Télémaintenance MSP · Continuité d’accès
Faut-il doubler la télémaintenance de votre RMM en 2026 ?
Sur les postes que vous gérez, la télémaintenance MSP repose rarement sur un seul outil. Selon la télémétrie d’Acronis, 63,1 % des endpoints équipés de son RMM hébergent au moins un autre logiciel d’accès distant. L’éditeur en tire une conclusion sans ambiguïté : au-delà d’un outil, on entre dans le risque de sécurité. La bonne question n’est donc pas d’en ajouter un de plus, mais de savoir lequel vous gardez, et pourquoi.
1. Le canal d’accès est devenu une cible de premier plan
L’outil de prise en main à distance a longtemps été traité comme un consommable. Les attaquants, eux, ont changé de regard : un canal de télémaintenance MSP légitime leur offre exactement ce qu’ils cherchent, une connexion chiffrée, autorisée par l’antivirus et déjà présente sur le poste.
Les chiffres de l’unité de recherche d’Acronis le confirment. Toutes les vulnérabilités publiées en 2025 sur les principaux outils d’accès distant ont été classées hautes ou critiques : 19 CVE pour TeamViewer dont 2 critiques, 8 pour N-able, 2 pour ConnectWise ScreenConnect. Le détail figure dans l’analyse publiée par l’unité de recherche d’Acronis, citée en fin d’article.
Deux affaires distinctes, souvent confondues, illustrent le phénomène. La première relève de l’exploitation de vulnérabilité : en juin 2025, la CISA décrit dans son avis AA25-163A comment des opérateurs de rançongiciel ont exploité CVE-2024-57727 sur une instance SimpleHelp non corrigée chez un éditeur de logiciel de facturation, puis atteint ses clients par le canal de télémaintenance lui-même.
La seconde n’a rien à voir avec cette vulnérabilité. Baptisée VENOMOUS#HELPER et documentée par les chercheurs de Securonix, il s’agit d’une campagne de hameçonnage active depuis avril 2025 sur plus de 80 organisations, dans laquelle l’attaquant installe volontairement des outils de télémaintenance légitimes pour s’établir durablement sur le poste.
2. Ce que dit vraiment la télémétrie de la télémaintenance MSP
Le chiffre de 63,1 % est parfois cité comme la preuve qu’il faudrait plusieurs outils de télémaintenance MSP. Acronis dit exactement l’inverse. L’étude formule sa conclusion en une phrase : un outil RMM est une nécessité de gestion, deux ou plus constituent un risque de sécurité. Chaque agent supplémentaire apporte sa propre authentification, son propre cycle de correctifs et ses propres vulnérabilités.
Une précision de méthode s’impose avant d’aller plus loin. L’échantillon porte sur 1,8 million d’endpoints qui utilisent tous déjà Acronis RMM, et les chiffres comptent les outils de télémaintenance MSP installés en plus de celui-ci. Ce n’est donc pas un échantillon représentatif de l’ensemble des parcs gérés par des MSP. À noter également que le résumé de l’étude parle de plus d’un tiers pour trois outils ou plus, quand son décompte détaillé indique 22 % : c’est ce second chiffre qui est repris ici.
« Un outil, c’est une nécessité. Deux ou plus, c’est un risque. »Un distributeur ne peut pas ignorer cette phrase pour justifier une licence supplémentaire. Elle impose de regarder d’abord ce qui tourne déjà sur les postes. Formulation d’Acronis Threat Research Unit, 1,8 M d’endpoints équipés d’Acronis RMM
Là où l’étude devient utile au MSP, c’est sur l’origine de cette prolifération. Elle est rarement le fruit d’une décision. Agents résiduels d’un ancien prestataire, outil installé par le client pour son éditeur métier, utilitaire déposé lors d’un dépannage ponctuel : votre parc de télémaintenance MSP s’est constitué tout seul.
On croit que le sujet, c’est d’ajouter un canal de secours. En réalité, la plupart des parcs hébergent déjà un second outil de télémaintenance MSP, que personne n’a choisi ni supervisé. Le travail commence donc par retirer, pas par installer.
Le coût de cette prolifération subie est mesurable. Toujours selon Acronis, MeshAgent a généré 1 178 incidents entre septembre 2025 et mars 2026, soit près de huit fois plus d’occurrences malveillantes que d’installations légitimes, et Ammyy Admin atteint un ratio de 153 pour 1. Ces agents de télémaintenance MSP ne figurent dans aucun catalogue.
3. Le canal unique reste un risque de continuité, à arbitrer
Reconnaître que la prolifération est dangereuse ne règle pas la question inverse. Trois scénarios interrompent la télémaintenance MSP sans qu’aucune faute ne soit imputable au prestataire : une indisponibilité de la plateforme de l’éditeur, une CVE critique qui impose de couper le service en préventif avant correction, ou une compromission avérée qui force l’isolement de la console.
Vos techniciens conservent alors leurs contrats et leurs engagements, mais plus aucun moyen de télémaintenance MSP : la supervision affiche les alertes sans qu’aucune main ne puisse intervenir. Tous les MSP ne sont pourtant pas exposés de la même façon. C’est un arbitrage, pas une règle générale.
Grille de décision
Cinq questions avant de décider
- Vos contrats comportent-ils des engagements de rétablissement qu’une journée sans accès mettrait en défaut ?
- Quelle part de vos interventions à distance ne peut pas attendre un déplacement sur site ?
- Vos clients sont-ils suffisamment dispersés pour que le repli terrain coûte une demi-journée par incident ?
- Votre documentation, mots de passe et fiches clients compris, reste-t-elle accessible si la console principale tombe ?
- Avez-vous déjà chronométré un basculement, ne serait-ce qu’une fois, sur un client pilote ?
Comment lire vos réponses : si deux réponses au plus vous inquiètent, le nettoyage des agents orphelins suffit probablement. Si trois ou plus vous mettent mal à l’aise, un accès de secours maîtrisé devient une mesure de continuité défendable, à condition qu’il remplace ce que vous venez de retirer.
La dimension contractuelle pèse aussi. Dans la perspective de la transposition française de NIS2, toujours en cours à l’été 2026, les futures entités essentielles et importantes devront renforcer la maîtrise des risques liés à leurs prestataires et leur continuité d’activité. Votre client pourra donc vous demander de documenter qui accède à ses postes, quand, et ce qui se passe si votre outil devient indisponible.
4. Quatre approches d’accès distant, avec leurs limites
Il n’existe pas une bonne réponse mais quatre familles d’architecture d’accès, dont trois se défendent selon la taille du parc et la maturité de l’équipe. Le rôle du distributeur est de les comparer honnêtement avant de recommander, y compris quand la réponse la plus simple n’est pas la plus vendeuse.
A. Le module intégré au RMM
L’approche par défaut, et de loin la plus répandue : la télémaintenance MSP passe par le module du RMM, avec le même agent, la même console et la même authentification.
- Un seul agent à déployer et à corriger
- Contexte machine directement disponible
- Une seule facture, un seul contrat
- Agent, cloud et compte communs : une seule compromission coupe tout
- Aucune intervention possible pendant une coupure du RMM
- La preuve d’accès et la supervision partagent le même journal
B. Un outil de télémaintenance MSP dédié
Un second produit, avec sa propre infrastructure et ses propres comptes, utilisé en usage courant sur le support utilisateur et disponible en repli. Son intérêt tient à une condition : prendre la place des agents résiduels du parc.
- Indépendance forte du canal et de l’annuaire, selon l’architecture retenue
- Journalisation séparée, exploitable en preuve
- Canal déjà rodé le jour de l’incident, pas découvert dans l’urgence
- Un agent de plus à durcir, superviser et corriger
- Deux politiques d’accès à tenir cohérentes
- Sans discipline, il devient à son tour une surface oubliée
C. Le VPN et le RDP en solution de repli
Le repli historique : on rouvre un tunnel, on passe en RDP, on travaille sans interface de télémaintenance MSP.
- Aucune licence supplémentaire
- Fonctionne sur les serveurs et l’infrastructure
- RDP concentre environ 26 % des incidents d’accès malveillant observés
- Pas d’accompagnement utilisateur ni de session partagée
- Configuration à refaire client par client, au pire moment
D. Le bastion ou la brique PAM
L’accès passe par un point de contrôle qui accorde des privilèges temporaires et enregistre tout. C’est la réponse gouvernance, pas la réponse continuité.
- Élévation à la demande et révocation immédiate
- Preuve d’accès complète pour l’audit et l’assurance cyber
- Ne remplace pas un outil de télémaintenance MSP orienté utilisateur
- Ajoute une dépendance de plus s’il devient le seul chemin
- Charge de paramétrage réelle sur un parc multi-clients
| Critère | A. Module RMM | B. Outil dédié | C. VPN / RDP | D. Bastion / PAM |
|---|---|---|---|---|
| Indépendance vis-à-vis du RMM | Nulle | Forte, selon l’architecture | Partielle | Variable |
| Délai de reprise après incident | Celui de l’éditeur | Rapide si préinstallé et testé | Heures à jours | Rapide si réellement séparé |
| Journal exploitable en preuve | Commun au RMM | Séparé | Faible | Excellent |
| Accompagnement de l’utilisateur | Oui | Oui | Non | Non |
| Surface ajoutée à administrer | Aucune | Un agent de plus | Ouverture réseau | Élevée |
| Rôle envisageable | Canal principal | Accès de secours | Dernier recours | Couche de contrôle |
Aucun second canal de télémaintenance MSP n’est totalement indépendant du premier. Les deux partagent au minimum le poste de travail, le réseau du client, souvent le fournisseur d’identité, parfois le DNS ou une même infrastructure cloud. Une compromission globale de l’environnement du MSP les emporte tous les deux. L’indépendance se mesure donc en degrés, jamais en absolu.
Cette dépendance partagée se traite au cas par cas. Exemple concret : si votre console de supervision s’authentifie via le SSO Microsoft Entra ID du MSP, configurez l’outil de repli avec une base d’utilisateurs locale et un second facteur matériel distinct. Une panne ou une compromission de l’annuaire ne coupe alors pas les deux chemins en même temps.
5. Les critères d’un accès de secours maîtrisé en télémaintenance MSP
Un dernier élément pèse dans la comparaison, et il est fonctionnel plutôt que sécuritaire. Le module du RMM sert surtout au support non surveillé et aux tâches de fond, sur des accès permanents. Un outil dédié couvre mieux l’assistance à la demande, avec confirmation à l’écran de l’utilisateur. Répartir les usages ainsi justifie la coexistence de deux outils sans multiplier les accès permanents sur les postes.
Une fois l’usage de chacun clarifié, six critères permettent de trancher entre les outils de télémaintenance MSP candidats. Ils s’appliquent quel que soit l’éditeur retenu.
Il remplace, il n’empile pas
Le déploiement du canal de secours se fait en même temps que la suppression des agents résiduels, sinon vous aggravez le problème que vous cherchez à traiter.
Infrastructure distincte
Hébergement, plan de contrôle et agent différents de ceux de la console de supervision. Sinon une seule panne emporte les deux.
Annuaire séparé et MFA
Comptes techniciens propres, authentification à deux facteurs obligatoire, révocation testée lors d’un départ.
Journal exportable
Qui s’est connecté, sur quel poste, quand, avec ou sans utilisateur présent. Exportable pour l’audit client et le dossier d’assurance.
Couverture multi-OS
Windows, macOS, Linux et mobile. Un accès de secours qui ne couvre qu’une partie du parc n’en est pas un.
Réversibilité d’hébergement
Pouvoir passer du cloud à une instance auto-hébergée si un client l’exige, sans changer d’outil ni réapprendre l’exploitation.
ISL Online dans le rôle d’accès de secours
ISL Online est un outil de télémaintenance MSP conçu comme un produit autonome, et non comme un module d’une plateforme de supervision. Son infrastructure, ses comptes et son agent sont indépendants du RMM, ce qui en fait un candidat cohérent pour ce rôle.
- Chiffrement de bout en bout, RSA 2048 ou 4096 bits et AES 256 bits
- Certification ISO/IEC 27001:2022
- Authentification à deux facteurs, SSO et politiques de mot de passe
- Accès sans surveillance via agent dédié, nombre d’ordinateurs illimité
- Windows, macOS, Linux et applications mobiles incluses
- Cloud ou instance auto-hébergée, au choix du client
- Connexion RDP et SSH sans modification du VPN ni du pare-feu
- Licences flexibles, sans facturation à l’agent déployé
Ce qu’il ne fait pas : ISL Online n’est pas un RMM. Pas de supervision temps réel, pas de patch management, pas d’inventaire automatisé. Et comme tout agent installé, il demande à être durci, supervisé et mis à jour. Caractéristiques déclarées par l’éditeur, à vérifier sur son site officiel.
Découvrir ISL Online chez WatsoftD’autres briques du catalogue se combinent selon la configuration : Level RMM pour le canal principal, Heimdal pour la couche PAM. IT Glue mérite une attention particulière : si votre documentation d’accès n’est consultable qu’à travers la console indisponible, votre plan de reprise s’arrête à la première procédure.
6. Soustraire avant d’ajouter : la méthode en six étapes
La séquence compte autant que la décision. Retirer, arbitrer, puis installer : dans cet ordre, le parc se simplifie même si l’arbitrage conclut à un accès de secours. Dans l’ordre inverse, il s’alourdit toujours.
Les six étapes, dans l’ordre
0/6 étapesCette démarche peut être intégrée à une offre de continuité de service : audit initial, nettoyage des agents, déploiement éventuel du canal de secours et tests périodiques documentés. C’est une prestation qui se décrit, se planifie et se contractualise. Nous ne disposons pas de données publiques permettant d’en chiffrer la rentabilité pour un MSP français : à chacun de la positionner selon son modèle et ses engagements.
7. Ce qu’il faut retenir
La prolifération non maîtrisée des outils de télémaintenance MSP est un risque documenté, et l’étude Acronis ne dit rien d’autre. Le canal unique est, lui, un risque de continuité pour les MSP dont les engagements ne tolèrent pas une journée d’indisponibilité. Ces deux constats ne se contredisent pas : ils encadrent la décision.
La bonne séquence en télémaintenance MSP tient en quatre mots : inventorier, supprimer, arbitrer, déployer. C’est un chantier court, mesurable, et il produit un résultat défendable devant un client comme devant un assureur.
FAQ : télémaintenance MSP et accès distant
Faut-il vraiment deux outils de télémaintenance MSP alors que mon RMM en intègre un ?
Pas systématiquement. La télémétrie d’Acronis rappelle qu’au-delà d’un outil, chaque agent de télémaintenance MSP supplémentaire élargit la surface à sécuriser. Un accès de secours se justifie quand vos engagements de service rendent une indisponibilité prolongée inacceptable, et à condition qu’il remplace les agents résiduels au lieu de s’y ajouter.
Un second canal augmente-t-il la surface d’attaque ?
Oui, un second canal de télémaintenance MSP augmente la surface technique à administrer. Il peut néanmoins réduire le risque global s’il remplace des outils orphelins, s’il répond à un besoin de continuité démontré et s’il fait l’objet d’un durcissement, d’une supervision et de tests réguliers.
Quel budget prévoir pour ce chantier ?
L’essentiel du coût est en temps, pas en licences : comptez une demi-journée à deux jours d’audit selon la taille du parc, puis une demi-journée de test de bascule deux fois par an. La licence de télémaintenance MSP éventuelle se refacture, en général au poste, dans le cadre d’un engagement de continuité d’accès.
Que demandera NIS2 en matière d’accès distant du prestataire ?
La transposition française est toujours en cours en 2026. Dans la perspective du texte, les futures entités essentielles et importantes devront maîtriser les risques liés à leurs prestataires et leur continuité d’activité. Votre client pourra donc vous demander de documenter qui accède à ses postes et ce qui se passe si votre canal devient indisponible.
Commencez par l’inventaire, décidez ensuite
Nos équipes accompagnent au quotidien les MSP dans la structuration de leur offre. Si votre arbitrage conclut à un accès de secours, ISL Online est le candidat du catalogue Watsoft pour ce rôle en télémaintenance MSP, avec une infrastructure et un annuaire indépendants de votre console de supervision.
Démarrer l’essai gratuit d’ISL Online Prendre contact avec WatsoftPour toute question, contactez notre équipe Watsoft au 05 56 15 01 01 ou par e-mail à ventes@watsoft.com.
Sources
- Acronis Threat Research Unit, « The remote access blind spot: an analysis of RMM tool risk for SMBs », télémétrie sur 1,8 M d’endpoints équipés d’Acronis RMM.
- CISA, avis AA25-163A, juin 2025 : exploitation de CVE-2024-57727 dans SimpleHelp et propagation vers les clients du fournisseur.
- Securonix, campagne VENOMOUS#HELPER : hameçonnage abusant d’outils de support légitimes, plus de 80 organisations depuis avril 2025. Affaire distincte de l’avis CISA.
- ANSSI, directive NIS 2 et référentiel ReCyF, transposition française en cours à la date de publication.