Un employé demande à travailler de la maison une journée par semaine. Il possède déjà un très bon ordinateur à la maison, alors acheter un portable d’entreprise uniquement pour quatre ou cinq jours par mois peut sembler être une dépense inutile.

À première vue, cela semble tout à fait raisonnable. Mais permettre à un ordinateur personnel d’accéder aux systèmes de votre entreprise, c’est un peu comme remettre une clé de votre bureau à quelqu’un sans savoir qui d’autre a accès à sa maison, si les portes sont verrouillées ou si une fenêtre est restée ouverte.

Le problème n’est pas nécessairement l’employé. C’est l’appareil que vous ne contrôlez pas.

Un ordinateur personnel peut-il réellement mettre une entreprise à risque?

Un incident réel impliquant Disney démontre à quel point les choses peuvent rapidement mal tourner.

En 2024, un employé de Disney a téléchargé sur son ordinateur personnel ce qui semblait être une application de génération d’images par IA. En réalité, l’application était malveillante. Selon le département de la Justice des États-Unis, l’attaquant a réussi à accéder à l’ordinateur de l’employé, à obtenir des identifiants de connexion et, ultimement, à accéder à des milliers de canaux Slack internes de Disney.

L’employé ne cherchait évidemment pas à mettre son employeur à risque. Il a simplement installé un logiciel sur un ordinateur que son employeur ne gérait pas.

Et c’est précisément là que se situe le risque.

Votre équipe TI ne peut pas protéger ce qu’elle ne gère pas

Sur un ordinateur appartenant à l’entreprise, votre équipe TI peut contrôler les mises à jour de sécurité, l’antivirus et la protection des postes de travail approuvés par l’entreprise, le chiffrement, les applications ainsi que les politiques d’accès.

Un ordinateur personnel, c’est différent.

On peut y retrouver des jeux, des extensions de navigateur, des utilitaires gratuits, des logiciels de partage de fichiers ou encore de vieilles applications dont votre équipe TI ignore même l’existence. Certaines peuvent être malveillantes, tandis que d’autres peuvent simplement contenir des vulnérabilités qui n’ont jamais été corrigées.

Votre entreprise peut avoir mis en place de solides politiques de sécurité pour ses appareils gérés, mais ces protections peuvent être affaiblies lorsque des employés se connectent à partir d’ordinateurs personnels non gérés. Comme ces appareils ne respectent pas nécessairement les mêmes exigences de sécurité, ils peuvent créer de nouvelles occasions pour des attaquants d’accéder aux systèmes et aux réseaux de l’entreprise.

L’utilisation d’un VPN rend-elle un ordinateur personnel sécuritaire?

Il s’agit d’une idée fausse assez répandue.

Un VPN peut sécuriser la connexion entre l’employé et l’entreprise. Il ne rend toutefois pas automatiquement l’ordinateur de l’employé sécuritaire.

Imaginez le VPN comme un tunnel sécurisé menant directement à votre bureau. Le tunnel peut être extrêmement bien protégé, mais si vous y laissez entrer un appareil déjà compromis, vous risquez simplement de lui fournir une voie sécurisée vers votre réseau.

Si un logiciel malveillant est déjà présent sur l’ordinateur personnel d’un employé, le fait de connecter cet ordinateur au VPN de l’entreprise peut potentiellement exposer des systèmes et des ressources internes.

Qu’en est-il de la Loi 25 au Québec?

Pour les entreprises québécoises, un autre élément doit être pris en considération : les renseignements personnels.

Les employés qui travaillent à partir d’un ordinateur personnel peuvent accéder à des dossiers clients, des renseignements sur les employés, des contrats et d’autres données confidentielles, ou encore les télécharger sur leur appareil.

En vertu des exigences québécoises en matière de protection des renseignements personnels, les entreprises sont responsables de protéger les renseignements qu’elles recueillent et détiennent tout au long de leur cycle de vie. Permettre à des données d’entreprise d’être conservées sur des ordinateurs personnels non gérés peut rendre cette responsabilité beaucoup plus difficile à assumer.

Un portable d’entreprise en vaut-il vraiment la peine pour une seule journée par semaine?

À notre avis, oui. Le choix le plus judicieux demeure un ordinateur appartenant à l’entreprise et géré professionnellement.

Le véritable risque n’est pas ce qui se trouve sur l’ordinateur personnel de l’employé, mais plutôt ce à quoi cet appareil peut accéder : Microsoft 365, les courriels, Teams, SharePoint, les applications d’affaires, les données clients et les identifiants de l’entreprise.

Une seule session compromise peut suffire. Qu’un employé travaille à distance cinq jours par semaine ou seulement quelques jours par mois, le risque demeure.

Un portable peut sembler être une dépense inutile pour du télétravail occasionnel. Mais la véritable comparaison est entre le coût d’un appareil géré et le coût potentiel d’un accès non géré à votre entreprise.

Si l’utilisation d’appareils personnels est nécessaire, les entreprises devraient mettre en place une politique formelle de BYOD ou d’utilisation des appareils personnels à des fins professionnelles, ainsi que des contrôles techniques limitant les ressources auxquelles ces appareils peuvent accéder.

La flexibilité, sans compromettre la sécurité

Offrez de la flexibilité à vos employés sans perdre le contrôle. Present peut vous aider à sécuriser les accès à distance, à gérer les appareils et à protéger les données de votre entreprise, sans compliquer inutilement le télétravail.