Les bonnes pratiques de la cybersécurité au travail
Emails, mots de passe, télétravail, stockage cloud, applications métiers : les usages numériques font partie du quotidien professionnel. Quelques réflexes simples permettent de réduire fortement le risque d’incident et de renforcer la sécurité collective de l’organisation.
Objectif
La cybersécurité ne repose pas uniquement sur les équipes informatiques.
Chaque utilisateur intervient quotidiennement sur des outils susceptibles de donner accès :
- aux données de l’entreprise ;
- aux comptes professionnels ;
- aux documents internes ;
- aux applications métiers ;
- aux réseaux de l’organisation.
Une erreur anodine peut parfois avoir des conséquences importantes.
Un clic sur un faux lien, un mot de passe réutilisé, un ordinateur laissé déverrouillé ou une pièce jointe ouverte trop rapidement peuvent faciliter :
- un vol de compte ;
- une fuite de données ;
- l’installation d’un logiciel malveillant ;
- une fraude ;
- une interruption d’activité.
L’objectif n’est donc pas de transformer chaque salarié en expert informatique.
Il est de développer des réflexes simples, cohérents et répétés.
1. Utiliser des mots de passe uniques
Le premier principe est simple :
Un compte = un mot de passe différent.
Réutiliser le même mot de passe sur plusieurs services crée un risque important.
Si un seul service est compromis, le même identifiant peut ensuite être testé automatiquement sur :
- la messagerie ;
- les réseaux sociaux ;
- les applications professionnelles ;
- les services cloud.
Un mot de passe professionnel ne doit donc jamais être réutilisé sur un compte personnel.
2. Privilégier des mots de passe longs et difficiles à deviner
La longueur constitue un élément important de robustesse.
Lorsque la politique de l’entreprise le permet, une phrase de passe peut être plus simple à retenir qu’une succession complexe de caractères.
Elle doit toutefois rester :
- suffisamment longue ;
- unique ;
- non liée à une information facilement devinable ;
- différente d’un compte à l’autre.
Il faut éviter notamment :
- le prénom ;
- la date de naissance ;
- le nom de l’entreprise ;
- le nom du service ;
- des suites simples ;
- des mots évidents suivis d’une année.
Un mot de passe complexe mais réutilisé partout reste une mauvaise pratique.
3. Utiliser un gestionnaire de mots de passe
Retenir de nombreux mots de passe uniques devient rapidement difficile.
Un gestionnaire de mots de passe permet de stocker les identifiants dans un espace sécurisé et de générer des mots de passe robustes.
Dans un environnement professionnel, il est préférable d’utiliser :
la solution validée par l’organisation.
Il faut éviter de stocker ses mots de passe :
- dans un document non protégé ;
- dans un tableur ;
- dans un email ;
- sur un post-it visible ;
- dans une note non sécurisée sur le téléphone.
4. Activer l’authentification multifacteur
L’authentification multifacteur, souvent appelée MFA ou 2FA, ajoute une protection supplémentaire.
Même si le mot de passe est compromis, l’attaquant doit encore franchir une autre étape.
Cette deuxième vérification peut notamment utiliser :
- une application d’authentification ;
- une clé de sécurité ;
- une validation sur un appareil ;
- un code temporaire.
Lorsqu’une méthode plus robuste est proposée par l’organisation, elle doit être privilégiée.
Le MFA réduit fortement le risque lié au vol de mot de passe, mais il ne supprime pas tous les risques.
5. Ne jamais valider machinalement une demande d’authentification
Certaines attaques reposent sur l’envoi répété de notifications d’authentification.
L’objectif est que l’utilisateur finisse par accepter une demande par fatigue ou automatisme.
Si une notification MFA apparaît alors que vous n’avez tenté aucune connexion :
ne la validez pas.
Signalez l’événement selon la procédure interne.
Une demande d’authentification inattendue peut être le signe qu’un tiers connaît déjà votre mot de passe.
6. Se méfier des emails inhabituels
Le phishing reste l’un des moyens les plus courants pour tenter de tromper un utilisateur.
Le message peut sembler provenir :
- d’un collègue ;
- de la direction ;
- d’une banque ;
- d’un fournisseur ;
- d’un transporteur ;
- du service informatique.
Il peut demander :
- de cliquer sur un lien ;
- d’ouvrir une pièce jointe ;
- de saisir un mot de passe ;
- de valider un paiement ;
- de transmettre un document ;
- de modifier des coordonnées bancaires.
Le niveau de finition des messages frauduleux peut aujourd’hui être très élevé.
L’absence de faute d’orthographe ne garantit donc plus qu’un message est légitime.
7. Méfiez-vous particulièrement de l’urgence
Les attaquants cherchent souvent à empêcher la victime de réfléchir.
Les formulations suivantes doivent attirer l’attention :
« Urgent »
« À traiter immédiatement »
« Votre compte sera bloqué »
« Paiement à effectuer aujourd’hui »
« Ne contactez personne »
« Confidentiel »
Une demande urgente et inhabituelle doit être vérifiée par un autre canal.
Par exemple, appeler directement le collègue ou le fournisseur à partir d’un numéro déjà connu.
8. Vérifier avant de cliquer
Avant d’ouvrir un lien ou une pièce jointe, il faut examiner le contexte.
Quelques questions simples :
- Attendais-je ce message ?
- Connais-je réellement l’expéditeur ?
- La demande est-elle habituelle ?
- Pourquoi me demande-t-on de me reconnecter ?
- Le ton du message correspond-il à celui de la personne ?
- La pièce jointe est-elle cohérente avec notre échange ?
Si quelque chose paraît inhabituel, la bonne réaction n’est pas de « tester ».
Il faut vérifier.
9. Les QR codes peuvent également être utilisés pour le phishing
Le phishing ne passe plus uniquement par des liens visibles.
Des QR codes peuvent être intégrés à :
- un email ;
- un document ;
- une affiche ;
- un faux avis de livraison ;
- une fausse procédure interne.
Le QR code masque la destination réelle avant son ouverture.
Il doit donc être traité avec la même prudence qu’un lien.
10. Garder les systèmes à jour
Les mises à jour corrigent notamment :
- des vulnérabilités ;
- des erreurs ;
- des défauts de sécurité.
Un poste non maintenu peut rester exposé à une faille déjà connue et corrigée par l’éditeur.
Sur un équipement professionnel, l’utilisateur doit respecter les politiques de mise à jour de son organisation.
Il ne faut pas désactiver volontairement :
- les mises à jour ;
- l’antivirus ;
- l’EDR ;
- le pare-feu ;
- les protections installées par l’entreprise.
11. Ne pas installer de logiciel sans autorisation
Télécharger un programme « utile » depuis Internet peut introduire :
- un logiciel malveillant ;
- un logiciel vulnérable ;
- une extension intrusive ;
- un outil non conforme aux politiques de sécurité.
Même une application légitime peut poser problème si elle transmet des données de l’entreprise vers un service non autorisé.
Il faut donc utiliser les logiciels validés par l’organisation.
12. Verrouiller son ordinateur dès que l’on s’absente
Quelques minutes suffisent pour :
- consulter des informations ;
- envoyer un message ;
- copier un fichier ;
- utiliser une session déjà authentifiée.
Le verrouillage du poste doit devenir automatique.
Je quitte mon poste = je verrouille ma session.
Cette règle s’applique :
- au bureau ;
- en salle de réunion ;
- en coworking ;
- en déplacement ;
- au domicile.
13. Séparer les usages professionnels et personnels
Un équipement professionnel doit rester principalement destiné à l’activité professionnelle.
Il est préférable d’éviter :
- les téléchargements personnels ;
- les services de streaming non autorisés ;
- les logiciels personnels ;
- le partage de l’ordinateur avec des proches ;
- l’utilisation de comptes privés pour stocker des documents professionnels.
De la même manière, un document professionnel ne doit pas être transféré vers une adresse personnelle simplement pour « travailler plus facilement ».
Cette séparation réduit les risques de fuite et de perte de contrôle des données.
14. Protéger les documents sensibles
Tous les collaborateurs n’ont pas besoin d’accéder à toutes les informations.
Le principe du moindre privilège consiste à donner uniquement les droits nécessaires à l’exercice de la mission.
Il contribue à réduire les conséquences d’un :
- piratage de compte ;
- mauvais envoi ;
- partage involontaire ;
- départ de collaborateur ;
- incident interne.
Les droits d’accès doivent donc être régulièrement réévalués.
15. Ne pas envoyer les informations sensibles n’importe comment
Avant d’envoyer un document, il faut vérifier :
- le destinataire ;
- le niveau de sensibilité ;
- la solution de partage utilisée ;
- les droits accordés ;
- la durée pendant laquelle le document restera accessible.
Une erreur fréquente consiste à utiliser un lien de partage configuré en :
« Toute personne disposant du lien peut accéder au document. »
Ce type de réglage doit être évité lorsqu’il n’est pas nécessaire.
16. Les sauvegardes doivent être réellement utilisables
Une sauvegarde n’est utile que si elle permet effectivement de restaurer les données.
Une bonne stratégie doit tenir compte de :
- la fréquence ;
- la séparation des sauvegardes ;
- la protection contre les suppressions ;
- la protection contre les ransomwares ;
- la capacité de restauration.
Les entreprises doivent donc tester régulièrement la restauration.
Une sauvegarde jamais testée est une sauvegarde dont on ne connaît pas réellement la valeur.
17. Télétravail : protéger son environnement
À domicile, les réflexes de sécurité doivent rester les mêmes qu’au bureau.
Il faut notamment :
- verrouiller le poste ;
- éviter que des proches utilisent l’ordinateur professionnel ;
- protéger les documents ;
- respecter les procédures d’accès distant ;
- utiliser les équipements fournis par l’entreprise.
Le télétravail ne doit pas conduire à assouplir les règles de sécurité.
18. Wi-Fi public : rester prudent
Les réseaux publics peuvent présenter différents niveaux de sécurité.
L’utilisateur doit respecter les consignes de son organisation concernant les connexions à distance.
Lorsqu’un VPN d’entreprise est prévu, il doit être utilisé conformément aux instructions internes.
Mais un VPN ne constitue pas une autorisation à utiliser n’importe quel réseau sans vigilance.
Lorsque cela est possible, une connexion maîtrisée ou le partage de connexion d’un appareil professionnel peut être préférable à un réseau public inconnu.
19. Attention aux regards indiscrets
La cybersécurité comporte également une dimension physique.
Dans :
- les transports ;
- un hôtel ;
- un espace de coworking ;
- une salle d’attente ;
- un café ;
des informations professionnelles peuvent être visibles par d’autres personnes.
Il faut donc rester attentif :
- à l’écran ;
- aux conversations ;
- aux documents imprimés ;
- aux badges ;
- aux appels professionnels.
Une information sensible peut être compromise sans aucune attaque informatique.
20. Les clés USB et périphériques inconnus présentent un risque
Une clé USB trouvée dans un parking ou reçue d’une source inconnue ne doit pas être branchée sur un poste professionnel.
Les périphériques amovibles peuvent servir à introduire un logiciel malveillant ou à extraire des données.
L’organisation peut également interdire ou limiter leur utilisation.
Cette règle doit être respectée.
21. Protéger aussi le téléphone professionnel
Le smartphone est devenu un véritable terminal professionnel.
Il peut donner accès :
- aux emails ;
- aux documents ;
- aux outils collaboratifs ;
- au MFA ;
- aux contacts.
Il doit donc être protégé par :
- un verrouillage ;
- les mises à jour ;
- les paramètres imposés par l’organisation ;
- le chiffrement lorsqu’il est prévu ;
- la possibilité de suppression à distance dans les environnements gérés.
La perte d’un téléphone professionnel doit être signalée rapidement.
22. La cybersécurité concerne aussi les conversations
Les attaques d’ingénierie sociale ne passent pas uniquement par email.
Une personne peut chercher à obtenir des informations par :
- téléphone ;
- messagerie instantanée ;
- réseau social ;
- rencontre physique.
Il faut donc éviter de communiquer inutilement :
- des identifiants ;
- des procédures internes ;
- des coordonnées privées ;
- des informations sur les systèmes ;
- des données confidentielles.
Une personne qui semble connaître le nom d’un collègue ou d’un dirigeant n’est pas nécessairement légitime.
23. L’intelligence artificielle introduit de nouvelles précautions
Les outils d’intelligence artificielle générative peuvent être utiles dans un environnement professionnel.
Mais copier dans un service non autorisé :
- un contrat ;
- des données clients ;
- un document interne ;
- un code source ;
- des informations confidentielles ;
peut entraîner une perte de maîtrise de l’information.
L’utilisation de ces outils doit donc respecter la politique de l’organisation et la classification des données.
24. Signaler rapidement un incident
L’une des erreurs les plus dangereuses consiste à essayer de cacher une mauvaise manipulation.
Vous avez cliqué sur un lien suspect ?
Vous avez saisi un mot de passe sur une page douteuse ?
Vous avez envoyé un document au mauvais destinataire ?
Vous avez perdu un appareil ?
Il faut signaler immédiatement l’incident.
Une réaction rapide peut permettre de :
- changer un mot de passe ;
- bloquer une session ;
- isoler un ordinateur ;
- supprimer un accès ;
- prévenir d’autres utilisateurs ;
- limiter la propagation.
En cybersécurité, quelques minutes peuvent parfois faire une grande différence.
25. La direction doit créer un environnement favorable au signalement
Les collaborateurs doivent pouvoir signaler une erreur sans craindre automatiquement une sanction.
Une organisation qui décourage les remontées d’incidents risque de découvrir les attaques beaucoup trop tard.
La culture de cybersécurité doit donc favoriser :
- la vigilance ;
- la transparence ;
- le signalement rapide ;
- l’apprentissage collectif.
L’objectif n’est pas de rechercher immédiatement un responsable.
Il est d’abord de limiter les conséquences de l’incident.
Points de vigilance
« Mon mot de passe est complexe, je peux l’utiliser partout »
Non.
Un mot de passe doit également être unique.
« J’ai le MFA, mon compte ne peut plus être piraté »
Non.
Le MFA améliore fortement la sécurité mais certaines techniques de phishing ou de vol de session peuvent encore contourner des protections.
« Je reconnais toujours un faux email grâce aux fautes »
Non.
Les messages frauduleux peuvent aujourd’hui être particulièrement bien rédigés.
« Un VPN rend n’importe quel réseau Wi-Fi sûr »
Non.
Il protège certains échanges mais ne supprime pas tous les risques liés à l’équipement, au réseau ou aux comportements.
« Si j’ai fait une erreur, mieux vaut attendre pour voir s’il se passe quelque chose »
Non.
Un incident potentiel doit être signalé rapidement.
Bonnes pratiques
1. Utiliser un mot de passe unique pour chaque compte.
2. Activer le MFA dès qu’il est disponible et autorisé.
3. Vérifier toute demande inhabituelle ou urgente.
4. Ne jamais communiquer un mot de passe.
5. Verrouiller sa session lorsqu’on s’absente.
6. Installer uniquement les outils autorisés.
7. Respecter les règles de partage et de classification des données.
8. Maintenir ses équipements à jour.
9. Signaler immédiatement toute anomalie ou erreur.
10. Appliquer les politiques de sécurité de l’organisation.
RETEX : l’erreur humaine n’est pas une fatalité
Il est fréquent d’entendre que :
« l’humain est le maillon faible de la cybersécurité ».
Cette formule est trop simplificatrice.
Un collaborateur correctement :
- informé ;
- formé ;
- accompagné ;
- équipé ;
- intégré aux procédures ;
peut au contraire devenir un capteur particulièrement efficace des signaux faibles.
Il peut identifier :
- un message inhabituel ;
- une connexion suspecte ;
- un comportement anormal ;
- une demande frauduleuse.
La sensibilisation ne doit donc pas chercher à culpabiliser l’utilisateur.
Elle doit lui permettre de reconnaître, éviter et signaler les situations à risque.
À retenir
La cybersécurité au travail repose sur une combinaison de technologie, d’organisation et de comportements.
Les principaux réflexes sont simples :
protéger ses comptes ;
vérifier avant de cliquer ;
maintenir ses outils à jour ;
protéger les données ;
verrouiller ses équipements ;
respecter les procédures ;
signaler rapidement les incidents.
La cybersécurité n’est donc pas uniquement l’affaire du service informatique.
Chaque utilisateur contribue à la protection de l’organisation.
Ressources et références institutionnelles
- ANSSI – Guide d’hygiène informatique et recommandations de cybersécurité
- Cybermalveillance.gouv.fr – Bonnes pratiques et assistance aux victimes
- CNIL – Sécurité des données personnelles
- CERT-FR – Alertes et recommandations de sécurité
- ENISA – Sensibilisation et bonnes pratiques de cybersécurité
- Commission européenne – Cybersécurité et protection des organisations
Publication ADESS – Approche opérationnelle
ADESS – Association des Experts en Sécurité et Sûreté
Cette publication a une finalité d’information, de prévention et de sensibilisation aux bonnes pratiques de cybersécurité dans l’environnement professionnel. Elle ne remplace ni la politique de sécurité des systèmes d’information de l’employeur, ni les procédures internes, ni les recommandations des responsables informatiques ou de cybersécurité de l’organisation.
Ibrahima BAH – ID : 13245757