Comment mettre en œuvre une stratégie de prévention des pertes de données dans un environnement de travail hybride ?
Note d’archive : Cet article a été publié le 15 mai 2021. Les conseils sur les mots de passe, l’authentification multifacteur et les VPN ont été révisés à partir de recommandations officielles consultées le 10 septembre 2026. Les mentions d’études récentes, les chiffres et les comparaisons de coûts ne comportent pas de sources vérifiables ; ils sont conservés comme texte d’archive de 2021, sans constituer des statistiques actuelles ni un classement vérifié des risques.
Pendant la pandémie, chacun a passé davantage de temps à travailler depuis chez soi, et ce changement n’a rien de passager ! Maintenant que chacun s’est habitué à la commodité du travail à distance grâce à la technologie, ce mode de travail ne fera que se développer, même après la pandémie ! Pour la gestion des entreprises, cependant, ce mode de travail implique non seulement de faire évoluer les modèles de gestion traditionnels, mais aussi de savoir garantir que les données ne se perdent pas dans les environnements de travail à distance, ce qui est tout un art.
Lorsque l’on pense aux menaces de cybersécurité, on songe souvent aux menaces et aux attaques externes, ce qui est tout à fait normal : après tout, lorsque de tels incidents se produisent, ils font facilement la une de l’actualité. Pourtant, des études récentes montrent clairement que les acteurs malveillants externes ne constituent pas le risque le plus grave. Les employés d’une entreprise représentent souvent une menace de cybersécurité plus sérieuse. Une petite erreur personnelle d’un employé peut gravement nuire à la marque. Les employés partagent ou stockent souvent des données, sans le vouloir, sur des plateformes non sécurisées, et la raison en est très simple : c’est plus « pratique », alors ils enregistrent leurs fichiers sur le support en question.
Ce type d’utilisation inappropriée, dû à un manque de conscience des risques, peut entraîner directement la fuite de données confidentielles de l’entreprise et, à long terme, causer à la marque un préjudice financier et une atteinte à sa réputation.
Déployer une stratégie DLP complète
Pour prévenir efficacement les fuites de données, la mise en œuvre d’une stratégie DLP globale est une approche envisageable. Il existe aujourd’hui sur le marché de nombreuses solutions DLP différentes. Elles apprennent principalement à partir du big data : lorsqu’un utilisateur effectue une action susceptible d’entraîner une fuite de données, la solution affiche automatiquement un avertissement, afin que l’utilisateur se demande aussitôt si l’action en cours pourrait constituer une fuite de données. À long terme, cela modifie les habitudes des utilisateurs et corrige leurs comportements à risque ; on peut dire que le risque de fuite de données est ainsi réduit à la source.
Utiliser des mots de passe robustes et les changer immédiatement en cas de fuite
Le texte original de 2021 indiquait que « plus d’un tiers » des employés n’avaient pas mis à jour leur mot de passe et que des « milliards » d’identifiants de comptes avaient été détournés, sans citer de source de recherche vérifiable ; ces chiffres ne sont pas présentés comme des statistiques actuelles. Selon les recommandations actuelles du NIST, il ne faut pas imposer un changement de mot de passe au seul motif qu’une période fixe est écoulée ; en revanche, s’il existe des preuves qu’un mot de passe a fuité ou a été compromis, il faut le changer immédiatement. Les entreprises doivent aider leurs employés à utiliser des mots de passe suffisamment longs et difficiles à deviner et à éviter les mots de passe courants ou dont la fuite est connue, et elles doivent prendre en charge les gestionnaires de mots de passe et limiter les tentatives de connexion échouées. Consulter les recommandations du NIST sur les mots de passe.
Utiliser un VPN selon les besoins et activer l’authentification multifacteur (MFA)
Selon leurs besoins d’accès à distance, les entreprises doivent choisir un VPN approuvé et géré par l’entreprise, ou une autre solution d’accès à distance dotée d’une protection appropriée ; les employés ne doivent pas utiliser de leur propre initiative un VPN personnel non approuvé pour traiter des données confidentielles de l’entreprise. Un VPN ne protège que le trafic qui transite par son tunnel : il faut donc continuer à entretenir les terminaux et mettre à jour rapidement les clients et serveurs VPN. Consulter les recommandations du NCSC sur les VPN.
Par ailleurs, l’authentification multifacteur (MFA) doit être activée pour les comptes VPN et les autres comptes d’accès à distance, afin de confirmer l’identité au moyen d’au moins deux facteurs d’authentification de types différents et de réduire le risque d’une connexion à l’aide d’un simple mot de passe volé. Lorsque c’est possible, il convient de privilégier des méthodes d’authentification résistantes à l’hameçonnage, par exemple des solutions FIDO2/WebAuthn correctement configurées et intégrant la vérification de l’utilisateur. Les différentes méthodes de MFA n’offrent pas toutes le même niveau de protection, et aucune ne peut être considérée comme une garantie absolue contre l’hameçonnage ou la compromission de comptes. Consulter les recommandations du NIST sur l’authentification multifacteur et la résistance à l’hameçonnage.
Renforcer la sensibilisation des employés à la sécurité
En réalité, quel que soit le degré de sophistication de vos outils, il suffit d’un seul « maillon faible » dans l’équipe pour faire tomber rapidement les défenses déployées. Former les employés et renforcer leur sensibilisation à la sécurité est donc primordial, et sans doute plus important encore qu’une solution de défense de plusieurs millions de dollars ! Dès lors que la sensibilisation de chacun à la sécurité progresse nettement, le risque de perte de données diminue d’autant.
