Ordinateur ou téléphone privés utilisés pour le travail : quelques règles simples suffisent à limiter le risque pour l'entreprise.
Le télétravail s'est installé dans beaucoup de petites entreprises, parfois sans véritable décision écrite. Un collaborateur répond à ses courriels depuis son ordinateur personnel, un autre consulte les fichiers partagés depuis une tablette achetée pour les enfants, un troisième transfère des documents vers son téléphone pour les lire dans le train. Chacun de ces usages est raisonnable pris isolément. Ensemble, ils créent une surface d'attaque que l'entreprise ne maîtrise pas.
L'objectif n'est pas d'interdire ces pratiques, qui rendent souvent service, mais de les encadrer. L'ANSSI, dont les recommandations sont publiées sur ssi.gouv.fr, distingue le besoin d'accès aux informations professionnelles de la manière dont cet accès est sécurisé. C'est cette distinction qui doit guider les règles de l'équipe.
Un appareil utilisé pour le travail doit disposer d'un système d'exploitation encore maintenu par son éditeur et de mises à jour installées dans des délais raisonnables. Un ordinateur dont le système n'est plus publié depuis plusieurs années ne doit pas servir à accéder à des données clients. Demandez aussi un verrouillage automatique de session, un code d'accès ou une biométrie, et un antivirus ou une protection équivalente activée.
La séparation la plus efficace consiste à ne pas stocker les données de l'entreprise localement sur l'appareil personnel. Les documents restent dans un espace partagé hébergé, auquel on accède par un navigateur ou une application dédiée, avec une connexion authentifiée. Si l'appareil est volé ou compromis, l'entreprise peut couper l'accès sans avoir à récupérer quoi que ce soit.
Lorsque des fichiers doivent malgré tout être téléchargés, prévoyez un dossier identifié, un nettoyage régulier et une interdiction de les copier sur des clés USB ou des services de stockage personnels. Ces réflexes paraissent contraignants, mais ils évitent la situation la plus courante : des données professionnelles dispersées dans des endroits que personne n'a inventoriés.
La majorité des accès aux outils de travail passent par un mot de passe. Un mot de passe unique par service, conservé dans un gestionnaire, est la base. La double authentification ajoute une seconde preuve d'identité et bloque la plupart des tentatives qui reposent sur un mot de passe volé. Activez-la sur la messagerie professionnelle, sur les outils de partage de fichiers, sur l'espace d'administration du site et sur le compte bancaire de l'entreprise.
Attention aux demandes de validation inattendues : si vous recevez une notification de connexion que vous n'avez pas déclenchée, ne l'acceptez pas. Refusez, changez le mot de passe et prévenez la personne responsable. Une demande répétée est souvent le signe qu'un mot de passe a fuité, et l'utilisateur fatigué finit parfois par valider.
Travailler depuis un café, une gare ou un espace de coworking n'est pas un problème en soi, à condition de ne pas se connecter à un réseau sans protection particulière pour des opérations sensibles. Le plus sûr reste le partage de connexion depuis son téléphone, à condition que celui-ci soit protégé par un code et à jour. Évitez de consulter des données bancaires ou des informations de paie depuis un réseau inconnu, et vérifiez que le site utilisé commence bien par une adresse en HTTPS.
Le verrouillage physique compte autant que le logiciel. Un écran qui reste ouvert dans un train se consulte en quelques secondes. Prenez l'habitude de verrouiller la session dès que l'on quitte le poste, même pour une pause courte.
Une charte de deux pages suffit pour une petite équipe. Elle doit dire quels appareils sont autorisés, quelles données peuvent être consultées à distance, comment signaler une perte ou un vol, et qui répond aux questions. Elle n'a pas besoin de vocabulaire juridique. Relisez-la une fois par an, et après chaque changement d'outil, car c'est souvent à ce moment que les nouveaux usages apparaissent.
La Commission nationale de l'informatique et des libertés (CNIL), sur cnil.fr, rappelle que la sécurité des données traitées à distance fait partie des obligations du responsable de traitement, même lorsque les données ne sont pas sur un serveur de l'entreprise. Cette responsabilité ne disparaît pas parce que le collaborateur travaille de chez lui.
Le bon compromis pour une petite structure tient en trois points : des appareils à jour, un accès authentifié à un espace partagé et une procédure claire en cas de perte. Le reste relève de l'organisation quotidienne, et c'est elle qui fait tenir la sécurité dans la durée.