Télétravail sécurisé : le guide IT pour les TPE/PME

Pourquoi le télétravail change la donne en matière de sécurité

Au bureau, vos données circulent derrière un pare-feu, sur un réseau que vous contrôlez. En télétravail, chaque collaborateur devient une porte d'entrée potentielle : box Internet familiale, ordinateur parfois partagé, Wi-Fi mal configuré. Les attaquants le savent : les campagnes de phishing et les intrusions via des accès distants mal protégés visent en priorité les petites structures, moins bien équipées que les grands groupes.

La bonne nouvelle : sécuriser le télétravail ne demande pas un budget de multinationale. Quelques mesures bien choisies couvrent l'essentiel du risque. Ce guide les passe en revue, dans l'ordre de priorité que nous recommandons à nos clients en infogérance.

Le VPN : un tunnel chiffré entre le domicile et l'entreprise

Un VPN (Virtual Private Network) crée un tunnel chiffré entre le poste du collaborateur et le réseau de l'entreprise. Concrètement, même si quelqu'un intercepte le trafic sur le Wi-Fi domestique, il ne voit que des données illisibles.

Points à vérifier pour un déploiement propre :

• Authentification forte : le VPN doit exiger un second facteur, pas seulement un mot de passe.
• Accès au strict nécessaire : un commercial n'a pas besoin d'accéder au serveur comptable. Segmentez les droits.
• Journalisation : qui s'est connecté, quand, depuis où. Indispensable en cas d'incident.
• Mises à jour : les passerelles VPN obsolètes figurent parmi les failles les plus exploitées. Leur maintien à jour relève d'une maintenance informatique régulière.

Si vos outils sont entièrement dans le cloud (Microsoft 365, CRM SaaS), le VPN n'est pas toujours obligatoire : l'accent se déplace alors sur la protection des comptes et des postes.

La MFA, mesure la plus rentable de toutes

La double authentification (MFA) bloque l'immense majorité des tentatives de piratage de comptes, même quand le mot de passe a fuité. C'est la mesure au meilleur rapport protection/coût : souvent incluse dans vos licences existantes (Microsoft 365, Google Workspace), elle se déploie en quelques jours.

Activez-la partout où c'est possible : messagerie, VPN, outils métier, comptes administrateurs en premier. Préférez une application d'authentification ou une clé de sécurité au SMS, plus vulnérable. Pour aller plus loin sur la gestion des accès, consultez notre guide sur la sécurité des mots de passe en entreprise.

Postes maîtrisés et Wi-Fi domestique

Fournir des postes professionnels

Le poste personnel du collaborateur est le maillon faible : pas d'antivirus géré, mises à jour aléatoires, usage familial. La règle d'or : fournir un ordinateur professionnel, configuré et administré par l'entreprise ou son prestataire, avec :

• chiffrement du disque (BitLocker ou FileVault), pour qu'un vol ne devienne pas une fuite de données ;
• antivirus/EDR administré de façon centralisée (voir notre guide pour choisir un antivirus ou EDR) ;
• mises à jour automatiques du système et des logiciels ;
• session verrouillée automatiquement et compte sans droits administrateur.

Sécuriser la connexion à domicile

Demandez à vos collaborateurs trois gestes simples : changer le mot de passe par défaut de la box, activer le chiffrement WPA2 ou WPA3, et éviter les Wi-Fi publics pour le travail (ou passer systématiquement par le VPN). Un partage de connexion 4G/5G est souvent plus sûr qu'un Wi-Fi d'hôtel.

Bonnes pratiques et charte de télétravail

La technique ne suffit pas : formalisez les règles dans une charte annexée au règlement intérieur ou aux avenants de télétravail. Elle doit préciser :

• les équipements autorisés (poste pro uniquement, ou conditions strictes pour le poste personnel) ;
• les usages interdits (stockage de données clients sur des clouds personnels, prêt du poste à la famille) ;
• la conduite à tenir en cas d'incident : qui appeler, dans quel délai — idéalement votre support informatique ;
• les obligations liées au RGPD lorsque des données personnelles sont traitées à domicile.

Complétez par une sensibilisation courte et régulière : 30 minutes deux fois par an sur le phishing et les mots de passe font davantage qu'un long document que personne ne lit.

Erreur fréquente : ouvrir un accès « Bureau à distance » (RDP) directement sur Internet pour dépanner vite. C'est l'un des vecteurs d'attaque par ransomware les plus courants. Passez toujours par un VPN ou une passerelle sécurisée — et vérifiez que vos sauvegardes tiendraient le choc en cas d'incident.