Un client m'a appelé un mardi soir, paniqué. Il venait de cliquer sur un lien dans un mail « de la compta » qui demandait de valider une nouvelle procédure de notes de frais. Le mail était faux. Le lien, un formulaire qui aspirait ses identifiants. Il était dans son salon, sur son portable perso, connecté au Wi-Fi de la maison. Et dans les minutes qui ont suivi, deux comptes pro ont commencé à envoyer des choses étranges.
Ce genre d'histoire, je l'entends de plus en plus. Pas parce que les gens sont négligents. Parce que le télétravail a déplacé la frontière entre le bureau et la vie privée, et que la plupart d'entre nous n'ont jamais posé de règles claires de chaque côté de cette frontière. Protéger ses données personnelles en télétravail, ce n'est pas installer un antivirus et se dire que c'est réglé. C'est décider, une bonne fois, ce qui vit où, et qui a accès à quoi.
Je vais vous montrer comment je m'y prends aujourd'hui, ce que j'ai raté au début, et les points que presque personne ne traite — à commencer par votre box internet, qui est probablement le maillon le plus faible de toute la chaîne.
Points clés à retenir
- Votre réseau domestique est la porte d'entrée la plus ignorée : la box, le Wi-Fi, les objets connectés.
- Séparer strictement usage pro et usage perso, surtout si vous utilisez un appareil personnel.
- Un gestionnaire de mots de passe et la double authentification règlent une majorité d'attaques courantes.
- Vol, perte ou piratage d'un appareil : il existe une procédure, et elle a un délai légal.
- Votre employeur peut encadrer, mais pas tout surveiller — la frontière est écrite quelque part.
Comment protéger ses données personnelles en télétravail commence par votre réseau
La plupart des guides parlent de mots de passe et de mises à jour. Très bien. Mais ils sautent l'étape zéro : le tuyau par lequel tout passe.
Quand vous travaillez depuis chez vous, vos données professionnelles transitent par une box que vous avez configurée en dix minutes il y a quatre ans, avec le mot de passe Wi-Fi écrit sur un post-it collé derrière. Ce n'est pas un jugement, c'est la réalité de la plupart des foyers. Et ça, un attaquant le sait.
Sécuriser sa box et son Wi-Fi sans devenir ingénieur
La première fois que j'ai regardé l'interface de ma box sérieusement, j'ai découvert que le réseau « invités » était activé par défaut et grand ouvert. Ma télé, l'enceinte, la prise connectée du salon : tout était sur le même réseau que mon ordi de travail.
Ce qu'il faut faire, concrètement :
- Changer le mot de passe d'administration de la box (celui de l'interface, pas celui du Wi-Fi).
- Passer le Wi-Fi en WPA2 ou WPA3, jamais en WEP.
- Créer un réseau invité séparé pour les objets connectés, les téléphones perso et les visiteurs.
- Garder le réseau principal pour les appareils de travail uniquement.
- Désactiver le WPS, cette fonction qui permet de se connecter par bouton et qui se casse en quelques minutes.
Cette séparation, c'est cinq minutes de configuration. Elle m'a évité un problème l'an dernier quand un thermostat connecté s'est révélé avoir une faille connue. Sur son propre réseau isolé, le dégât était nul.
Et les réseaux publics, alors ?
Vous travaillez depuis un café, une gare, un hôtel ? Partez du principe que le Wi-Fi est hostile. Même avec un mot de passe affiché au comptoir.
La règle simple : si vous n'avez pas de VPN professionnel, ne faites rien de sensible dessus. Pas de connexion à la messagerie d'entreprise, pas de fichiers clients, pas de visio. Le partage de connexion de votre téléphone est plus sûr, à condition que le téléphone soit à jour.
Pro ou perso : le cloisonnement que tout le monde néglige
La question revient sans arrêt : peut-on utiliser son ordinateur personnel pour travailler ?
Techniquement, oui. Légalement, ça dépend de ce que votre employeur autorise. Mais sur le plan des données, c'est un choix qui a des conséquences très concrètes — et ce n'est pas votre employeur qui les subira en premier.
Utilisation d'un ordinateur personnel à des fins professionnelles : ce que ça implique
Je l'ai fait pendant presque deux ans. Un seul portable pour tout. C'était pratique. C'était aussi une mauvaise idée.
Le problème n'est pas l'usage. Le problème, c'est le mélange. Vos documents fiscaux côtoient les fichiers clients. Votre compte perso est connecté aux mêmes services que le compte pro. Un logiciel de synchronisation qui plante, et vous ne savez plus quelle version est où. Un malware attrapé en téléchargeant une source douteuse, et ce ne sont pas seulement vos photos qui partent : ce sont les données auxquelles vous avez accès en tant que salarié.
Si vous n'avez pas le choix, au minimum :
- Un compte utilisateur distinct sur la machine pour le travail (pas juste un autre navigateur).
- Le disque entièrement chiffré (BitLocker, FileVault ou chiffrement natif Linux).
- Aucun logiciel perso installé sur la session pro.
- Une sauvegarde des données pro qui va vers l'entreprise, pas vers votre cloud perso.
Franchement, si vous pouvez obtenir un poste fourni par l'employeur, prenez-le. Ça vous retire un fardeau qui n'a rien à faire dans votre salon.
La charte informatique en télétravail : qu'est-ce que vous signez ?
La plupart des entreprises ont une charte informatique, et la plupart des salariés l'ont lue en diagonale au moment de l'embauche, puis oubliée. C'est une erreur quand on passe en télétravail.
Cette charte fixe en général : quels appareils sont autorisés, quels outils sont fournis, ce qui est interdit (installer des logiciels non validés, utiliser des services cloud non approuvés), et comment l'employeur peut contrôler l'usage. C'est le document qui répond à la plupart des questions d'usage au quotidien. Si vous ne le retrouvez pas, demandez-le. Si votre employeur n'en a pas, c'est un signal : les règles seront floues au pire moment.
Un mot sur la caméra, parce que ça revient souvent. Votre employeur ne peut pas vous obliger à allumer votre caméra en visio de façon générale et permanente, sauf justification précise liée à l'activité et proportionnée. Refuser d'activer la webcam ne constitue pas, en soi, une faute. Le sujet est d'ailleurs régulièrement rappelé par l'autorité de protection des données. Mais soyons honnêtes : dans la vraie vie, refuser systématiquement a un coût social. Le cadre juridique vous protège, il ne vous rend pas forcément populaire en réunion.
Les outils qui changent vraiment la donne
On peut empiler les conseils. Trois outils, bien utilisés, couvrent une part énorme du risque réel.
Gestionnaire de mots de passe et double authentification
Un mot de passe unique et long, réutilisé partout, c'est la faille la plus banale et la plus dévastatrice. Un seul site qui fuit, et toutes vos comptes tombent.
La solution tient en deux gestes. Un gestionnaire de mots de passe (il en existe des gratuits, d'autres payants, peu importe lequel tant que vous en choisissez un sérieux). Et la double authentification activée partout où c'est possible, en priorité sur la messagerie et les accès professionnels.
Si vous ne faites qu'une seule chose après avoir lu cet article, faites celle-là. Sur mon propre parc, activer la double authentification a stoppé net les tentatives de connexion suspectes. Elles n'ont pas disparu, mais elles ne mènent plus nulle part.
VPN et chiffrement
Deux outils distincts, souvent confondus.
Le VPN chiffre le trajet entre votre machine et le réseau de l'entreprise. Il protège les données en transit, surtout depuis un réseau douteux.
Le chiffrement du disque protège les données au repos. C'est ce qui fait la différence quand on vous vole votre sac dans le train. Sans chiffrement, votre portable perdu est une clé USB géante offerte à qui la trouve. Avec, l'appareil est une brique inutilisable.
| Outil | Ce qu'il protège | Quand il est indispensable |
|---|---|---|
| Gestionnaire de mots de passe | Vos identifiants | En permanence |
| Double authentification (MFA) | Vos comptes | Sur tout accès sensible |
| VPN | Les données en transit | Réseaux publics, déplacements |
| Chiffrement du disque | Les données stockées | Dès qu'un appareil peut être volé |
| Réseau invité | L'ensemble du foyer | Dès que vous avez des objets connectés |
Cette combinaison couvre l'essentiel. Le reste, c'est de la discipline.
Que faire en cas de piratage, de perte ou de vol ?
J'ai mis longtemps à comprendre que la réaction compte autant que la prévention. Une donnée qui fuit ne prévient pas. Mais celui qui la détient a des obligations.
La procédure de notification de violation
Dans le cadre du RGPD, une violation de données personnelles qui présente un risque pour les personnes concernées doit être notifiée à l'autorité de protection des données dans les 72 heures après que l'organisation en a pris connaissance. Ce délai court vite, et c'est le genre de chose qu'on ne peut pas improviser à 22 heures un dimanche.
Ce que ça implique pour vous, salarié : dès que vous soupçonnez un incident, vous remontez l'information immédiatement. Pas le lendemain en réunion. Le compte à rebours démarre quand l'entreprise sait, pas quand tout le monde est disponible.
La checklist des premiers réflexes
- Couper la connexion de l'appareil compromis (débrancher le réseau).
- Changer les mots de passe des comptes accessibles depuis cet appareil, en commençant par la messagerie.
- Révoquer les sessions actives et les jetons d'accès.
- Prévenir immédiatement l'équipe technique ou le référent sécurité.
- Ne rien effacer : les traces servent à comprendre l'ampleur de la fuite.
- Si l'appareil a été perdu ou volé, déclarer le vol et signaler la perte des accès.
- Documenter ce qui s'est passé, quand, et ce que vous avez fait. Par écrit.
Ce dernier point paraît anodin. Il ne l'est pas. Quand la question « qui savait quoi, et quand » arrivera, votre note écrite vaudra de l'or.
Ce que votre employeur peut — et ne peut pas — surveiller
La peur du flicage est réelle, et elle n'est pas infondée. Heureusement, elle est aussi encadrée.
Votre employeur peut mettre en place des outils de contrôle, mais ils doivent être justifiés, proportionnés et portés à votre connaissance. Il ne peut pas vous surveiller en permanence et sans limite. La frontière est écrite : obligations de loyauté d'un côté, respect de la vie privée et du domicile de l'autre. Le télétravail s'exerce chez vous, ce qui renforce cette protection, pas l'inverse.
Si un jour on vous demande d'installer un logiciel de surveillance sur votre matériel personnel, vous avez le droit de poser la question. Demander pourquoi, pour quoi faire, et jusqu'où : ce n'est pas de la paranoïa, c'est de la vigilance normale.
La vraie leçon, celle que j'ai fini par retenir, c'est qu'il n'existe pas de mur parfait. Entre votre vie pro et votre vie perso, dans un même salon, la frontière n'est jamais étanche. Ce qui compte, c'est de savoir où elle passe, de la rendre visible, et de décider à quoi vous acceptez de renoncer. La sécurité n'est pas un état qu'on atteint. C'est un équilibre qu'on tient, un peu chaque jour.
