À retenir
- Plus d’un salarié du secteur privé sur cinq télétravaille au moins une fois par mois en France (Insee, données 2024).
- 58 % des TPE-PME utilisent des équipements personnels pour leur activité (Cybermalveillance.gouv.fr, 2025).
- Seules 26 % des TPE-PME équipées de dispositifs de sécurité protègent leurs accès distants par double authentification.
- Le RGPD s’applique au domicile du salarié : l’employeur reste responsable des données traitées à distance.
Une politique de sécurité télétravail écrite rend les outils efficaces et les règles opposables.
Le bureau s’est dispersé entre salons, cuisines et wagons de TGV. Pour une PME, chaque poste distant ajoute un réseau qu’elle ne maîtrise pas. Cybersécurité et télétravail ne font pas bon ménage par défaut. Ce guide détaille les risques réels, les bonnes pratiques de cybersécurité en télétravail prioritaires, les outils adaptés à une PME et le cadre écrit qui les rend opposables.
Pourquoi le télétravail amplifie les risques de cybersécurité en PME ?
Le télétravail déplace une partie du système d’information hors des murs de l’entreprise. Soit là où elle ne contrôle ni le réseau, ni l’environnement physique. Chaque accès distant ajoute une nouvelle porte d’entrée, que les PME ouvrent souvent avec moins de protection que les grands groupes.Les différents types de cartographie informatique
Les chiffres : les PME, premières cibles des cyberattaques en télétravail
Le travail à distance s’est installé durablement. Selon l’Insee (Insee Analyses n° 105, mars 2025), plus d’un salarié du secteur privé sur cinq travaillait à distance au moins une fois par mois en 2024. En 2019, seuls 4 % des salariés télétravaillaient régulièrement.
Les petites structures concentrent aussi les attaques. Dans son Panorama de la cybermenace 2025, l’ANSSI indique que les TPE, PME et ETI représentent 48 % des victimes de rançongiciel qu’elle a recensées, contre 37 % un an plus tôt. Aucune statistique publique ne ventile ces attaques selon le lieu de travail de la victime, mais les accès distants figurent parmi les portes d’entrée les plus exploitées.
Réseaux domestiques, shadow IT, appareils personnels : les nouvelles surfaces d’attaque
À domicile, l’ordinateur professionnel partage le réseau d’une box dont personne ne vérifie les mises à jour, mais aussi d’une console de jeux et d’enceintes connectées. Dans un espace de coworking ou une gare, il se connecte à un Wi-Fi public que n’importe qui peut imiter. L’entreprise ne voit plus ce qui entoure le poste.
Les appareils personnels élargissent encore la surface : selon le baromètre OpinionWay pour Cybermalveillance.gouv.fr publié en octobre 2025, 58 % des TPE-PME utilisent des équipements personnels pour leur activité ; et parmi elles, 43 % citent un ordinateur personnel et 27 % une messagerie personnelle. Le shadow IT, ces outils installés sans validation, ouvre d’autres canaux de fuite.
Phishing, ransomware, accès non sécurisés : les menaces les plus fréquentes
Le phishing, ou hameçonnage, reste le point de départ le plus courant. Selon le rapport d’activité 2025 de Cybermalveillance.gouv.fr, le piratage de compte arrive en tête des demandes d’assistance des entreprises et associations (21 %), devant l’hameçonnage (16 %) et la fraude au virement (13,5 %).
Le ransomware, ou rançongiciel, emprunte souvent ces accès volés pour entrer, puis chiffre les données et réclame une rançon. Les accès non sécurisés complètent le tableau. Un bureau à distance exposé sur Internet, un VPN sans double authentification ou un outil de prise en main oublié suffisent à un attaquant muni d’identifiants valides.
Le non-respect du RGPD en situation de télétravail
La protection des données en télétravail relève du RGPD, qui ne s’arrête pas à la porte du domicile. L’accord national interprofessionnel du 26 novembre 2020 précise que l’employeur prend les mesures nécessaires pour protéger les données traitées à distance et informe le salarié des règles de confidentialité. L’entreprise reste responsable de traitement.
L’article 32 du RGPD impose des mesures de sécurité adaptées au risque. L’article 33 exige de notifier à la CNIL, sous 72 heures, toute violation présentant un risque pour les personnes, perte d’un ordinateur contenant un fichier clients comprise. Des données chiffrées dispensent en revanche d’informer les personnes concernées (article 34).
La protection a une limite symétrique. Le 19 décembre 2024, la CNIL a infligé une amende de 40 000 € à une petite entreprise qui surveillait ses télétravailleurs avec un logiciel comptant leurs périodes d’inactivité et réalisant des captures d’écran régulières. Sécuriser les données ne revient pas à surveiller les salariés en continu.
Les erreurs humaines : premier facteur de cyber incident
L’erreur humaine intervient dans la majorité des incidents. Le Verizon Data Breach Investigations Report 2026, qui recense des violations de données dans le monde entier, relève une composante humaine dans 62 % des cas. Lien piégé, mot de passe réutilisé, mauvaise configuration ou envoi au mauvais destinataire : les formes varient, la cause reste la même.
Le télétravail retire le filet de sécurité informel du bureau. Seul devant un courriel urgent signé du dirigeant, un salarié n’a personne à qui demander confirmation. Parmi les TPE-PME victimes d’un incident interrogées par OpinionWay pour Cybermalveillance.gouv.fr en 2025, 43 % en attribuent la cause à un hameçonnage, loin devant les failles non corrigées (18 %).
Bonnes pratiques cybersécurité pour sécuriser le télétravail en PME
Savoir comment sécuriser le télétravail dans une PME commence par quatre pratiques : un accès chiffré, une authentification forte, un poste maîtrisé et des collaborateurs formés. Aucune ne demande d’équipe technique interne. Toutes doivent être appliquées sans exception pour sécuriser le télétravail en PME
Mettre en place un VPN d’entreprise pour les accès distants
Un VPN d’entreprise (réseau privé virtuel) chiffre la connexion entre le poste distant et le système d’information, ce qui neutralise l’écoute sur un Wi-Fi public. Le guide de l’ANSSI « Recommandations sur le nomadisme numérique », mis à jour en novembre 2023, recommande d’établir un tunnel VPN IPsec entre le poste nomade et le système d’information de l’entité.
Pour la sécurité réseau en télétravail, un VPN mal tenu devient lui-même la faille. La passerelle doit recevoir les correctifs dès leur publication, n’accepter que des connexions protégées par double authentification et ne donner accès qu’aux ressources utiles. Un VPN ouvert sur tout le réseau interne transforme un compte volé en accès total.
Activer l’authentification multifacteurs (MFA) sur tous les comptes
L’authentification multifacteurs exige, en plus du mot de passe, une preuve que seul l’utilisateur possède : une application sur son téléphone, une clé physique, une empreinte. Un mot de passe volé ne suffit plus. Selon le baromètre Cybermalveillance.gouv.fr 2025, seules 26 % des TPE-PME équipées de dispositifs de sécurité l’utilisent pour les connexions à distance (46 % entre 10 et 49 salariés).
Toutes les méthodes ne se valent pas. Le code reçu par SMS peut être intercepté, et les notifications à valider d’un clic cèdent aux attaques par saturation, où l’attaquant multiplie les demandes jusqu’à ce que l’utilisateur, excédé, accepte. Les clés physiques FIDO2 résistent mieux.
Sécuriser les postes de travail à distance : mises à jour, antivirus, chiffrement
Un poste de travail sécurisé en télétravail repose sur des réglages administrés à distance : mises à jour automatiques du système et des logiciels, antivirus ou solution de détection supervisée, chiffrement complet du disque. Sans chiffrement, un ordinateur volé livre ses fichiers ; avec, il ne reste qu’un matériel à remplacer.
Le poste doit être fourni et administré par l’entreprise. Un ordinateur familial partagé avec les enfants, sans compte séparé ni supervision, ne se sécurise pas à distance. Quand l’usage d’appareils personnels reste inévitable, l’accès doit passer par un bureau virtuel ou des applications isolées, sans donnée stockée localement.
Sensibiliser les collaborateurs aux risques cyber
La sensibilisation fonctionne quand elle est concrète et répétée. Dans le baromètre OpinionWay pour Cybermalveillance.gouv.fr publié en 2025, 41 % des répondants déclarent n’avoir reçu aucune sensibilisation à la cybersécurité en douze mois. Un faux hameçonnage par trimestre, suivi d’une explication de deux minutes, marque davantage qu’une journée de formation annuelle.
Le message tient en une règle : dans le doute, appeler. Une demande de virement, un changement de coordonnées bancaires ou un lien de connexion reçu par courriel se vérifie par un autre canal. Les collaborateurs doivent aussi savoir à qui signaler un incident, sans crainte d’être sanctionnés pour un clic, ce qui fonde toute démarche de protection des données contre les cyberattaques.
Quels outils pour sécuriser le télétravail dans une PME ?
Les outils de sécurité du télétravail couvrent quatre fonctions, à savoir : contrôler l’accès, gérer les identités, préserver les données et détecter les incidents. Le choix dépend surtout de ce que l’entreprise doit protéger et de la personne chargée du suivi au quotidien.
VPN et accès réseau zero trust
Le VPN ouvre un tunnel vers le réseau. L’accès réseau zero trust (ZTNA) ouvre un accès application par application, après vérification de l’identité et de l’état du poste à chaque connexion. Le premier accorde sa confiance une fois la connexion établie ; le second ne l’accorde jamais par défaut.
L’ANSSI tempère les promesses commerciales. Dans « Modèle Zero Trust : les fondamentaux », publié en juin 2025, elle présente le zero trust comme un complément de la défense périmétrique, pas comme une solution « tout en un ». Son adoption doit rester progressive, sous peine d’affaiblir le système d’information. Pour une PME, un VPN bien tenu reste un point de départ solide.
| Critère | VPN d’entreprise | Accès réseau zero trust (ZTNA) |
| Ce qui est ouvert | Le réseau interne, dans la limite des règles de filtrage | Une application à la fois |
| Vérification | A l’ouverture de la connexion | A chaque accès : identité et état du poste |
| Mise en oeuvre | Eprouvée, rapide à déployer | Progressive, plus exigeante |
| Adapté à | PME avec serveurs et applications internes | Environnements majoritairement en ligne |
Outils de gestion des identités et des accès (IAM)
La gestion des identités et des accès (IAM) centralise les comptes des collaborateurs dans un annuaire unique, relié à la messagerie, au VPN et aux applications métiers. Une connexion unique protégée par MFA remplace une série de mots de passe, et le départ d’un salarié se traite en désactivant un seul compte.
Les suites en ligne comme Microsoft 365 proposent ces fonctions selon les abonnements, dont l’accès est conditionnel : refuser une connexion depuis un pays inhabituel, exiger un poste géré pour ouvrir un fichier sensible… Le moindre privilège complète le dispositif. Chacun n’accède qu’à ce dont il a besoin.
Sauvegarde externalisée et Plan de Reprise d’Activité (PRA)
La sauvegarde et le PRA sont les premiers actifs mobilisés après un incident sur un poste distant. Un ordinateur chiffré par un rançongiciel se remplace ; ses données ne se retrouvent que si elles étaient copiées ailleurs, sur un support isolé et non modifiable.
Le plan de reprise d’activité fixe le délai de redémarrage acceptable et décrit la marche à suivre : réinstaller un poste sain, restaurer les données, réinitialiser les accès. Une sauvegarde externalisée dans un cloud français certifié ISO 27001 couvre aussi les données des suites en ligne, dont la conservation à long terme relève de l’entreprise et non de l’éditeur.
Solutions de supervision et détection des incidents
Un antivirus bloque ce qu’il connaît. Une solution de détection et de réponse (EDR) repère les comportements anormaux, comme un chiffrement massif de fichiers, et peut isoler le poste à distance. Selon le baromètre Cybermalveillance.gouv.fr de 2025, 39 % des entreprises équipées de 10 à 49 salariés en disposent, contre 65 % à partir de 50 salariés.
Encore faut-il que quelqu’un lise les alertes. Sans équipe interne, la supervision se confie à un centre opérationnel de sécurité (SOC) externalisé, actif la nuit comme le week-end. Selon le baromètre Cybermalveillance.gouv.fr 2025, 37 % des entreprises équipées de 10 à 49 salariés y ont recours.