Dernière mise à jour le 16 juin 2025 à 19:17

Imaginez-vous le chaos dans les opérations du département informatique (IT) d’une entreprise. Ou l’impuissance des PME de quelques dizaines de personnes qui n’ont même pas un département informatique et externalisent ces tâches.

Pendant la pandémie COVID-19 et les fermetures des entreprises, pratiquement du jour au lendemain, il a fallu réduire la sécurité (oui, vous avez bien lu) pour donner un accès à distance. Autrement, les opérations courantes de l’entreprise, même ceux liés aux fonctions de support, s’arrêtaient en totalité. Les serveurs de l’entreprise ainsi que ceux des solutions SaaS (software as a service) doivent assumer une surcharge de 60% à 100%. Il n’y a eu aucun « stress-test » auparavant. Beaucoup de choses ne fonctionnent pas, ou ce n’est pas prévu par conception.

Et voici comment le département informatique est submergé par des demandes de support urgent. C’est ça, la pratique.

La situation ci-avant n’a rien de fantaisiste: elle est souvent rencontrée dans une situation de crise.

J’ai répondu aux questions suivantes dans le cadre d’un interview pour SwissInfo (Le service international SSR (Radio-TV Suisse) en 10 langues.

Question 1. Beaucoup d’entreprises ont été pris de cours dans la généralisation du télétravail. Quelles sont les règles et conseils pour une gestion cyber-sécurisée du télétravail ?

En situation de crise, la tactique initiale consiste à « gagner du temps » et prendre quelques mesures temporaires dans le cadre des règles déjà existantes. Une entreprise devra agir selon ce qui est possible techniquement et selon les coûts. Ensuite, aller étape par étape. C’est pareil pour l’aspect cyber-sécuritaire.

Par exemple, dans une première étape, une entreprise peut décider de bloquer l’accès externe à des informations critiques comme la base des données clients et laisser seulement un accès web pour répondre et écrire des messages e-mail. En effet, la modification d’une donnée client n’est ni urgent, ni important pendant une situation d’urgence. Cela peut attendre quelques jours.

Dans les étapes ultérieures, il est possible de donner un accès en limitant le type d’actions qui peuvent être exécutées à distance (refus d’effacer ou exporter les données). Une entreprise peut également décider de refuser tout accès à distance dans ses diverses bases de données, considérant ceci comme un avantage stratégique par rapport à la compétition.

Si les investissements pour une gestion cyber-sécurisée du télétravail sont trop importants, alors l’entreprise ne doit rien faire, autre qu’attendre la fin de la crise. Il en va de même pour les entreprises qui, pour diverses raisons, ne souhaitent pas garder le télétravail.

Question 2. Quels sont les protocoles, outils de sécurité à respecter dans les entreprises, notamment en termes de sécurité de l’information ?

Le contexte du travail à distance est différent. La sécurité devient la responsabilité de chaque collaborateur. Le but est d’optimiser les ressources informatiques en minimisant les risques liés à la sécurité de l’information. C’est souvent l’humain qui est le maillon faible; la technologie peut protéger, mais elle n’est pas infaillible.

Pour le télétravail, une entreprise devra prendre en compte des éléments supplémentaires comme:

• les besoins de confidentialité selon le secteur d’activité
• le type de données et les besoins précis d’accès à distance
• l’expérience et les capacités techniques des collaborateurs actifs dans les fonctions « non-techniques » (marketing, ventes, soutien administratif)
• une formation et sensibilisation par rapport à la sécurité des données

Selon les besoins de l’entreprise, les stratégies et les procédures suivantes doivent être discutés et implémentées si besoin:

• protection données, sauvegardes, cryptage
• capacités techniques de suppression des données à distance
• externalisation IT (outsourcing)
• protection des logiciels malveillants (malware)
• sécurité du matériel informatique (hardware)
• gestions de la partie matérielle et logicielle
• gestion globale de l’information
• degrés de validation des instructions reçues
• contrôle d’accès et surveillance
• gestion des mots de passe
• utilisation permise selon l’endroit d’accès
• accès à distance et électronique

Pour aller plus loin, il faudra définir les règles liées à la cybersécurité. Cela peut couvrir les procédures suivantes:

• politique de configuration matérielle et logicielle
• les changements et modifications des configurations matérielles et logicielles
• politique liée aux niveaux d’accès selon les responsabilités
• politique de protection des réseaux internes et externes
• politique d’enregistrement et de surveillance
• politique liée à la sécurité des postes de travail
• politique de sécurité des appareils mobiles
• politique d’utilisation de son propre appareil (Bring Your Own Device – BYOD)
• politique des licences informatiques

Afin d’anticiper les situations de crise, une entreprise doit prévoir et maintenir:

• procédure en cas d’incident de sécurité
• plans de continuité d’affaires BCP (business continuity planning) et DRP (disaster recovery planning)
• la présence éventuelle d’un CSO (chief security officier) et divers comités d’urgence

Quelques exemples concrets dans une situation de télétravail:

Dans les locaux de l’entreprise il y a souvent la politique du « bureau propre » en fin de journée ou au moment de quitter son poste de travail. L’ordinateur doit être fermé, la déconnexion est obligatoire, et rien qui traîne, surtout pas les petits papiers avec les mots de passe collés à l’écran. Il n’y a rien de tel quand le travail se fait depuis la maison ou un autre endroit. Une autre personne peut passer et tout prendre. Il faudra donc immédiatement supprimer et bloquer le matériel volé.

Le technicien informatique ne peut pas venir au bureau du collaborateur « pour voir et réparer » comme c’est le cas quand le travail est fait dans les locaux de l’entreprise. Dans le cadre du télétravail, cette assistance et dépannage sera fournie elle aussi, à distance.

J’insiste sur le fait que le télétravail implique de facto avoir des bonnes connaissances informatiques, et une bonne capacité à résoudre soi-même les divers problèmes, ou avec une aide externe très réduite. C’est pour cela que la liste des stratégies et politiques ci-avant doit être définie sans ambiguïté, et avec un langage permettant une compréhension rapide même par un néophyte. L’existence des procédures strictes permet de réduire les risques liés à la sécurité.

Le confort d’un autre endroit que les locaux de l’entreprise, peut inconsciemment faire prendre plus de risques (authentifications et accès, transfert des données autres que par un réseau sécurisé, usurpation d’identité). Voici pourquoi tout collaborateur doit être continuellement sensibilisé et formé par rapport aux politiques d’accès et partage des informations.

Question 3. En termes de sécurité de l’information, quel constat dressez-vous sur le niveau de préparation des PME suisses pour répondre à une situation exceptionnelle telle que nous la vivons aujourd’hui ?

Culturellement, le télétravail n’est pas encore accepté en Suisse. Le contrôle des divers collaborateurs est encore rigide, la confiance n’est pas là. Les procédures manquent. Les investissements techniques en cybersécurité sont soit inexistants, soit insuffisants.

La situation actuelle est tellement exceptionnelle que les PME suisses ne peuvent pas justifier à posteriori un investissement dans la cybersécurité. Par contre, ce qui est plus important pour une entreprise de type PME c’est l’aspect « business« . Les 2 plans ci-après sont indispensables.

• le DRP (disaster recovery plan), soit le plan de contention et redressement après un sinistre;
• ainsi que le BCP (business continuity plan) soit le plan de continuité d’affaires (PCA).

Avec la situation actuelle du COVID-19, nous sommes exactement dans le cas du PCA/BCP (plan de continuité).

Selon mes observations du terrain, les PME suisses avec lesquelles j’ai été en contact n’ont même pas fait la réflexion sur un plan de continuité. La même conclusion est partagée par mes collègues.

Et c’est justifié du point de vue des entreprises: imaginez-vous un consultant en cybersécurité qui alerte sur la possibilité que 40 à 100% des employés doivent immédiatement commencer à travailler depuis la maison. Le risque que cela arrive était tellement petit, que toute entreprise l’accepte, sans prendre des mesures préventives.

Habituellement, une entreprise a plusieurs sites. En cas de crise, il y a toujours la possibilité qu’un autre endroit prenne le relai pour assurer la continuité des opérations. Mais que tout s’arrête ? Inimaginable.

En général, les PME n’investissent jamais assez: il faut du personnel, des compétences, des protocoles spécifiques. Tout cela a un coût. Il faut toujours mesurer les coûts, les gains, et l’éventualité qu’un risque se produise. Ne rien prévoir a été la stratégie des PME suisses (et pas seulement).

Regardez seulement l’exemple des écoles en Suisse. Elles n’avaient rien préparé, et pendant un week-end, il a fallu implémenter tout un système pour l’enseignement à distance. Pas de process, pas de protocole, pas d’ordinateur, même pas les adresses e-mail des élèves.

Mais chose positive: j’ai observé que les entreprises suisses se sont très bien adaptés, avec un sursaut d’agilité assez surprenante. Après environ 2 semaines, la plupart des entreprises avec lesquelles je suis en contact offrent un service minimum. Assez surprenant, connaissant la rigidité culturelle en Suisse.

Question 4. Faute d’outils et de stratégies, les entreprises courent-t-elles un risque sécuritaire et concurrentiel ?

Oui. D’un point de vue sécuritaire, le risque est clair: la survie de l’entreprise est en jeu, encore plus quand l’entreprise a un produit ou service intéressant.

Nous avons tous entendu du désastre des attaques informatiques, intrusions, des virus et diverses autres situations de cybercriminalité. Une PME est moins sensibilisée aux risques de fuites des données. En même temps, la créativité et les innovations sont présentes et ça donne des envies malveillantes aux compétiteurs. En ce moment même, il y a des données qui ont changé de propriétaire, sans que le titulaire initial en soit conscient.

Les entreprises qui vont continuer dans la période après COVID-19 seront celles qui ont compris comment sécuriser leurs opérations courantes et leurs données critiques. Ces entreprises ne vont pas subir des pertes des données, et ne vont pas passer par une phase de redémarrage.

Les autres entreprises vont perdre des données précieuses, des clients et revenus car absence de service. C’est encore inimaginable à ce stade. La situation actuelle est tellement exceptionnelle que nous n’avons aucun retour d’expérience.

Question 5. Ce stress test à l’échelle mondial va-t-il changer la manière dont les entreprises vont gérer et investir dans la sécurité de l’information ?

Les PME dans mon secteur d’activité ont bien noté les bienfaits (surtout financiers) par rapport à cette méthodologie de travail à distance. Ce n’est pas pour le bien-être des collaborateurs; mais pour la réduction des coûts fixes liés à la gestion d’un local d’entreprise. Le « bonheur » du télétravailleur est un effet secondaire.

Il est très probable que l’après-crise sera différent pour toutes les entreprises. Une majorité d’entreprises continuera d’encourager le télétravail; mais attention, seulement si les coûts et les risques liés à la gestion et la sécurité de l’information sont inférieurs à ceux d’un local d’entreprise.

Quant aux banques, elles ont déjà compris les avantages avant; les « stress tests » ont déjà été faits, les politiques sont déjà en place. Cette crise n’a été qu’un déclic pour aller plus loin. En ce moment même, les banques adaptent leurs stratégies pour aller en full digital.

Conclusions

Il faudra également faire attention à l’engouement temporaire pour la cybersécurité. La situation actuelle se prête bien à ce sujet. Toutes les entreprises vont vers des implémentations rapides du télétravail. Ça fait joli d’un point de vue marketing: agile, moderne, innovante. Mais une fois que la crise passée, la situation sera autre.

Étant donné les coûts importants de la cybersécurité et la complexité de ce sujet, il y a des fortes chances que ces mêmes entreprises vont vite tempérer les ardeurs du télétravail.

Le télétravail est plutôt une culture d’entreprise, pas seulement des protocoles ou les outils à mettre en place. Encore moins une communication marketing.

Selon moi, c’est plus important le « pourquoi » une PME doit aller vers le travail à distance, pas forcément le « comment » technique et les « procédures« . La cybersécurité est seulement un élément dans un ensemble plus complexe.

• Contributeur

Elena Debbaut

Partenaire – Restructuration Opérationnelle

https://elena.debbaut.solutions/

ed@consultingteam.solutions

Amélioration rapide du potentiel de votre entreprise grâce à une expertise polyvalente et robuste combinée à plus de 25 ans de pratiques commerciales durables.

Interventions comme expert opérationnel dans le cadre des mandats comme le redressement des entreprises en difficulté, la restructuration opérationnelle, l’amélioration de la performance, la transformation numérique, le désinvestissement.

Industries et secteurs:
• biens et services de consommation B2B2C
• services et technologies de l’information
• marketing traditionnel et numérique
• médias et publicité
• fabrication produits alimentaires
• industrie lourde

Basée en Suisse depuis 2001. Langues: Français, Roumain, Anglais.

Interventions en tant que directeur stratégique consultatif pour les transformations et améliorations des entreprises – niveau corporate ou en assumant un rôle intérimaire CEO Ad Interim – Directeur Intérim Marketing CMO – Directeur Interim IT/CTO – Directeur Intérim Opérations COO – Directeur PMO gestion de projets au niveau de l’implémentation pratique sur le terrain.

En fonction des missions et de manière ponctuelle, interventions comme consultant spécialisé en stratégie marketing mix tout canal, le marketing digital, ainsi que le marketing social médias.