Le périmètre réseau classique n’existe plus dès qu’un poste de travail quitte les locaux. Nous observons que la majorité des architectures de sécurité déployées avant la généralisation du télétravail reposaient sur une confiance implicite accordée au réseau interne. Cette hypothèse s’effondre quand le salarié se connecte depuis une box domestique partagée avec une console de jeu, une caméra connectée et un NAS personnel.
Sécurité télétravail et accès conditionnel : dépasser le VPN seul
Un tunnel VPN chiffre le trafic, mais ne dit rien sur l’état du terminal qui s’y connecte. Un poste dont l’antivirus est désactivé, dont l’OS n’est pas à jour ou dont le disque n’est pas chiffré reste une porte ouverte, même derrière un VPN correctement configuré.
A découvrir également : La double authentification renforce la sécurité des comptes professionnels
C’est la raison pour laquelle l’accès conditionnel fondé sur le « device health » remplace progressivement le VPN comme critère de confiance. Le principe : avant d’autoriser une session, le système vérifie la conformité du poste (version de l’OS, état du pare-feu, présence d’un agent EDR, chiffrement actif). Si le terminal échoue à l’un de ces contrôles, l’accès est refusé ou limité à un périmètre restreint.
Cette approche s’inscrit dans le cadre Zero Trust, qui impose une vérification continue des accès plutôt qu’une confiance accordée une fois pour toutes à l’entrée du réseau. Concrètement, chaque requête est évaluée selon la localisation, le comportement de l’utilisateur et l’état du poste, pas uniquement selon la validité d’un identifiant.
A découvrir également : Site pour regarder compte insta : erreurs fréquentes qui trahissent votre identité
Shadow IT en télétravail : la surface d’attaque invisible
Les retours terrain convergent sur un point que les articles grand public traitent rarement en profondeur : la multiplication des chemins d’accès non maîtrisés. Un salarié qui transfère un fichier via un service de partage personnel pour « aller plus vite », un manager qui ouvre un accès temporaire à un prestataire sans passer par l’IT, une exception accordée pendant une urgence et jamais révoquée.
Ces exceptions deviennent des usages installés sans supervision formelle. Chaque outil non référencé dans l’inventaire de l’entreprise élargit la surface d’attaque sans que l’équipe cybersécurité en ait connaissance.
Inventaire des terminaux et révocation des accès
La gestion des terminaux est devenue aussi stratégique que la gestion des identités. Nous recommandons un inventaire actualisé des appareils réellement connectés au SI, avec contrôle de conformité automatisé. Au départ d’un collaborateur, la révocation des accès doit être immédiate, sur l’ensemble des services cloud et applicatifs, pas uniquement sur le compte Active Directory.
- Supprimer les comptes partagés, qui rendent impossible l’attribution d’une action à un utilisateur précis et faussent toute investigation post-incident
- Bloquer l’enrôlement d’appareils personnels non conformes à la politique de sécurité (pas de BYOD sans agent de contrôle)
- Automatiser la détection de nouvelles applications SaaS utilisées sans validation, via l’analyse des logs DNS ou des flux réseau sortants
Conformité cyber-assurance et télétravail : des exigences désormais contractuelles
Un angle encore peu traité par les contenus existants concerne les exigences des assureurs cyber. Les couvertures en responsabilité informatique intègrent désormais des prérequis techniques explicites. Un sinistre survenu sur un poste distant non conforme peut entraîner un refus d’indemnisation.
Parmi les mesures minimales attendues par la plupart des contrats récents :
- Authentification multifacteur (MFA) activée sur l’ensemble des accès distants, sans exception pour les comptes de service
- Utilisation d’un VPN professionnel géré par l’entreprise, distinct de toute solution grand public
- Séparation stricte des équipements professionnels et personnels
- Programme de formation continue des salariés aux risques cyber, avec traçabilité des sessions suivies
Ne pas respecter ces critères ne relève plus d’un simple risque technique. C’est un risque financier direct, puisque l’assureur peut opposer un défaut de conformité pour refuser la prise en charge.
Charte informatique et télétravail : formaliser les obligations
La charte informatique de l’entreprise doit couvrir explicitement le contexte du travail à distance. Les obligations du salarié en matière de protection des données, d’usage des équipements et de signalement d’incident doivent y figurer sans ambiguïté. Cette charte constitue aussi une pièce justificative en cas de litige avec un assureur ou lors d’un contrôle de conformité RGPD.
Sécurité des données en environnement domestique : ce que l’employeur ne contrôle pas
Le réseau domestique du salarié échappe par définition à l’administration de l’entreprise. Firmware du routeur obsolète, Wi-Fi protégé par un mot de passe faible, objets connectés sur le même sous-réseau que le poste professionnel : autant de vecteurs d’attaque que l’employeur ne peut ni auditer ni corriger directement.
La segmentation réseau côté poste devient alors la seule parade réaliste. Un agent installé sur le terminal peut isoler le trafic professionnel du reste du réseau local, sans exiger du salarié qu’il reconfigure sa box ou qu’il investisse dans du matériel dédié.
Formation ciblée plutôt que sensibilisation générique
Les campagnes de sensibilisation classiques (affiches, quiz annuels) montrent leurs limites quand le salarié travaille seul face à son écran. Nous observons une efficacité supérieure des formations contextuelles : simulations de phishing adaptées au secteur d’activité, alertes en temps réel lors d’un comportement à risque détecté par l’agent endpoint, retours individualisés après un incident.
La cybersécurité en télétravail ne se résout pas par une liste de conseils génériques. Elle exige une architecture technique adaptée, une gouvernance des accès sans compromis et une prise en compte des contraintes assurantielles. Les entreprises qui traitent encore le travail à distance comme une simple extension du bureau s’exposent à des incidents dont le coût dépasse largement celui des solutions de protection.
