Chapitre 5 – Appliquer les procédures de sécurité au quotidien

5.1 – La charte informatique et sécurité : contenu, valeur juridique, intégration dans le contrat de travail

La charte informatique et sécurité est le document fondateur qui organise les usages numériques au sein d'une organisation. C'est elle qui rappelle à chaque collaborateur ses droits et ses devoirs, fixe les règles du jeu et confère une valeur juridique aux contrôles éventuels. Sans charte ou avec une charte mal rédigée, l'employeur perd une grande partie de sa capacité à sanctionner un comportement à risque. Le contenu d'une charte complète couvre plusieurs domaines : usage des outils mis à disposition (ordinateur, smartphone, messagerie, accès internet), règles de confidentialité et de propriété intellectuelle, encadrement de l'usage personnel toléré, sécurité (mots de passe, sauvegardes, anti-virus), traçabilité et contrôle (sous quelles conditions l'employeur peut accéder aux journaux ou à la messagerie), sanctions encourues.

Pour avoir pleine valeur juridique, la charte doit suivre une procédure d'adoption rigoureuse. Elle est annexée au règlement intérieur quand l'organisation en dispose (obligatoire au-delà de 50 salariés), portée à la connaissance du CSE quand il existe, et déposée à l'inspection du travail et au conseil de prud'hommes. Pour les structures plus petites, son intégration au contrat de travail (annexe signée à l'embauche) ou sa diffusion contre récépissé est essentielle. Théo, DPO d'une association de patients, fait signer la charte à chaque nouveau bénévole en même temps que la convention de mission, ce qui clarifie immédiatement les attentes.

La charte évolue avec les pratiques. Le télétravail, le BYOD, l'usage des outils collaboratifs, l'intelligence artificielle générative en entreprise nécessitent des mises à jour régulières. Une bonne pratique consiste à réviser la charte tous les deux à trois ans, et à organiser une session de rappel au moins une fois par an pour tous les collaborateurs. Cette dynamique transforme la charte d'un document mort dans un classeur en outil vivant de la culture sécurité. Inès, secrétaire dans une école privée, a ainsi vu la charte de son établissement intégrer en 2025 un paragraphe sur l'usage encadré de ChatGPT pour la préparation pédagogique : un signal fort que la sécurité s'adapte aux évolutions technologiques.

Anatomie d'une charte informatique

5.2 – Les bons réflexes au quotidien : verrouillage, signalement, vigilance, mise à jour

Au-delà des dispositifs techniques et organisationnels, la sécurité au quotidien repose sur quelques réflexes simples que tout collaborateur doit avoir intégrés. Le premier est le verrouillage automatique du poste à chaque fois qu'on s'en éloigne, même brièvement. Un raccourci clavier (Windows+L sur PC, Ctrl+Cmd+Q sur Mac) suffit pour fermer l'écran tout en conservant les applications ouvertes. Quand on revient, on déverrouille avec son mot de passe ou son empreinte. Sophie, secrétaire dans un cabinet de kinésithérapie, applique ce réflexe systématiquement, même pour aller chercher un dossier dans la salle d'à côté. Cette habitude, banale en apparence, ferme la porte aux regards indiscrets et aux manipulations malveillantes.

Le deuxième réflexe est le signalement immédiat de tout événement suspect : courriel étrange, comportement anormal du système, demande inhabituelle d'un interlocuteur, document confidentiel trouvé sur la photocopieuse, badge oublié sur un bureau. Le signalement n'est jamais une accusation, c'est une alerte qui permet à l'organisation de vérifier rapidement. Une procédure claire (qui contacter, par quel canal, dans quels délais) doit être affichée et rappelée régulièrement. La culture du signalement, sans peur ni stigmatisation, est l'un des meilleurs indicateurs de maturité sécurité dans une organisation.

La vigilance face aux sollicitations inattendues constitue le troisième réflexe. Devant un courriel demandant un virement urgent, une demande téléphonique d'identifiants, un message « directeur » réclamant la confidentialité absolue : on prend toujours le temps de vérifier par un canal indépendant. Un appel direct au supposé expéditeur sur un numéro connu, une question en interne pour valider, une recherche sur l'adresse de l'expéditeur : trois minutes de vérification peuvent éviter une fraude majeure. Le quatrième réflexe, enfin, est la mise à jour régulière : systèmes d'exploitation, logiciels, applications mobiles, navigateurs. Les mises à jour ne sont pas des caprices d'éditeur : elles corrigent souvent des failles de sécurité activement exploitées. Repousser indéfiniment la mise à jour Windows ou le redémarrage demandé par le gestionnaire de paquets, c'est laisser une fenêtre ouverte aux attaquants. Lucas, en mairie, programme désormais le redémarrage de son poste tous les vendredis soirs pour intégrer automatiquement les correctifs.

Les 4 réflexes sécurité du quotidien

5.3 – La gestion des supports amovibles et des appareils personnels en entreprise (BYOD)

Les supports amovibles (clés USB, disques externes, cartes SD, CD/DVD) restent omniprésents en entreprise, malgré le développement du cloud. Pratiques pour transporter des fichiers volumineux, échanger en réunion, présenter des supports lors d'une formation, ils constituent aussi un vecteur d'attaque privilégié. Plusieurs incidents majeurs sont nés d'une clé USB infectée trouvée dans le parking de l'entreprise et branchée par curiosité sur un ordinateur professionnel. La règle d'or est simple : n'introduire dans le système d'information que des supports identifiés, fournis par l'organisation et scannés par l'antivirus avant ouverture. Toute clé inconnue doit être remise au service informatique pour analyse.

Pour limiter les risques, plusieurs mesures techniques peuvent être déployées. Le chiffrement automatique des supports amovibles connectés au système empêche toute exfiltration de données sensibles vers une clé personnelle, et garantit l'illisibilité en cas de perte. Le blocage des ports USB inutilisés via des stratégies de groupe Windows ou des solutions comme Trend Micro Endpoint Encryption restreint l'usage aux seuls supports approuvés. Le scan automatique au branchement, intégré aux antivirus professionnels, détecte les fichiers suspects avant exécution. Une organisation rigoureuse, comme un cabinet d'avocats où exerce Sophie, peut interdire purement et simplement les supports amovibles en dehors des cas exceptionnels validés par le DSI.

Le BYOD (Bring Your Own Device) pose des problématiques similaires mais à plus grande échelle. Lorsque les salariés utilisent leurs propres équipements (smartphone, ordinateur personnel, tablette) pour des activités professionnelles, l'organisation perd la maîtrise de l'environnement. Trois approches coexistent : l'interdiction stricte (réservée aux organisations très sensibles), la tolérance encadrée par MDM (Mobile Device Management) qui impose des règles minimales (code de verrouillage, chiffrement, possibilité d'effacement à distance), ou la séparation par conteneur (partition pro/perso étanche sur le même appareil). Anaïs, dans sa PME industrielle, a accepté l'installation d'un MDM léger sur son téléphone personnel : en échange du confort de lire ses courriels, elle accepte que le service IT puisse, en cas de vol, effacer à distance la seule partie professionnelle de son téléphone, sans toucher à ses photos de famille.

Supports amovibles & BYOD : maîtriser les flux

5.4 – La sensibilisation des équipes : formations, campagnes de phishing simulées, affichage

La technique ne fait pas tout : la sécurité d'une organisation dépend in fine de chaque collaborateur. Un seul clic imprudent peut compromettre des mois d'investissement en infrastructure. La sensibilisation continue est donc l'investissement le plus rentable de toute politique de sécurité. Plusieurs formats se combinent pour atteindre toutes les sensibilités et tous les niveaux. La formation initiale, au moment de l'embauche, présente la charte informatique, les bons réflexes, les risques principaux et les contacts en cas d'incident. Anaïs, à son arrivée dans sa PME industrielle, a suivi une session d'une heure animée par le responsable IT, complétée par un quiz qu'elle a dû valider avant d'avoir accès à ses outils.

La formation continue prend des formes variées et complémentaires. Les sessions thématiques annuelles (RGPD, mots de passe, phishing, télétravail sécurisé) permettent d'approfondir et de réactualiser. Les modules e-learning autonomes (durée 15 à 30 minutes, format gamifié) permettent à chacun de progresser à son rythme. Les newsletters internes mensuelles partagent des cas réels (anonymisés) et des conseils pratiques. Pour Karim, dans sa mutuelle, recevoir chaque mois un courrier interne intitulé « la minute sécurité » avec un cas concret rend la matière vivante et immédiatement applicable. La force est dans la régularité : un effort permanent vaut mieux qu'une grande conférence annuelle vite oubliée.

Les campagnes de phishing simulées sont l'outil le plus puissant pour mesurer et améliorer le niveau réel des équipes. À intervalle régulier, le service IT (ou un prestataire spécialisé comme Conscio, Phished, KnowBe4) envoie un faux courriel de phishing à l'ensemble des collaborateurs. Ceux qui cliquent reçoivent immédiatement une page pédagogique expliquant les signaux qu'ils auraient dû repérer ; les statistiques globales permettent de cibler les formations là où elles sont nécessaires. L'affichage physique dans les espaces communs (cuisine, accueil, photocopieuse) complète le dispositif avec des messages courts et frappants. Quentin, qui voit chaque jour dans la salle de pause de la mutuelle une affiche rappelant « avant de cliquer, je réfléchis », intègre progressivement ce réflexe dans son comportement quotidien sans même y penser.

L'arsenal de la sensibilisation

5.5 – Le registre de traitement simplifié : structure, contenu, tenue à jour et contrôle

Le registre des activités de traitement, prévu par l'article 30 du RGPD, est la pièce maîtresse de la documentation de conformité. Il liste, traitement par traitement, ce que l'organisation fait avec les données personnelles, pourquoi, comment, pendant combien de temps. Pour les organisations de moins de 250 salariés, la CNIL propose un modèle simplifié, parfaitement adapté à une PME, une mairie de petite taille, un cabinet libéral ou une association. Sa tenue est exigible à tout moment par la CNIL et constitue la première chose demandée en cas de contrôle. Le simple fait de l'avoir et de le tenir à jour démontre un engagement minimal vers la conformité.

La structure du registre simplifié couvre dix rubriques essentielles. Pour chaque traitement (paie, gestion clients, recrutement, vidéosurveillance, newsletters, etc.), on renseigne : le nom du traitement, le responsable de traitement, la finalité (à quoi sert le traitement), les catégories de personnes concernées (clients, salariés, fournisseurs, etc.), les catégories de données (identité, contact, financier, professionnel, etc.), les destinataires (services internes, sous-traitants, organismes externes), les transferts éventuels hors UE, la durée de conservation, les mesures de sécurité techniques et organisationnelles, la base juridique (consentement, contrat, obligation légale, intérêt légitime, mission d'intérêt public, sauvegarde des intérêts vitaux).

La tenue à jour est la difficulté principale. Beaucoup d'organisations créent un registre au moment où elles s'inquiètent du RGPD, puis le laissent vieillir pendant des années, ce qui le rend rapidement obsolète et juridiquement fragile. La bonne pratique consiste à le réviser au moins une fois par an, et systématiquement lors de tout nouveau traitement ou modification d'un traitement existant. Théo, DPO d'une association de patients, organise chaque année une réunion d'une demi-journée avec les responsables des services pour passer en revue le registre, ajouter les nouveaux traitements (par exemple un nouveau formulaire d'adhésion en ligne), supprimer les traitements arrêtés et actualiser les mesures de sécurité. Le registre devient ainsi un outil de pilotage de la conformité, et non un simple document administratif.

Le registre RGPD simplifié