Cybersécurité en télétravail : 10 règles pour travailler à distance
Pour télétravailler en sécurité, passez par le VPN de votre employeur, gardez un ordinateur réservé au travail et activez la double authentification sur vos comptes professionnels. Chez vous, changez le mot de passe de votre box et appliquez les mises à jour. En déplacement, évitez les Wi-Fi publics et partagez plutôt la connexion de votre téléphone.
Le télétravail sort l’ordinateur des protections de l’entreprise pour le brancher sur une box familiale ou le Wi-Fi d’un café. Ce guide réunit les règles à suivre, que vous soyez salarié, indépendant ou dirigeant d’une petite structure.
Les risques propres au télétravail
À la maison, l’ordinateur professionnel partage la box avec la console des enfants, la télévision connectée et les téléphones de toute la famille. Il n’a plus autour de lui le pare-feu ni la surveillance du réseau de l’entreprise. Les attaquants le savent et adaptent leurs pièges : courriels qui imitent le service informatique, faux liens de visioconférence, appels d’un prétendu technicien qui demande à prendre la main sur le poste. Ces techniques d’ingénierie sociale en entreprise visent en priorité le salarié isolé, qui ne peut pas demander l’avis du collègue d’à côté.
Deux autres risques reviennent souvent. Le premier, c’est l’usage d’outils que l’entreprise n’a pas validés : une messagerie personnelle pour envoyer un fichier trop lourd, un convertisseur PDF en ligne, un espace de stockage gratuit. Les spécialistes parlent de shadow IT. Le second est matériel : un ordinateur oublié dans un train ou volé dans une voiture, avec des fichiers clients dessus.
10 règles pour télétravailler en sécurité
1. Se connecter par le VPN de l’entreprise
Le VPN crée un tunnel chiffré entre votre ordinateur et le réseau de l’entreprise. Ce que vous envoyez ne peut plus être lu par le fournisseur d’accès ou par un voisin connecté au même Wi-Fi. Lancez la connexion VPN dès l’ouverture de session et ne la coupez pas de la journée, même si une application semble fonctionner sans. Si vous êtes indépendant, un VPN grand public protège vos échanges sur un réseau inconnu : notre test des meilleurs VPN compare les offres gratuites et payantes.
2. Installer les mises à jour sans attendre
La plupart des attaques réussies exploitent une faille déjà corrigée par l’éditeur. Acceptez les mises à jour de Windows, de macOS, du navigateur et des logiciels de travail dès qu’elles sont proposées, et redémarrez quand le système le demande. Un ordinateur encore sous Windows 10 ne reçoit des correctifs que s’il est inscrit au programme ESU de Microsoft, prolongé jusqu’au 12 octobre 2027. Pensez aussi à la box : les fournisseurs d’accès la mettent à jour à distance, mais un redémarrage de temps en temps permet d’appliquer les correctifs en attente.
3. Protéger ses comptes par un mot de passe unique et la double authentification
Un mot de passe réutilisé suffit à ouvrir tous vos comptes dès qu’un seul site se fait pirater. Choisissez un mot de passe fort différent pour chaque service et confiez le tout à un gestionnaire de mots de passe. Activez ensuite la double authentification sur la messagerie, le VPN et les outils collaboratifs. Une application d’authentification ou une clé physique vaut mieux qu’un code reçu par SMS.
4. Séparer les usages professionnels et personnels
L’ordinateur fourni par l’employeur sert au travail, et à rien d’autre. Les enfants n’y jouent pas, vous n’y installez pas de logiciel personnel et vous n’y branchez pas une clé USB trouvée ou prêtée. Dans l’autre sens, évitez de traiter des documents de l’entreprise sur votre ordinateur familial. Ce principe de séparation des usages limite les dégâts : un virus attrapé sur un site de jeux ne remonte pas jusqu’au réseau de votre employeur.
5. Sécuriser sa box Wi-Fi
Changez le mot de passe d’administration de la box s’il est encore celui inscrit sur l’étiquette. Vérifiez aussi que le Wi-Fi utilise le chiffrement WPA3, ou WPA2 à défaut. Si votre box le permet, créez un réseau invité pour les objets connectés et les visiteurs, et gardez le réseau principal pour l’ordinateur de travail. Notre guide pour sécuriser sa box Orange détaille ces réglages, et ils se retrouvent sous des noms proches chez les autres fournisseurs.
6. Verrouiller l’écran et se protéger des regards
Verrouillez la session à chaque fois que vous quittez votre poste, même pour deux minutes : touches Windows et L sur PC, Contrôle, Commande et Q sur Mac. Réglez aussi un verrouillage automatique après quelques minutes d’inactivité. Dans un logement partagé ou un espace de coworking, un filtre de confidentialité posé sur l’écran empêche de lire vos documents de côté. Pour les appels où il est question de clients ou de chiffres, choisissez une pièce fermée et un casque.
7. Éviter les Wi-Fi publics
Le Wi-Fi d’une gare, d’un hôtel ou d’un café est partagé avec des inconnus, et rien ne garantit que le réseau qui porte le nom de l’établissement soit bien le sien. Partagez plutôt la connexion de votre téléphone, qui reste sous votre contrôle. Si vous n’avez pas le choix, activez le VPN avant toute autre action et ne vous connectez à aucun compte sensible. Les précautions à prendre sur un Wi-Fi public sont détaillées dans notre article dédié.
8. Sauvegarder ses fichiers sur les espaces de l’entreprise
Enregistrez vos documents sur le serveur ou l’espace de stockage fourni par votre employeur plutôt que sur le bureau de l’ordinateur. Ils sont alors sauvegardés automatiquement, et une panne ou un vol ne fait rien perdre. Si vous êtes indépendant, appliquez la règle des trois copies : l’original, une copie sur un disque externe débranché après usage, et une copie dans un stockage en ligne européen comme kDrive d’Infomaniak. Une sauvegarde débranchée est la seule parade fiable contre un rançongiciel.
9. Utiliser les outils de visioconférence validés
N’installez pas un logiciel de visioconférence parce qu’un correspondant inconnu vous envoie un lien. Les faux liens de réunion sont un piège courant pour faire installer un programme malveillant ou voler des identifiants. Rejoignez les réunions depuis l’application déjà installée par votre entreprise. Les outils collaboratifs les plus répandus sont eux aussi visés, comme le montrent les cyberattaques sur Microsoft Teams. Pour les échanges sensibles, des solutions françaises comme Tixeo, qualifiée par l’ANSSI, chiffrent les échanges de bout en bout.
10. Signaler tout incident sans attendre
Un clic sur un lien douteux, un message d’erreur inhabituel ou un ordinateur soudain très lent : prévenez le service informatique tout de suite, même si vous craignez d’avoir fait une erreur. Quelques minutes de gagnées suffisent parfois à empêcher une attaque de se propager. Notre guide J’ai cliqué sur un lien suspect indique les premiers gestes.
Télétravailler en déplacement : train, café, hôtel
En déplacement, le premier risque est la perte ou le vol. Gardez l’ordinateur sur vous ou à vos pieds, jamais dans le compartiment à bagages au bout du wagon ni visible sur le siège d’une voiture. Dans le train, l’écran est lisible par tout le couloir : réservez aux trajets les tâches sans données sensibles et parlez de clients à voix basse, ou pas du tout.
À l’hôtel, ne laissez pas l’ordinateur allumé dans la chambre et utilisez le coffre quand il est assez grand. Évitez aussi les ports USB de recharge publics des gares ou des aéroports : votre propre chargeur branché sur une prise secteur ne présente aucun risque. Pour les voyages hors de l’Union européenne, l’ANSSI recommande de partir avec un ordinateur ne contenant que les données utiles à la mission.
Ce que l’employeur doit prévoir
Le salarié applique les règles, mais c’est l’employeur qui fournit les moyens. Une petite entreprise qui ouvre le télétravail devrait au minimum :
- fournir un ordinateur professionnel, à jour et chiffré ;
- imposer le VPN et la double authentification pour tous les accès à distance ;
- rédiger une charte du télétravail claire sur les outils autorisés ;
- former les équipes à reconnaître l’hameçonnage ;
- désigner une personne à prévenir en cas d’incident.
Plusieurs éditeurs français répondent à ces besoins. TheGreenBow et Stormshield proposent des clients VPN qualifiés par l’ANSSI. HarfangLab et Tehtris éditent des outils de détection (EDR) qui repèrent un comportement suspect sur les ordinateurs à distance. Tixeo couvre la visioconférence sécurisée. Notre sélection des outils de cybersécurité en entreprise les présente avec leurs équivalents internationaux. Pour les indépendants, nos 10 conseils de cybersécurité pour les microentrepreneurs adaptent ces mesures à une activité sans service informatique.
Que faire en cas d’incident ?
- Déconnectez l’ordinateur du réseau : coupez le Wi-Fi ou débranchez le câble, sans éteindre la machine, pour que les traces restent exploitables.
- Prévenez le service informatique ou votre prestataire, en décrivant ce que vous avez vu et à quelle heure.
- Depuis un autre appareil, changez le mot de passe des comptes qui ont pu être exposés.
- Si vous êtes indépendant, faites le point sur cybermalveillance.gouv.fr, qui oriente vers un prestataire de proximité, et déposez plainte en cas de vol de données ou de demande de rançon.
FAQ
Peut-on utiliser son ordinateur personnel pour télétravailler ?
C’est possible si l’employeur l’autorise, mais c’est la solution la moins sûre : l’ordinateur familial sert à tout le monde et ses logiciels échappent au contrôle de l’entreprise. Dans ce cas, créez une session Windows ou macOS réservée au travail, utilisez uniquement les accès à distance fournis par l’employeur et n’enregistrez aucun fichier professionnel en local.
Faut-il un VPN chez soi ?
Si votre employeur en fournit un, oui, il faut l’utiliser à la maison comme ailleurs : c’est lui qui protège l’accès au réseau de l’entreprise. Pour un usage personnel sur votre box, un VPN n’est pas indispensable. Il devient utile dès que vous vous connectez à un réseau que vous ne maîtrisez pas.
L’employeur peut-il surveiller l’ordinateur en télétravail ?
L’employeur peut contrôler l’usage du matériel qu’il fournit, à condition que ce contrôle soit proportionné et que les salariés en soient informés au préalable. La CNIL considère qu’une surveillance permanente, comme des captures d’écran régulières ou un partage de la webcam imposé en continu, est excessive.
Que faire si le service informatique demande votre mot de passe par courriel ?
Ne répondez pas. Aucun service informatique n’a besoin de votre mot de passe pour intervenir. Appelez le support par le numéro habituel pour vérifier la demande, puis signalez le message comme hameçonnage.
Sources : ANSSI, Recommandations sur le nomadisme numérique ; Cybermalveillance.gouv.fr, fiche pratique télétravail ; IT-Connect, prolongation du programme ESU de Windows 10 jusqu’en octobre 2027 ; CNIL, foire aux questions sur le télétravail.
