Télétravail en PME : ce qu’il faut sécuriser avant d’ouvrir l’accès

Pourquoi le télétravail change la surface d’attaque d’une PME

Le télétravail déplace le périmètre de sécurité : le bureau n’est plus le seul endroit d’où l’on accède aux données, et chaque domicile devient un point d’entrée. Tant que tout le monde travaille dans les locaux, le pare-feu de l’entreprise filtre l’essentiel. Dès qu’un salarié se connecte depuis sa box personnelle, un espace de coworking ou un train, ce filtre disparaît.

L’ANSSI le formule dans ses recommandations sur le nomadisme numérique, publiées en novembre 2023 : l’ouverture du système d’information aux accès distants et la maîtrise des nouveaux flux doivent entrer dans la politique de sécurité de l’entité. Autrement dit, on décide des règles avant d’ouvrir, pas après le premier incident.

Pour une PME sans service informatique, la question pratique est simple : qu’est-ce qui, aujourd’hui, est accessible depuis l’extérieur, et avec quel niveau de contrôle ? Répondre honnêtement à cette question prend une demi-journée et évite la plupart des mauvaises surprises du télétravail.

Les comptes : la double authentification avant tout accès distant

La première mesure à exiger avant le télétravail est la double authentification sur chaque compte accessible depuis Internet. Un mot de passe seul ne suffit plus quand la connexion vient d’un lieu que l’entreprise ne contrôle pas. L’ANSSI consacre un guide entier à l’authentification multifacteur et aux mots de passe, et cybermalveillance.gouv.fr rappelle que l’hameçonnage reste la porte d’entrée la plus courante vers les comptes professionnels.

Concrètement, la liste à couvrir est plus longue qu’on ne le pense. Elle inclut la messagerie, l’outil de stockage partagé, le CRM, le logiciel de comptabilité en ligne, la banque, mais aussi les accès au site web, à la Search Console et aux régies publicitaires que gère votre équipe SEO et GEO. Un compte publicitaire piraté depuis un poste de télétravail coûte cher en quelques heures.

Deux règles complètent la double authentification. Chaque salarié a son propre identifiant, jamais un compte partagé. Et les comptes administrateurs ne servent qu’à administrer : on ne lit pas ses mails avec. Ces deux règles valent au bureau, mais le télétravail les rend non négociables, car plus personne ne voit qui est derrière l’écran.

Les postes : matériel fourni ou équipement personnel

Le poste de télétravail doit de préférence être fourni, configuré et géré par l’entreprise. Service Public rappelle que l’employeur doit fournir, installer et entretenir les équipements nécessaires au télétravail à domicile, et que, si le salarié utilise exceptionnellement son propre matériel, l’employeur en assure l’adaptation et l’entretien.

L’équipement personnel pose un problème que les PME sous-estiment : l’entreprise ne sait ni qui d’autre l’utilise, ni s’il est à jour, ni ce qui y est installé. Cybermalveillance.gouv.fr recommande de séparer les usages personnels et professionnels, et de ne pas mélanger les deux sur un même appareil. Un ordinateur familial partagé avec des enfants n’a rien à faire sur le serveur de fichiers de l’entreprise.

Un poste géré, c’est un poste dont l’entreprise contrôle au minimum quatre éléments : les mises à jour du système et des logiciels, le chiffrement du disque, l’antivirus, et la possibilité de verrouiller ou d’effacer l’appareil à distance en cas de perte ou de vol. Sans ces quatre éléments, le télétravail repose sur la bonne volonté de chacun.

L’accès au système d’information : VPN, accès par application, ce qu’on n’expose jamais

La règle de base en télétravail : aucun service interne ne doit être joignable directement depuis Internet sans passerelle contrôlée. Le bureau à distance Windows (RDP) ouvert sur un port public, le NAS accessible de l’extérieur avec son compte d’origine ou le logiciel métier publié sans filtrage sont des cibles connues et scannées en permanence.

Deux approches sérieuses existent. Le VPN d’entreprise crée un tunnel chiffré entre le poste et le réseau de l’entreprise : simple à comprendre, mais il donne souvent accès à tout le réseau une fois connecté. L’accès par application (souvent appelé ZTNA) ne publie que les applications nécessaires, après vérification de l’identité et de l’état du poste. Pour une PME qui travaille déjà surtout dans des outils en ligne, la seconde approche réduit fortement ce qu’il faut exposer.

Dans les deux cas, l’accès distant doit exiger la double authentification et journaliser les connexions. Le choix dépend de votre parc et de vos logiciels métier : c’est précisément le type d’arbitrage que nous menons en conseil IT avant d’ouvrir le télétravail, pour ne pas payer une solution surdimensionnée ou laisser un accès trop large.

Les données : où elles vivent, qui les sauvegarde

Avant le télétravail, il faut savoir où sont stockées les données de l’entreprise et interdire qu’elles s’installent durablement sur les postes. Le scénario typique : un commercial télécharge l’export du CRM pour travailler hors ligne, le garde six mois sur son bureau, puis l’ordinateur est volé dans une voiture. L’employeur reste responsable de ces données, y compris sur le matériel personnel du salarié, comme le rappelle Service Public.

La bonne pratique consiste à garder les fichiers dans un espace partagé de l’entreprise, avec des droits par équipe, et à proscrire les clés USB et les messageries personnelles pour faire circuler les documents. Les sauvegardes, elles, doivent couvrir ce qui est réellement produit pendant le télétravail : si un salarié travaille sur son disque local, ses fichiers ne sont pas dans la sauvegarde du serveur.

Pour les PME qui manipulent des données sensibles (santé, données bancaires, dossiers RH), la question du lieu de travail compte aussi. Un écran visible depuis un espace de coworking ou une conversation client passée dans un train suffisent à exposer des informations confidentielles. Ce point relève de la charte de télétravail plus que de la technique.

Le cadre : charte, accord et obligations de l’employeur

Le télétravail se met en place par un accord collectif, par une charte élaborée par l’employeur, ou, à défaut, par un simple accord entre l’employeur et le salarié, selon la fiche de Service Public vérifiée en août 2026. Pour une PME, la charte reste la voie la plus pratique : elle fixe des règles identiques pour tous et sert de support aux consignes de sécurité.

La charte précise les conditions de passage au télétravail et de retour au bureau, les plages pendant lesquelles le salarié est joignable, et les modalités de contrôle du temps de travail. C’est aussi le bon document pour inscrire les règles numériques : usage exclusif du matériel fourni, interdiction des réseaux Wi-Fi publics sans VPN, procédure à suivre en cas de perte d’un appareil ou de message suspect.

L’INRS rappelle de son côté que le télétravail doit être intégré à l’évaluation des risques professionnels, au même titre que le travail sur site. Sécurité informatique et prévention des risques avancent donc ensemble : une charte qui ne traite que des horaires laisse la moitié du sujet de côté.

Comparatif des configurations d’accès en télétravail

Toutes les configurations de télétravail ne se valent pas : le niveau de risque dépend surtout de qui gère le poste et de ce qui est exposé. Le tableau ci-dessous résume les situations que nous rencontrons le plus souvent en PME.

Checklist rapide

• Inventaire de tout ce qui est joignable depuis Internet (bureau à distance, NAS, logiciels métier, interfaces d’administration).
• Double authentification active sur la messagerie, le stockage partagé, le CRM, la banque et les outils marketing.
• Un identifiant par salarié, aucun compte partagé, comptes administrateurs réservés à l’administration.
• Postes fournis par l’entreprise, chiffrés, à jour, avec antivirus et effacement à distance possible.
• Accès distant par VPN ou accès par application, jamais de service interne exposé directement.
• Données dans l’espace partagé de l’entreprise, sauvegardes qui couvrent le travail réalisé à distance.
• Charte de télétravail signée, avec les règles numériques et la procédure en cas d’incident.
• Procédure de départ : désactivation des comptes et récupération du matériel le jour même.