La politique de sécurité en entreprise : pourquoi elle existe

« Charte informatique », « politique de sécurité », « règles d'usage » : au travail, vous avez probablement signé ou accepté un document que vous n'avez lu qu'en diagonale. Il est facile d'y voir une liste de contraintes. En réalité, ces règles sont la traduction, à l'échelle d'une organisation, de tout ce que vous avez appris dans les chapitres précédents. Cette leçon explique ce qu'elles contiennent, pourquoi elles existent, et comment les rendre utiles plutôt que subies.

Jusqu'ici, nous avons protégé votre vie numérique personnelle. Le chapitre 6 prolonge cette démarche au travail, où les enjeux changent d'échelle : ce n'est plus seulement vous qui êtes concerné, mais vos collègues, vos clients, et l'organisation tout entière. Nora, notre personnage fil rouge, travaille dans une entreprise de taille moyenne : elle va découvrir pourquoi sa structure impose certaines règles.

Pourquoi une entreprise a besoin de règles

Dans une organisation, la sécurité est l'affaire de tous, car une seule personne peut ouvrir la porte à tout le monde. Un poste compromis peut servir de tremplin vers les serveurs, les données des clients, les documents des salariés. À l'inverse, une organisation bien protégée dispose de plusieurs couches (techniques, organisationnelles, humaines), et l'humain en est un maillon à part entière.

Les règles répondent à plusieurs besoins :

• Protéger les données : clients, salariés, partenaires, savoir-faire, secrets d'affaires ;
• Assurer la continuité d'activité : une attaque peut arrêter la production, la facturation ou le service pendant des jours ;
• Respecter la loi et les contrats : RGPD, secret professionnel, exigences de clients ou de secteurs réglementés (santé, finance, énergie…), assurance ;
• Protéger la réputation : une fuite de données ou une fraude entame la confiance ;
• Protéger chacun : des règles claires évitent que le salarié porte seul la responsabilité d'une erreur.

Les différents documents

Selon la taille de l'entreprise, on rencontre plusieurs documents, aux noms variables :

En France, la charte informatique est souvent annexée au règlement intérieur, ce qui lui donne une valeur opposable aux salariés : la violer peut entraîner des sanctions. C'est aussi pour cela qu'elle doit être claire, accessible et que l'employeur doit vous l'avoir présentée.

Ce que contient généralement une politique de sécurité

Les règles que vous connaissez déjà

Vous reconnaîtrez facilement des sujets abordés dans ce cours :

• Mots de passe et double authentification : mots de passe uniques, gestionnaire autorisé, interdiction de partager ses identifiants, double authentification obligatoire pour certains accès ;
• Mises à jour : les postes sont mis à jour par l'entreprise ; il ne faut pas les désactiver ni les retarder indéfiniment ;
• Verrouillage et chiffrement : verrouillage de l'écran en s'absentant, disques chiffrés sur les portables ;
• Messagerie et phishing : signalement des messages suspects, vigilance sur les pièces jointes ;
• Sauvegardes : où enregistrer les fichiers de travail (dans l'espace de stockage de l'entreprise, qui est sauvegardé, et non sur le bureau du poste) ;
• Usage des appareils et des supports amovibles : clés USB, disques externes, appareils personnels.

Les règles propres à l'entreprise

• Classification des informations : public, interne, confidentiel, secret. Chaque niveau a ses règles de partage et de stockage ;
• Logiciels autorisés : liste des applications validées ; interdiction d'installer n'importe quel programme ;
• Services en ligne approuvés : quels outils de stockage, de messagerie ou de collaboration on peut utiliser pour des données professionnelles ;
• Accès physiques : badges, accompagnement des visiteurs, bureau propre (clean desk), écran de confidentialité ;
• Utilisation de l'intelligence artificielle générative : ce qui peut ou non lui être soumis (données de clients, documents internes, code), selon les outils approuvés ;
• Arrivées et départs : création et suppression des accès, restitution du matériel ;
• Gestion des incidents : qui prévenir, comment (leçon 4 de ce chapitre).

Le « shadow IT » : quand on contourne sans mauvaise intention

Parfois, un salarié trouve un outil plus pratique que ceux fournis : un service de partage de fichiers personnel, une messagerie privée, un outil de traduction ou de rédaction en ligne, une application de notes. Il l'utilise avec les meilleures intentions, par efficacité. C'est le shadow IT (informatique « fantôme »).

Le risque est réel : les données de l'entreprise se retrouvent dans un espace que personne ne contrôle, sans sauvegarde, sans contrat, sans possibilité de retirer les accès au départ du salarié, et parfois en infraction avec le RGPD ou le secret professionnel. Une fuite par ce chemin peut engager la responsabilité de l'entreprise, et la vôtre.

La bonne réaction n'est ni l'interdiction brutale ni le contournement, mais le dialogue : si un outil vous manque, demandez à votre service informatique ou à votre responsable de sécurité s'il existe une solution validée, ou comment faire valider celle que vous proposez.

Les rôles à connaître

• La direction décide du niveau de risque acceptable et donne les moyens ;
• Le responsable de la sécurité des systèmes d'information (RSSI), ou la personne qui en tient le rôle, définit et fait appliquer la politique de sécurité ;
• La direction des systèmes d'information (DSI) ou le service informatique met en œuvre et exploite les moyens techniques ;
• Le délégué à la protection des données (DPO), quand il existe, veille au respect du RGPD (voir chapitre 5) ;
• Les managers relaient les règles dans leurs équipes et accompagnent les exceptions ;
• Chaque salarié applique les règles, signale les incidents et pose des questions en cas de doute.

Dans une petite structure, une même personne peut cumuler plusieurs rôles, ou la fonction est confiée à un prestataire externe. Le principe reste le même : vous devez savoir à qui vous adresser.

Une règle contraignante est-elle forcément utile ?

Une politique de sécurité réussie est une politique comprise. Une règle ressentie comme arbitraire sera contournée. Quand une règle vous paraît absurde ou bloquante, ne la contournez pas : demandez pourquoi elle existe. Souvent, une explication simple (une obligation contractuelle, un incident passé, une exigence d'assurance) lève l'incompréhension ; parfois, vous découvrirez une règle obsolète qu'il est utile de faire évoluer. Dans les deux cas, c'est le dialogue qui améliore la sécurité.

Carnet de sécurité : page 6, mon cadre professionnel

Pour que ce chapitre soit utile, consacrez une page de votre carnet à votre environnement de travail :

1. Retrouvez la charte informatique (intranet, onboarding, règlement intérieur) et lisez-la en entier au moins une fois. Notez les trois points qui vous ont surpris ;
2. Identifiez qui est le RSSI ou le responsable informatique, et comment le joindre (adresse, téléphone, formulaire) ;
3. Listez les outils approuvés pour stocker, partager et échanger des fichiers ;
4. Notez si vous utilisez des outils non validés (shadow IT) et la démarche à suivre pour les régulariser.

Si vous êtes indépendant ou travaillez dans une très petite structure, appliquez la même démarche en vous donnant à vous-même ces rôles : écrivez en une page vos propres règles (comptes professionnels séparés des comptes personnels, sauvegardes, mots de passe, outils autorisés).

À vous de jouer

Nora est pressée par une échéance. Elle veut envoyer un fichier client volumineux et confidentiel à un prestataire. Le système d'envoi de l'entreprise limite la taille ; elle envisage d'utiliser un service gratuit de transfert en ligne qu'elle connaît. Que lui conseillez-vous ?

Le contexte professionnel a beaucoup changé avec le travail à distance. La leçon suivante traite du télétravail sécurisé et de la frontière entre appareils personnels et professionnels.