Cybersécurité et Télétravail : Sécuriser les Accès à Distance de vos Équipes

Sécuriser les accès à distance en télétravail repose sur quatre mesures principales : un accès chiffré (VPN ou architecture Zero Trust), une authentification à plusieurs facteurs sur tous les comptes sensibles, des équipements maîtrisés par l’entreprise ou encadrés par une charte BYOD claire, et une sensibilisation régulière des collaborateurs au phishing. Ces recommandations, portées par l’ANSSI dans son guide sur le nomadisme numérique, permettent de réduire fortement le risque d’intrusion sur le système d’information depuis un poste distant.

Sommaire

• Pourquoi le télétravail multiplie les risques cyber
• Les risques spécifiques aux accès distants
• Les recommandations officielles de l’ANSSI
• VPN et authentification multifacteur, les fondations
• Aller plus loin avec l’approche Zero Trust
• Sécuriser la visioconférence et la téléphonie à distance
• Encadrer le BYOD et les outils non validés
• Télétravail, RGPD et NIS2
• Réagir en cas d’incident
• FAQ

Pourquoi le télétravail multiplie les risques cyber

Le télétravail s’est durablement installé dans les entreprises françaises. En 2023, 26 % des salariés du secteur privé télétravaillaient au moins occasionnellement, contre à peine 9 % en 2019, selon les données de la Dares et de l’Insee. Cette généralisation a mécaniquement élargi la surface d’attaque des entreprises : chaque connexion depuis un domicile, un espace de coworking ou un réseau public constitue un point d’entrée potentiel si elle n’est pas correctement protégée.

Les chiffres confirment cette tendance. Dans son rapport d’activité 2025, Cybermalveillance.gouv.fr indique que le piratage de compte en ligne arrive en tête des menaces déclarées par les entreprises, suivi de très près par l’hameçonnage. Ces deux menaces exploitent en priorité les failles humaines et techniques propres au travail à distance : mots de passe réutilisés, appareils personnels peu protégés, messagerie professionnelle consultée depuis des réseaux non maîtrisés.

Les risques spécifiques aux accès distants

Réseaux et équipements non maîtrisés

À domicile ou en déplacement, le collaborateur sort du périmètre technique géré par l’entreprise. Le box internet personnelle, le Wi-Fi public d’un café ou d’une gare, ou encore un ordinateur familial partagé n’offrent aucune garantie de sécurité équivalente au réseau interne de l’entreprise.

Hameçonnage et usurpation d’identité

Isolé de ses collègues, un salarié en télétravail vérifie moins facilement la légitimité d’un email ou d’un appel suspect. Les attaquants exploitent ce contexte avec des messages imitant la direction, un fournisseur ou un service informatique, dans le but de récupérer des identifiants ou de déclencher un virement frauduleux.

Accès mal cloisonnés au système d’information

Beaucoup de PME ouvrent des accès distants larges par simplicité, sans limiter les droits de chaque utilisateur à ce dont il a réellement besoin. En cas de compromission d’un seul poste, l’attaquant peut alors se déplacer librement dans le système d’information.

Les recommandations officielles de l’ANSSI

L’Agence nationale de la sécurité des systèmes d’information a publié un guide de référence sur le nomadisme numérique, dont la version 2.0 date du 14 novembre 2023. Ce document distingue trois axes de sécurisation : l’infrastructure de connexion nomade, les postes de travail utilisés à distance, et les méthodes d’authentification. Il est accompagné d’un tableur de suivi (OASIS) permettant à chaque organisation d’évaluer sa mise en conformité recommandation par recommandation.

Trois principes reviennent systématiquement dans ce guide :

• Cloisonner les systèmes sensibles pour lesquels l’accès distant n’est pas indispensable.
• Chiffrer systématiquement les connexions sortantes vers le système d’information de l’entreprise.
• Authentifier fortement chaque utilisateur et chaque équipement avant d’accorder un accès.

VPN et authentification multifacteur, les fondations

Le dispositif national Cybermalveillance.gouv.fr rappelle que la connexion à distance doit systématiquement transiter par un VPN d’entreprise, qui chiffre les échanges et limite l’accès aux seuls équipements authentifiés. Cette protection gagne en robustesse lorsqu’elle est couplée à une authentification multifacteur (MFA), qui exige une seconde preuve d’identité en plus du mot de passe.

Quelques bonnes pratiques concrètes à appliquer sans attendre :

• Un mot de passe unique et complexe par service, géré via un gestionnaire de mots de passe.
• Une authentification à deux facteurs sur la messagerie, le VPN et les outils cloud sensibles.
• Un verrouillage automatique des sessions après quelques minutes d’inactivité.
• Des mises à jour de sécurité appliquées sans délai sur tous les postes distants.

Attention toutefois : les méthodes MFA dites « hameçonnables », en particulier le SMS, restent vulnérables. Microsoft documente ce risque à travers les attaques de type « adversary-in-the-middle », où un attaquant intercepte le jeton d’authentification ou le cookie de session au moment de la validation, ainsi que via le SIM swapping ou l’exploitation de failles réseau. Pour les comptes les plus sensibles, une méthode résistante au phishing, comme une clé de sécurité physique ou un passkey, reste préférable au SMS.

Aller plus loin avec l’approche Zero Trust

Le VPN traditionnel reste efficace, mais il présente une limite structurelle : une fois connecté, l’utilisateur accède souvent à l’ensemble du réseau interne. L’approche Zero Trust (« ne jamais faire confiance, toujours vérifier ») inverse cette logique. Chaque demande d’accès à une application ou une ressource est vérifiée individuellement, selon l’identité de l’utilisateur, l’état de sécurité de son appareil et le contexte de la connexion, plutôt que sur la seule base d’une connexion réseau validée une fois pour toutes.

Concrètement, une architecture Zero Trust évite de faire transiter l’utilisateur distant par l’ensemble du réseau interne. Microsoft décrit ce principe à travers un cas concret : plutôt que d’ouvrir un accès VPN classique, qui donne accès à « toutes les localisations, tous les protocoles et tous les ports du réseau interne », l’application ciblée est publiée individuellement via un proxy applicatif. L’utilisateur s’authentifie, son identité et l’état de son appareil sont vérifiés à chaque requête, et il n’accède qu’à cette application précise, jamais au reste du réseau.

Pour une PME, cela se traduit par une segmentation plus fine des accès applicatifs et par un contrôle continu, plutôt qu’une confiance accordée une fois pour toutes à l’entrée du réseau. Cette approche complète utilement les recommandations de l’ANSSI et s’inscrit dans une stratégie globale de cybersécurité d’entreprise.

Sécuriser la visioconférence et la téléphonie à distance

Le télétravail repose largement sur des outils de communication : visioconférence, softphones, messagerie instantanée. Ces flux méritent une attention spécifique, souvent oubliée dans les guides génériques sur la cybersécurité du télétravail.

• Softphones et téléphonie IP : un softphone mal configuré, utilisé sur un réseau Wi-Fi public, peut exposer les communications de l’entreprise. Les bonnes pratiques établies par l’IETF dans la RFC 8862 recommandent de protéger la signalisation SIP et de chiffrer systématiquement le flux audio via SRTP, avec une gestion des clés par DTLS-SRTP.
• Réunions en visioconférence : verrouiller l’accès aux salles avec un mot de passe ou une salle d’attente évite les intrusions, un risque fréquent lorsque les liens de réunion circulent largement.
• Enregistrements et retranscriptions : lorsque des réunions sont enregistrées ou retranscrites automatiquement, la donnée doit être hébergée et traitée dans un cadre conforme au RGPD, avec des accès restreints.

Ces bonnes pratiques rejoignent celles applicables à toute infrastructure de déploiement de la VoIP en entreprise, où la sécurité réseau conditionne directement la qualité et la confidentialité des appels.

Encadrer le BYOD et les outils non validés

Beaucoup de collaborateurs en télétravail utilisent, au moins occasionnellement, leur propre ordinateur ou smartphone (BYOD, Bring Your Own Device). L’ANSSI le rappelle : un équipement personnel ne peut jamais offrir un niveau de sécurité vérifiable équivalent à celui d’un poste fourni et configuré par l’entreprise.

Quand le BYOD ne peut pas être évité, une politique claire doit encadrer son usage : antivirus à jour, chiffrement du disque, séparation des données personnelles et professionnelles, et interdiction d’installer des outils non validés par l’IT. Ce dernier point rejoint la problématique du shadow IT, en particulier avec la multiplication des outils d’intelligence artificielle utilisés sans validation, un sujet que nous détaillons dans notre article sur la gouvernance des outils d’IA en entreprise.

Télétravail, RGPD et NIS2

La sécurisation des accès distants n’est pas seulement une bonne pratique technique, c’est aussi une obligation réglementaire. Le RGPD impose de protéger les données personnelles traitées par l’entreprise, y compris lorsqu’elles transitent par des postes en télétravail. Pour les entités concernées par la directive européenne NIS2, les accès distants font partie des points de contrôle explicitement attendus par les autorités.

Les deux cadres partagent un socle commun : gestion des accès, chiffrement, journalisation, plan de réponse aux incidents. Nous détaillons cette articulation dans notre article dédié à l’articulation entre conformité RGPD et NIS2, particulièrement utile pour les PME qui doivent structurer leur politique de sécurité sans dupliquer leurs efforts.

Réagir en cas d’incident depuis un poste en télétravail

Malgré les précautions, un incident peut survenir : clic sur un lien frauduleux, perte d’un appareil, connexion suspecte détectée. La rapidité de réaction limite fortement l’impact.

1. Déconnecter immédiatement le poste du réseau (Wi-Fi et câble) sans l’éteindre, pour préserver les traces utiles à l’analyse.
2. Changer sans délai les mots de passe des comptes potentiellement exposés, depuis un autre appareil sain.
3. Alerter le service informatique ou le prestataire en charge de la sécurité, même en cas de doute.
4. Documenter les faits : heure, contenu du message ou de l’alerte, actions déjà réalisées.

Une procédure écrite, connue de tous les collaborateurs avant même qu’un incident survienne, fait souvent la différence entre une alerte gérée en quelques minutes et une compromission qui se propage sur plusieurs jours.

FAQ : cybersécurité et télétravail