Une clé trouvée sur un parking ou offerte lors d'un salon peut suffire à faire entrer un logiciel malveillant dans le réseau. Quelques règles simples limitent ce risque.
Une clé USB paraît anodine. Elle tient dans une poche, coûte quelques euros et sert à transporter un document entre deux rendez-vous. C'est précisément pour cette raison qu'elle est un vecteur d'attaque efficace : elle contourne la vigilance qu'on applique aux courriels et aux liens, parce qu'on ne la croit pas dangereuse.
Dans une petite entreprise, les supports amovibles sont partout : clés remises lors d'un événement, disques externes pour les sauvegardes, cartes mémoire d'un appareil photo, clés offertes par un fournisseur. Aucun de ces usages n'est condamnable en soi. Le risque vient de l'absence de règle sur ce qui peut être branché, sur quel ordinateur et pour quoi faire.
Un support amovible peut contenir un programme malveillant qui s'exécute dès que le contenu est ouvert, ou qui profite d'une fonction automatique du système pour se lancer. Certains logiciels malveillants se copient ensuite sur tous les supports connectés à la machine infectée. Le branchement d'une seule clé suspecte peut ainsi contaminer des documents, des dossiers partagés et des sauvegardes.
Le risque de fuite est tout aussi réel. Une clé perdue contient souvent une copie complète d'un dossier client, d'une liste de salariés ou d'un fichier de comptabilité. Sans chiffrement, celui qui la trouve peut lire tout ce qu'elle contient. Au regard du RGPD, cette perte peut aussi devoir être analysée comme une violation de données personnelles.
Une règle claire vaut mieux qu'une consigne vague. Elle doit dire quels supports sont autorisés, qui peut les utiliser, et ce qu'il faut faire d'un support trouvé ou reçu. Le plus simple est de limiter les supports à ceux fournis par l'entreprise, identifiés et inventoriés, et d'interdire le branchement d'un support personnel sur les ordinateurs qui contiennent des données professionnelles.
Beaucoup de clés circulent parce qu'il n'existe pas d'autre moyen de partager un fichier. Un espace de stockage en ligne, correctement configuré, avec des droits par personne et une traçabilité des accès, répond mieux à ce besoin. Il évite les copies multiples et les versions qui se perdent. Vérifiez toutefois que l'hébergement respecte les règles de protection des données que vous devez appliquer.
Lorsqu'un support doit transporter des données personnelles ou confidentielles, il doit être chiffré. Les systèmes d'exploitation récents proposent des fonctions de chiffrement de disque ou de support, et les outils de compression chiffrée permettent de protéger un fichier isolé. Le mot de passe de déchiffrement doit être transmis par un autre canal que celui qui transporte le fichier. Le chiffrement ne supprime pas le risque, mais il rend la perte beaucoup moins grave.
La CNIL rappelle que le chiffrement fait partie des mesures recommandées pour protéger les données, en particulier lorsqu'elles sortent de l'entreprise. Sur ce point, les recommandations publiées sur cnil.fr donnent un cadre utile pour décider quels fichiers doivent être chiffrés.
Si un support inconnu a été branché sur un ordinateur, il faut déconnecter la machine du réseau, sans l'éteindre, puis prévenir le responsable informatique ou le prestataire. Ne pas ouvrir les fichiers du support pour vérifier et ne pas le réutiliser. Un antivirus à jour et une analyse complète du poste permettent souvent de détecter le problème, mais une analyse ne dispense pas de vérifier les comptes utilisés sur la machine.
Pour les équipes qui travaillent à distance, la question se pose autrement. Une clé utilisée à domicile, sur un ordinateur personnel, échappe encore plus facilement au contrôle de l'entreprise. Si le télétravail impose des transferts de fichiers, il faut prévoir un canal qui ne dépend pas d'un support physique, et l'indiquer dans la charte informatique. Les supports utilisés pour un usage ponctuel doivent aussi être effacés proprement avant d'être réaffectés, car un fichier supprimé reste récupérable tant qu'il n'a pas été écrasé.
La sécurité des supports amovibles tient à une règle simple : savoir à tout moment ce qui est branché, par qui et pourquoi. Une liste courte, des supports identifiés et une consigne partagée suffisent à réduire fortement ce risque discret.