Si vous ne deviez faire qu'une seule chose pour sécuriser le travail à distance, ce serait activer la double authentification sur l'ensemble des comptes professionnels, à commencer par ceux de la direction et de la comptabilité. Cette mesure neutralise la quasi totalité des tentatives d'intrusion qui reposent sur un mot de passe volé, et son inconfort se limite à quelques secondes lors des connexions inhabituelles. Le reste des mesures utiles suit une même logique : elles ne consistent pas à ajouter des obstacles partout, mais à faire en sorte que les contrôles se déclenchent uniquement quand la situation sort de l'ordinaire.
En résumé
- La double authentification sur tous les comptes est la mesure au meilleur rapport entre effort et protection.
- Ce qui exaspère les équipes n'est pas la sécurité elle-même mais son application aveugle, sans tenir compte du contexte.
- Un accès distant doit ouvrir une application précise, jamais l'ensemble du réseau interne à un poste inconnu.
- L'appareil compte autant que le mot de passe : un ordinateur personnel non géré reste le maillon faible de la chaîne.
- La procédure de départ d'un salarié fait partie de la sécurité des accès, au même titre que les outils techniques.
Pourquoi le mot de passe seul ne suffit plus
Les attaques qui touchent les PME reposent rarement sur des prouesses techniques. Le scénario le plus courant consiste à obtenir un identifiant et un mot de passe, soit par un courriel imitant une page de connexion, soit en réutilisant des identifiants issus d'une fuite sur un autre service. À partir de là, l'attaquant se connecte normalement, sans rien casser, et personne ne remarque quoi que ce soit avant plusieurs semaines.
Ce mode opératoire s'effondre dès qu'une seconde preuve est demandée. Le code temporaire ou la validation sur téléphone transforme un mot de passe volé en information sans valeur. C'est la raison pour laquelle cette mesure figure en tête de toutes les recommandations publiques, notamment celles diffusées par le dispositif public d'assistance sur cybermalveillance.gouv.fr.
Le second réflexe, complémentaire, est le gestionnaire de mots de passe. Il supprime la pratique du mot de passe unique réutilisé partout et permet de partager proprement des accès de service sans les faire circuler par courriel. Les équipes l'adoptent bien à condition qu'on leur explique le gain personnel, pas seulement l'obligation.
Faire en sorte que la sécurité ne se voie presque pas
La plainte la plus fréquente des salariés ne porte pas sur l'existence de contrôles mais sur leur répétition inutile. Redemander une validation dix fois par jour à une personne assise au bureau, sur son ordinateur habituel, ne protège de rien et détruit l'adhésion.
Les plateformes professionnelles permettent aujourd'hui de moduler ces contrôles selon le contexte : appareil reconnu ou non, connexion depuis un pays inhabituel, application sensible ou consultation de routine. Une connexion depuis le poste de travail habituel passe sans friction, une connexion depuis un appareil inconnu déclenche une vérification. Cette approche coûte une configuration initiale et supprime durablement les frottements quotidiens.
Elle suppose en revanche d'avoir identifié les appareils de l'entreprise, ce qui rejoint la gestion du parc matériel. Sans inventaire à jour, aucune règle contextuelle ne peut fonctionner.
Accès distant : ouvrir une porte, pas le bâtiment
Beaucoup de PME utilisent encore un accès distant qui, une fois établi, place le poste de l'utilisateur à l'intérieur du réseau de l'entreprise comme s'il était au bureau. Ce fonctionnement était la norme il y a quinze ans. Il pose un problème simple : si l'ordinateur du salarié est compromis, la menace se retrouve mécaniquement à l'intérieur.
L'approche actuelle consiste à publier les applications dont les gens ont besoin plutôt que d'ouvrir le réseau. L'utilisateur accède à son logiciel de gestion, à ses fichiers et à sa messagerie, sans que son poste puisse atteindre les serveurs, les imprimantes ou les autres machines. Cette bascule ne se fait pas en un jour, mais elle peut être menée progressivement, application par application, en commençant par les usages les plus fréquents. Les aspects réseau de cette transformation sont détaillés dans nos contenus sur le réseau et la téléphonie.
| Situation | Risque principal | Mesure adaptée | Effort à prévoir |
|---|---|---|---|
| Salarié en télétravail sur poste fourni | Vol d'identifiants par courriel piégé | Double authentification et filtrage des messages | Faible, quelques heures de configuration |
| Salarié utilisant son ordinateur personnel | Machine non maîtrisée et non mise à jour | Accès limité aux applications en ligne, sans copie locale | Modéré, avec accompagnement des utilisateurs |
| Déplacement à l'étranger | Connexion depuis un réseau non fiable | Règle contextuelle et tunnel chiffré imposé | Faible une fois la politique définie |
| Prestataire externe ponctuel | Accès conservé après la mission | Compte à durée limitée et périmètre restreint | Faible, mais demande de la rigueur |
| Départ d'un salarié | Accès actifs après la fin du contrat | Procédure de sortie déclenchée par les ressources humaines | Organisationnel, sans coût technique |
L'appareil compte autant que le compte
Un salarié qui se connecte depuis un ordinateur familial partagé, sans mise à jour et sans chiffrement du disque, présente un risque que la double authentification ne couvre pas entièrement. Deux voies existent et se choisissent selon votre budget et votre culture d'entreprise.
La première consiste à fournir du matériel, administré par l'entreprise, avec mises à jour automatiques, chiffrement du disque, verrouillage automatique de la session et possibilité d'effacement à distance en cas de perte. C'est la voie la plus nette et la plus simple à faire respecter.
La seconde accepte l'usage d'appareils personnels mais restreint ce qu'ils peuvent faire : accès aux applications en ligne uniquement, interdiction de télécharger des documents en local, session qui expire. Elle demande davantage de pédagogie et un cadre écrit accepté par les salariés, mais elle évite l'achat de matériel supplémentaire.
Le facteur humain, sans discours moralisateur
La sensibilisation fonctionne mal quand elle prend la forme d'une réunion annuelle culpabilisante. Elle fonctionne bien quand elle est courte, régulière et concrète : montrer un vrai courriel frauduleux reçu par l'entreprise, expliquer ce qui aurait dû alerter, rappeler à qui signaler un doute.
Le point le plus important est de rendre le signalement facile et sans conséquence. Un salarié qui craint d'être blâmé pour avoir cliqué ne dira rien, et vous perdrez les heures qui comptent le plus. Une adresse dédiée, une consigne claire et l'assurance qu'aucune sanction ne suivra un signalement de bonne foi valent mieux qu'une charte de dix pages. Des supports gratuits destinés aux PME sont disponibles sur cybermalveillance.gouv.fr.
La procédure de départ, angle mort récurrent
La meilleure configuration technique ne sert à rien si un ancien salarié conserve l'accès à sa messagerie trois mois après son départ. Cette situation est fréquente parce que la sortie est un sujet partagé entre les ressources humaines, la direction et l'informatique, et qu'un sujet partagé finit par n'appartenir à personne.
Écrivez une liste de contrôle courte, déclenchée par les ressources humaines le jour de la sortie : désactivation du compte, révocation des sessions actives sur tous les appareils, transfert de la boîte au responsable, récupération du matériel, retrait des accès aux services tiers et changement des mots de passe partagés que la personne connaissait. Ce dernier point est celui qu'on oublie le plus souvent.
Ce sujet croise directement celui des sauvegardes, puisqu'un départ mal géré s'accompagne parfois de suppressions de fichiers : nos contenus sur la sauvegarde détaillent les délais de récupération dont vous disposez réellement. Si vous cherchez un intervenant pour mettre tout cela en place, notre annuaire de prestataires informatiques permet de comparer les structures par ville, et le classement national offre un premier repère.
