Informatique & sécurité
Télétravail et sécurité informatique : ce qu'une TPE doit encadrer avant d'autoriser le travail à distance
7 min de lecture
Un salarié qui travaille deux jours par semaine depuis chez lui se connecte, sans y penser, avec sa box internet grand public, parfois sur un ordinateur familial partagé, à la messagerie et aux outils de l'entreprise. Rien de choquant à cela — le télétravail s'est installé durablement dans beaucoup de TPE — mais chaque connexion de ce type ouvre une porte vers le système d'information de l'entreprise que personne n'a vraiment vérifiée.
Pas besoin d'interdire le télétravail pour autant. Il s'agit simplement de l'encadrer avec quelques règles concrètes, avant de l'autoriser plutôt qu'après un incident. Voici ce qu'une TPE doit vérifier, point par point, côté informatique.
Pourquoi le télétravail élargit la surface d'attaque d'une TPE
Au bureau, les postes de travail passent par le réseau et le pare-feu de l'entreprise, avec un niveau de sécurité maîtrisé et identique pour tout le monde. En télétravail, cette maîtrise se dilue sur autant de connexions domestiques qu'il y a de salariés concernés — et chacune de ces connexions a son propre niveau de sécurité, le plus souvent jamais vérifié par l'entreprise.
Un réseau domestique n'a pas le niveau d'une infrastructure professionnelle. Une box internet grand public reste rarement mise à jour, son wifi est parfois protégé par un mot de passe ancien et jamais changé, et elle partage le même réseau que les objets connectés du foyer (télévision, imprimante, caméra, console) — autant de points d'entrée potentiels vers l'ordinateur qui sert aussi à travailler.
Les appareils personnels échappent au contrôle de l'entreprise (BYOD). Quand un salarié utilise son propre ordinateur ou smartphone pour accéder aux outils professionnels, l'entreprise n'a aucune visibilité sur son niveau de mise à jour, la présence ou non d'un antivirus, ni sur les autres usages de cet appareil (téléchargements, jeux, comptes personnels). Un appareil personnel compromis par un usage privé devient alors un point d'entrée direct vers les données de l'entreprise.
L'accès à distance aux outils métier et aux données sensibles multiplie les occasions de faille. Messagerie professionnelle, logiciel de gestion, fichiers clients, parfois accès direct à un serveur ou à une boîte à outils d'administration — chaque service rendu accessible depuis l'extérieur est une porte supplémentaire, et une porte mal protégée profite autant à un salarié légitime qu'à un attaquant qui aurait récupéré ses identifiants.
L'ANSSI le résume sans détour dans ses recommandations sur le nomadisme numérique : le télétravail implique nécessairement l'ouverture du système d'information de l'entreprise vers l'extérieur, et cette ouverture doit être pensée, pas improvisée au fil des besoins. Cybermalveillance.gouv.fr tient le même constat : sans encadrement, le télétravail peut engendrer des risques de sécurité susceptibles de mettre à mal l'entreprise, voire d'engager sa survie en cas de cyberattaque.
VPN d'entreprise : ne jamais exposer directement les outils internes
La première règle, et la plus structurante : les outils internes de l'entreprise (serveur de fichiers, logiciel de gestion, accès bureau à distance) ne doivent jamais être rendus directement accessibles sur internet. Un service exposé sans protection est scanné, repéré et attaqué en continu par des robots qui parcourent le web à la recherche de ce type de faille — ce n'est pas une question de « si », mais de « quand ».
Un VPN d'entreprise (réseau privé virtuel) règle ce problème : il chiffre la connexion entre l'appareil du télétravailleur et l'entreprise, et surtout il limite l'accès aux seuls équipements authentifiés, au lieu de laisser un service ouvert à n'importe qui sur internet. C'est la recommandation numéro un de l'ANSSI et de cybermalveillance.gouv.fr sur ce sujet : systématiser les connexions sécurisées par VPN plutôt que des accès directs et exposés.
Pour une TPE, cela ne suppose pas une infrastructure lourde : la plupart des box et routeurs professionnels, ou des solutions cloud actuelles, proposent une fonction VPN activable sans compétence technique poussée. Ce qui compte est de la mettre en place avant d'ouvrir l'accès à distance, pas après.
MFA obligatoire sur tous les accès distants
Un mot de passe seul ne suffit plus à protéger un accès accessible depuis l'extérieur. La double authentification (MFA, pour multi-factor authentication) ajoute une vérification supplémentaire — un code reçu sur le téléphone, une application dédiée — qui rend un mot de passe volé ou deviné, seul, insuffisant pour se connecter.
Cybermalveillance.gouv.fr le place explicitement parmi ses recommandations prioritaires pour le télétravail : activer la double authentification sur les connexions VPN et sur l'ensemble des accès distants « chaque fois que cela est possible ». Dans une TPE, cela veut dire : messagerie professionnelle, VPN, logiciels métier accessibles en ligne, et tout compte cloud utilisé pour le travail.
Nous détaillons la mise en œuvre concrète de cette double authentification, les applications à utiliser et les pièges à éviter dans notre article sur la double authentification (MFA) pour une TPE.
Séparer l'usage professionnel et personnel sur les appareils
Un même ordinateur utilisé pour le travail et pour les usages personnels de toute la famille (jeux, téléchargements, comptes de streaming) multiplie les occasions d'infection : une pièce jointe piégée ouverte par un enfant, un logiciel téléchargé sur un site douteux, une extension de navigateur malveillante installée pour un usage privé — et c'est l'accès professionnel qui en paie le prix.
Quand c'est possible, la règle la plus sûre reste celle que rappelle cybermalveillance.gouv.fr en premier point de ses recommandations : privilégier un équipement dédié, fourni et maîtrisé par l'entreprise, plutôt que l'appareil personnel du salarié. Lorsque ce n'est pas envisageable pour une TPE (coût, taille de l'équipe), des règles minimales limitent le risque :
- Un compte utilisateur distinct pour l'usage professionnel, avec ses propres mots de passe, sur l'appareil personnel partagé.
- Un antivirus à jour et activé, même sur un ordinateur personnel utilisé pour le travail.
- Aucune donnée professionnelle stockée en local de façon permanente : privilégier les outils cloud professionnels de l'entreprise, qui restent sous son contrôle.
- Un verrouillage automatique de session après quelques minutes d'inactivité, pour éviter qu'un accès professionnel reste ouvert sur un appareil partagé par le foyer.
Wifi public en déplacement : une politique claire, pas un simple conseil oral
Le télétravail ne se limite pas au domicile : un salarié qui travaille depuis un café, une gare ou un espace de coworking se connecte parfois à un wifi public, par définition partagé avec des inconnus et bien moins maîtrisé qu'un réseau domestique ou professionnel. Un attaquant présent sur le même réseau peut, dans certaines conditions, intercepter du trafic non chiffré ou créer un faux point d'accès imitant le vrai.
Plutôt qu'une simple recommandation orale vite oubliée, une TPE gagne à écrire une règle simple : jamais de connexion aux outils professionnels depuis un wifi public sans passer par le VPN d'entreprise, et usage du partage de connexion du téléphone professionnel en dépannage si le VPN n'est pas disponible. Le détail des précautions à prendre (reconnaître un faux point d'accès, désactiver la connexion automatique, etc.) est développé dans notre guide sur la sécurisation d'une connexion wifi publique en déplacement.
Gestion des mots de passe : la base qui manque le plus souvent
Le télétravail multiplie les comptes utilisés à distance — VPN, messagerie, outils cloud, logiciels métier — et donc les occasions de réutiliser le même mot de passe simple partout, ou de le laisser enregistré dans un navigateur sur un appareil familial partagé. Cybermalveillance.gouv.fr rappelle que la majorité des attaques s'appuient justement sur des mots de passe trop simples ou réutilisés sur plusieurs services.
Un gestionnaire de mots de passe d'entreprise règle ce problème en donnant à chaque salarié un mot de passe long et unique par service, sans avoir à les retenir ni à les noter sur un post-it ou un fichier partagé. Nous expliquons comment le mettre en place simplement dans notre article sur le gestionnaire de mots de passe pour entreprise.
Mettre à jour les appareils personnels utilisés pour le travail
Une faille de sécurité connue et corrigée par un éditeur reste exploitable aussi longtemps que la mise à jour correspondante n'est pas installée. Cybermalveillance.gouv.fr insiste sur ce point : un défaut de mise à jour est souvent la cause directe d'une intrusion, et cela vaut pour tous les équipements accessibles au système d'information — y compris les appareils personnels utilisés en télétravail, que l'entreprise ne peut pas forcer à distance comme elle le ferait sur un parc de postes professionnels.
Une règle simple et vérifiable à demander aux télétravailleurs : activer les mises à jour automatiques du système et du navigateur, et ne jamais reporter indéfiniment une mise à jour de sécurité signalée sur un appareil utilisé pour le travail, professionnel ou personnel.
Un cadre contractuel minimal, côté sécurité informatique
Le droit du travail encadre les modalités du télétravail (accord du salarié, horaires, prise en charge de certains frais) — ce n'est pas l'objet de cet article, et une TPE qui met en place le télétravail doit se renseigner séparément sur ce volet, par exemple auprès de son expert-comptable ou d'un conseil en droit social.
Côté informatique, en revanche, une charte télétravail courte — une à deux pages — a toute sa place pour formaliser noir sur blanc ce qui est attendu : usage obligatoire du VPN pour les accès distants, double authentification activée sur les comptes concernés, interdiction de stocker des données clients ou de paie sur un espace personnel non professionnel, et personne à contacter en cas de doute ou d'incident (ordinateur perdu, suspicion de piratage, message suspect). L'objectif n'est pas un document juridique complexe, mais un repère clair que chaque télétravailleur peut relire en cinq minutes.
Checklist pratique avant d'autoriser le télétravail dans une TPE
- Un VPN d'entreprise est en place pour tout accès distant aux outils internes : aucun service professionnel n'est exposé directement sur internet.
- La double authentification (MFA) est activée sur le VPN, la messagerie professionnelle et les principaux outils cloud utilisés à distance.
- Chaque télétravailleur dispose, si possible, d'un équipement fourni par l'entreprise ; à défaut, des règles minimales de séparation pro/perso sont appliquées sur l'appareil personnel.
- Une règle écrite interdit la connexion aux outils professionnels depuis un wifi public sans passer par le VPN.
- Les mots de passe professionnels sont uniques par service et gérés via un gestionnaire de mots de passe d'entreprise, jamais réutilisés ni notés en clair.
- Les mises à jour de sécurité (système, navigateur, antivirus) sont activées et appliquées sans délai sur tous les appareils utilisés pour le travail.
- Une charte télétravail courte formalise les règles de sécurité informatique et désigne un contact en cas d'incident.
- Les accès à distance d'un salarié sont coupés dès son départ de l'entreprise, au même titre que ses accès physiques.
Questions fréquentes
Le télétravail est-il forcément plus risqué que le travail au bureau ?
Il n'est pas intrinsèquement plus risqué, mais il déplace la maîtrise du réseau et des appareils hors du périmètre direct de l'entreprise. Un télétravail encadré par un VPN, de la double authentification et des règles claires peut être aussi sûr qu'un poste au bureau ; un télétravail improvisé, sans aucune de ces mesures, expose nettement plus l'entreprise.
Faut-il obligatoirement fournir un ordinateur professionnel à chaque télétravailleur ?
C'est la solution la plus sûre et celle que recommande en priorité cybermalveillance.gouv.fr, car elle seule garantit un niveau de sécurité maîtrisé par l'entreprise. Ce n'est pas toujours possible dans une TPE ; dans ce cas, les règles minimales de séparation pro/perso, de mise à jour et de mots de passe décrites plus haut réduisent une grande partie du risque, sans l'éliminer totalement.
Une charte télétravail est-elle obligatoire ?
Le cadre légal du télétravail relève du droit du travail et dépasse le sujet de cet article ; côté sécurité informatique, rien n'impose formellement une charte, mais formaliser par écrit les règles d'usage (VPN, MFA, mots de passe) évite les oublis et donne un repère clair à chaque salarié, plutôt que des consignes orales vite oubliées.
Conclusion : encadrer avant d'autoriser, pas après un incident
Le télétravail n'oblige pas une TPE à renoncer à la sécurité de son système d'information — il demande simplement de déplacer certaines protections vers l'extérieur : un VPN pour éviter toute exposition directe, la double authentification sur les accès qui comptent, des règles claires sur les appareils personnels et le wifi public, et des mots de passe correctement gérés. Mis en place avant d'autoriser le travail à distance, ce cadre coûte une poignée d'heures de configuration ; mis en place après un incident, il coûte toujours beaucoup plus.
Si vous mettez en place ou revoyez le télétravail dans votre structure — choix d'un VPN adapté, activation de la double authentification, équipement des salariés — écrivez-nous pour en discuter simplement, sans jargon.
À lire aussi :