latences et une flexibilité réduite, ce qui engendre frustration, contournements et le développement du shadow IT.  

La forte dépendance de la VDI à la connectivité pose un problème récurrent. Les performances s’effondrent dès que le signal faiblit. Sans accès internet stable, la productivité chute. Dans des environnements déconnectés, les utilisateurs peuvent contourner totalement les systèmes, introduisant de nouveaux risques. Les solutions VDI peinent souvent à répondre aux contraintes terrain de certains secteurs, comme celui du BTP.  

Ce qui devait être une solution favorable à la conformité devient une source de friction, sapant à la fois la sécurité et l’efficacité. Après le désenchantement de la VDI, les entreprises se retrouvent coincées entre le marteau et l’enclume, se demandant s’il est seulement possible de rester conforme sans sacrifier l’utilisabilité, la sécurité ou exploser le budget.

Tandis que certaines organisations déçues ont choisi de revenir au multi-poste ou de conserver leur VDI, d’autres continuent d’explorer des alternatives plus ergonomiques. Elles recherchent des solutions qui favorisent l’adoption par les utilisateurs finaux, tout en garantissant un niveau élevé de sécurité et le respect des réglementations. Et elles ont raison.

Revenir au multi-poste ou persister avec une VDI peu intuitive, c’est oublier qu’être conforme ne signifie pas être sécurisé. À quoi bon multiplier les mesures de conformité si les utilisateurs finaux cherchent sans cesse à contourner des solutions inadaptées qui nuisent à leur productivité ? À quoi sert un serrure complexe si, au final, on laisse la porte entrebâillée « pour gagner du temps » ?

Ceux qui recherchent des alternatives à la VDI et au multi-poste ont compris que le plus grand risque se situe précisément là où personne ne regarde : les utilisateurs. Ils ont admis que l’expérience utilisateur ne doit plus être une variable d’ajustement.

To err is humain...seeking the easier path too

Quand les systèmes sont lents, peu intuitifs ou trop restrictifs, les utilisateurs trouvent des solutions de contournement. Comment ? Ils se tournent souvent vers des appareils personnels non gérés. Parfois, les équipes IT accordent même des droits administrateur aux développeurs, juste pour qu’ils puissent travailler plus vite. Parce qu’au final, c’est plus simple. Mais ces pratiques créent des angles morts et des failles dans l’infrastructure, compliquant la gestion des incidents.

Malheureusement, les solutions de virtualisation traditionnellement recommandées pour la conformité, en particulier la VDI, ont toutes échoué sur le plan de l’ergonomie. Des utilisateurs frustrés mènent à des administrateurs épuisés, et in fine, à des nuits blanches pour le RSSI.

C’est pourquoi l’impact de toute solution doit tenir compte des workflow, des contextes opérationnels et des besoins utilisateurs. Sans cela, les organisations risquent de prendre des décisions déconnectées des réalités quotidiennes, encourageant involontairement des contournements qui introduisent des vulnérabilités dans toute la structure. La VDI coche peut-être la case conformité, mais elle s’avère souvent peu pratique.

Conclusion : Coup de maître ou pari risqué ?

Tout dépend du type de pari que vous faites. Si votre objectif est simplement de cocher une case, la VDI peut suffire. Mais si vous visez à protéger votre entreprise sans sacrifier vos équipes, il est temps de repenser votre stratégie.

L’impact d’une solution doit être observé, mesuré et compris dans son contexte. Et la question n’est pas de savoir si la virtualisation peut soutenir la conformité. La vraie question est : peut-elle le faire sans exposer votre organisation à des risques ? Si votre but est de concilier conformité, agilité, productivité et sécurité, alors la réponse réside dans des solutions plus intelligentes et centrées sur l’humain.

C’est précisément ce que nous faisons chez KERYS Software. YS::Desktop a été conçu à partir de retours terrain et évolue en permanence pour s’adapter aux réalités opérationnelles des entreprises, rendant la virtualisation sécurisée vraiment accessible.

Trop beau pour être vrai ? Réservez une démo afin de discuter de vos enjeux métiers.