Six ans après la généralisation du travail à distance, beaucoup d’organisations fonctionnent encore avec des dispositifs montés dans l’urgence. Les risques, eux, ont changé d’échelle. En France, le télétravail n’est plus une solution de crise. Il est inscrit dans les accords d’entreprise, intégré aux offres d’emploi et attendu par une large partie des salariés. Les outils, en revanche, n’ont pas toujours suivi. Dans de nombreuses PME, les accès à distance installés au printemps 2020 n’ont jamais été vraiment revus.
Or les cybercriminels ont bien compris que le salarié à domicile, sur sa box personnelle ou dans un espace de coworking, est souvent le maillon le plus exposé. Avec la directive européenne NIS 2, qui élargit les obligations de cybersécurité à un grand nombre d’entreprises de taille moyenne, la question devient aussi réglementaire.
Ce que recommandent les autorités. La CNIL a publié des conseils pour mettre en place le télétravail qui restent une base solide : rédiger une charte de sécurité, équiper chaque poste d’un pare-feu et d’un antivirus, éviter d’exposer directement les services internes sur Internet et activer l’authentification à deux facteurs dès que possible. Elle recommande aussi de consulter régulièrement les journaux d’accès pour repérer les comportements suspects.
Quatre chantiers prioritaires
Pour les entreprises qui veulent remettre leur organisation à plat avant 2027, quatre points méritent une attention particulière :
- Les postes de travail : mises à jour automatiques, chiffrement des disques, séparation claire entre ordinateur personnel et professionnel.
- Les identités : authentification à deux facteurs pour tous, et suppression immédiate des accès au départ d’un collaborateur.
- Les accès à distance : c’est souvent là que tout se joue. Un VPN pour entreprise bien configuré évite d’ouvrir les ressources internes au reste du web. Les solutions récentes reposent sur une logique Zero Trust : les accès sont définis par équipe, l’A2F peut être imposée à toute l’organisation et des journaux d’audit retracent les connexions. Pour une petite équipe informatique, le fait de tout gérer depuis un tableau de bord unique fait une vraie différence.
- Les outils de communication : les applications grand public ajoutent régulièrement des fonctions pensées pour le travail, comme les appels invités désormais proposés par WhatsApp. Pratiques, elles ne remplacent pas une liste d’outils validés par l’entreprise, avec des règles claires sur les données qui peuvent y circuler.
Le facteur humain reste décisif
La technique ne suffit pas. Un faux mail du « service informatique » qui demande de se reconnecter au VPN, une clé USB trouvée, un écran visible dans un train : la plupart des incidents commencent par une erreur humaine. Sensibiliser régulièrement les équipes, avec des exemples concrets plutôt qu’une formation annuelle oubliée le lendemain, reste l’une des mesures les plus rentables.
Le télétravail s’est installé durablement dans les habitudes françaises. Pour les entreprises, l’enjeu des prochains mois n’est plus de permettre le travail à distance, mais de le rendre aussi sûr que le travail au bureau.