Le télétravail n’a pas créé de nouvelles menaces. Il a déplacé le terrain. Les protections que vous aviez patiemment mises en place dans vos bureaux, le pare-feu, le réseau maîtrisé, les collègues qui voient ce qui se passe, ne suivent pas le collaborateur qui travaille depuis chez lui, depuis un train ou depuis la salle d’attente d’un client.
Bonne nouvelle : les mesures qui comblent cet écart sont peu nombreuses et largement à la portée d’une PME. Certaines sont même déjà présentes sur vos appareils, simplement désactivées.
Qu’est-ce qui change dès qu’on sort du bureau ?
Trois choses seulement, mais elles comptent.
Le réseau n’est plus le vôtre. Au bureau, vous savez qui est connecté et ce qui filtre les échanges. Chez un collaborateur, le trafic passe par une box que vous n’administrez pas, partagée avec des consoles de jeu, des télévisions et parfois des colocataires.
L’appareil n’est pas toujours le vôtre non plus. Dans beaucoup de PME romandes, le télétravail s’est installé avec le matériel que les gens avaient sous la main. Un ordinateur familial, un téléphone privé sur lequel on a ajouté la messagerie professionnelle.
La surveillance visuelle disparaît. Personne ne remarque plus qu’un écran reste ouvert, qu’un portable est resté sur la table d’un café, ou qu’un collaborateur est en train de suivre les instructions inhabituelles d’un faux courriel. Cette absence de regard extérieur est sous-estimée : elle est pourtant l’une des raisons pour lesquelles les tentatives de fraude au président fonctionnent mieux quand la personne visée travaille seule.
Le wifi public est-il vraiment dangereux ?
La peur classique du wifi d’hôtel appartient largement au passé. Presque tous les sites et services professionnels utilisent aujourd’hui HTTPS, un protocole qui chiffre le contenu entre votre appareil et le service : votre voisin de table ne lit pas vos courriels, même sur un réseau ouvert.
Le risque s’est déplacé vers deux autres points, plus discrets.
Le faux point d’accès. N’importe qui peut créer un réseau nommé « Hotel_Guest » ou « Wifi_Gare_Gratuit ». Le nom d’un réseau ne prouve rien. Une fois connecté, l’attaquant contrôle ce que voit votre appareil : il peut afficher un portail de connexion qui demande une adresse professionnelle et un mot de passe, ou pousser un message d’erreur invitant à installer un « certificat » ou une mise à jour.
La vigilance en déplacement. En mobilité, on lit vite, sur un petit écran, entre deux rendez-vous. C’est exactement le contexte dans lequel un courriel de hameçonnage passe le mieux.
Un collaborateur en séminaire se connecte au réseau de l'hôtel. Une page s'affiche : « Session expirée, reconnectez-vous avec votre adresse professionnelle. » L'habitude des portails captifs fait le reste. Le mot de passe de la messagerie d'entreprise part chez un tiers. Aucun portail wifi légitime n'a besoin de votre mot de passe professionnel.
La parade tient en deux réflexes. Préférer le partage de connexion du téléphone quand c’est possible, c’est simple, rapide et sous votre contrôle. Et n’entrer un identifiant professionnel que sur un site que l’on a ouvert soi-même, jamais depuis une page apparue toute seule.
Le chiffrement du disque : la mesure la plus rentable
S’il ne fallait retenir qu’un point de cet article, ce serait celui-ci.
Un ordinateur portable non chiffré ne protège rien du tout. Le mot de passe de session s’enlève en quelques minutes avec une clé USB de démarrage, ou en sortant simplement le disque pour le brancher ailleurs. Tout ce que contenait la machine devient lisible : contrats, offres, listes de clients, courriels archivés, mots de passe enregistrés dans le navigateur.
Avec un disque chiffré, le même vol devient un problème de matériel. Les données sont illisibles sans le mot de passe, et le sinistre se limite au prix de l’appareil.
Sur Mac, la fonction s'appelle FileVault. Sur Windows Professionnel, BitLocker. Sur les téléphones récents, le chiffrement s'active dès qu'un code de déverrouillage existe. Aucun achat, aucune perte de performance perceptible. Le seul point d'attention : conservez la clé de récupération ailleurs que sur l'appareil, dans le gestionnaire de mots de passe de l'entreprise ou dans un coffre physique.
Vérifiez appareil par appareil, y compris les machines anciennes et celles des personnes qui sont rarement au bureau. C’est précisément là que l’on trouve les oublis.
Faut-il accepter les appareils personnels au travail ?
C’est la question qui met le plus mal à l’aise en PME, parce que la réponse idéale (du matériel fourni à chacun) n’est pas toujours finançable. Autant poser le problème franchement.
Quand un collaborateur travaille depuis sa machine personnelle, l’entreprise ne contrôle ni les mises à jour du système, ni les logiciels installés, ni les autres usages de l’appareil. Vous ne pouvez pas non plus l’effacer à distance, ni y imposer quoi que ce soit sans son accord.
Voici ce qui reste réaliste.
| Situation | Approche réaliste |
|---|---|
| Appareil personnel, accès occasionnel | Tout par navigateur, sans copie locale des fichiers, avec authentification à deux facteurs obligatoire |
| Appareil personnel, usage régulier | Séparer un profil dédié au travail, exiger système à jour et disque chiffré, écrire ce qui est autorisé |
| Données sensibles ou accès administrateur | Matériel fourni par l’entreprise, sans exception |
| Téléphone personnel avec messagerie pro | Code de déverrouillage, mise à jour automatique, capacité à révoquer l’accès à distance |
Un mot sur le dernier point : dans la plupart des outils professionnels (Microsoft 365, Google Workspace et leurs équivalents), vous pouvez révoquer les sessions d’un appareil depuis la console d’administration. Cela ne nettoie pas le téléphone, mais cela coupe l’accès. Sachez où se trouve ce bouton avant d’en avoir besoin.
Enfin, mettez par écrit ce qui est permis. Une page suffit. En cas de départ d’un collaborateur ou d’incident, l’absence de règle écrite est ce qui coûte le plus cher.
L’écran, la session, et les regards
Le verrouillage automatique de session est la mesure la plus simple de toutes, et l’une des moins appliquées. Réglez-la sur quelques minutes d’inactivité, sur les ordinateurs comme sur les téléphones. Un portable ouvert dans un espace de coworking, une salle d’attente ou un train est accessible à qui passe.
Et l’écran lui-même parle. Dans un train, le voisin lit un tableau de salaires ou un nom de client sans effort particulier. Ce n’est pas de la cybersécurité au sens strict, mais la fuite est bien réelle. Un filtre de confidentialité coûte peu et règle le problème pour les personnes qui travaillent souvent en déplacement.
Les données qui n’existent que sur un portable
Voici l’oubli le plus fréquent du travail nomade. La sauvegarde du serveur tourne chaque nuit, personne ne s’inquiète. Sauf que le rapport en cours, les photos du chantier et le fichier de suivi commercial se trouvent uniquement sur un portable, dans un dossier local, et n’ont jamais été copiés nulle part.
Une panne de disque, un vol ou un café renversé suffisent alors à faire disparaître des semaines de travail. Deux réponses fonctionnent, et elles se combinent bien. Faire en sorte que les fichiers de travail se trouvent d’emblée dans un espace synchronisé et sauvegardé, plutôt que sur le bureau de la machine. Et vérifier que cet espace est bien couvert par une vraie sauvegarde, ce qui n’est pas automatique : la synchronisation n’est pas une sauvegarde, comme l’explique notre article sur la règle 3-2-1.
Quel accès à distance faut-il exiger au minimum ?
Si vos collaborateurs doivent atteindre un serveur, un partage de fichiers ou une application hébergée dans vos locaux, trois exigences ne se négocient pas.
Pas de service interne exposé directement sur internet. Un bureau à distance accessible publiquement est scanné et attaqué en permanence par des robots. L’accès doit passer par un tunnel chiffré (VPN) ou par une passerelle prévue pour cela.
L’authentification à deux facteurs sur tout accès distant, y compris le VPN lui-même. Un mot de passe volé par hameçonnage devient alors insuffisant.
Des comptes nominatifs, et une révocation immédiate au départ. Le compte partagé « bureau » dont trois anciens collaborateurs connaissent encore le mot de passe est un classique, et il est indétectable dans les journaux.
Beaucoup d'accès distants ont été ouverts dans l'urgence, en 2020, et personne ne les a refermés depuis. Ils fonctionnent toujours, sans deux facteurs, avec les comptes d'origine. Faites l'inventaire de ce qui est joignable depuis l'extérieur avant de vous demander si le reste est bien configuré. L'outil exposition publique donne un premier aperçu.
Une règle générale ne suffira pas
Ces mesures forment un socle solide, et elles écartent la grande majorité des incidents automatisés. Elles ne disent pourtant pas grand-chose de votre situation à vous.
Le télétravail multiplie les configurations. Une fiduciaire de six personnes dont tout le monde travaille sur un seul logiciel hébergé n’a pas les mêmes points faibles qu’un bureau d’ingénieurs qui déplace des plans de plusieurs gigaoctets, ni qu’un cabinet médical dont les données ne peuvent pas sortir. Et à l’intérieur d’une même entreprise, les usages divergent : un commercial qui travaille depuis son téléphone, un comptable qui rapatrie des fichiers sur son portable, une direction qui consulte ses courriels depuis une tablette familiale.
C’est la limite d’une liste, même bien appliquée. Les vrais écarts se voient en regardant comment les gens travaillent réellement, où transitent les fichiers, quels accès existent encore et qui les utilise. Ce que personne ne déclare spontanément dans un questionnaire, souvent parce que personne ne le perçoit comme un problème.
Commencez par le socle. Le check-up cyber situe votre niveau en quelques minutes, et les autres mesures prioritaires sont regroupées dans le pilier Bonnes pratiques, notamment les 10 mesures essentielles. Ensuite seulement, faites vérifier ce qui compte vraiment chez vous.