Le télétravail : une faille de plus dans la sécurité des entreprises ?

Cette éventualité semble séduire les salariés. Plus de 60 % d’entre eux souhaiteraient faire du télétravail. La même proportion a émis le souhait de pouvoir le faire au moins plusieurs jours par semaine ou de temps en temps, d’après les résultats d’une étude de l’institut Odaxa, publiée en avril 2015.

Cette évolution des comportements est facilitée par les multiples solutions permettant de travailler à distance : visioconférence, ordinateur portable, messageries instantanées, calendrier partagé, smartphones, etc.

Revers de la médaille, ces multiples accès au réseau informatique de l’entreprise sont autant de failles de sécurité. Le télétravail peut être l’occasion pour les entreprises de profiter d’une souplesse et d’une meilleure productivité (pas de perte de temps avec les transports notamment). Mais le télétravail doit être aussi l’occasion pour les entreprises de renforcer leur politique de sécurité et notamment de mettre en place une gestion très précise des accès et des identités.

Les postes de travail des collaborateurs travaillant depuis leur domicile doivent être configurés de façon à ce que les risques d’infection virale soient limités et que les fuites de données sensibles soient réduites. Antivirus, pare-feu, logiciel antispam, mais aussi VPN (réseau virtuel privatif) et carte à puce intégrée au PC (pour authentifier les accès à distance) doivent être installés et mis à jour automatiquement.

Sensibilisation à tous les étages

La sensibilisation de tous les salariés est également prioritaire afin que chacun applique les règles essentielles de la sécurité informatique. Les salariés ne doivent pas cliquer sur des pièces jointes à des emails envoyés par des inconnus ou usurpant une identité. De leur côté, les responsables informatiques doivent mettre en place une politique stricte des accès afin d’autoriser telle ou telle personne à se connecter à tel ou tel service (ou application) et à faire telle ou telle tache. « Cela implique de définir précisément la zone de confiance, car il y a des risques d’usurpation d’identité. Cela implique de supprimer tous les comptes génériques et les remplacer par des comptes nominaux avec, pour chaque personne, la liste des opérations autorisées », insiste Dominique Meurisse, Chief Operating Officer de Wallix, un éditeur français de solutions de sécurité informatique spécialisé dans la traçabilité et la sécurisation des accès privilégiés aux systèmes d’informations des entreprises.

Grâce à des règles simples, il est possible de contrôler l’ensemble des accès à des équipements réseau. Ces règles sont définies en fonction de critères précis : l’adresse IP de l’utilisateur, son email, son login, les plages horaires auxquelles il est autorisé à accéder auxdits équipements, le type de session (interactive, transfert de fichiers, etc.) ou le protocole.

Les responsables informatiques doivent aussi proposer des plates-formes sécurisées de collaboration pour éviter les supports de stockage amovibles. Ils doivent aussi inciter les collaborateurs à utiliser un chiffrement complexe pour leur routeur à domicile. Même si vous devez assister l’utilisateur lors de la configuration ou proposer un point d’accès 4G (qui offre ce type de protection) à un prix préférentiel, c’est une étape nécessaire pour sécuriser les réseaux à domicile.

Séparation

Mais pour les experts du Laboratoire de virologie et de cryptologie, dépendant de l’ESIEA (une école d’ingénieurs du numérique), « le télétravail est comme incompatible avec le SI de l’entreprise. Pourquoi vouloir sécuriser un équipement qui, par sa nature instable, est une menace pour la sécurité du SI ? L’idéal serait d’utiliser au sein de cet équipement un conteneur logiciel étanche. Celui-ci serait une extension logique de l’entreprise au sein du terminal de l’employé. Relié au réseau local via un tunnel chiffré (Virtual Private Network (VPN)) lui aussi étanche, le conteneur aurait accès aux applications métiers et aux ressources de l’entreprise de manière sécurisée. L’utilisation d’un conteneur apporte une séparation forte entre une utilisation personnelle et une utilisation professionnelle ».

Ne pas mettre ses œufs dans le même panier est une règle qui peut paraître banale, mais qui a démontré son efficacité…

Par Philippe Richard