En une phrase. Le télétravail sécurisé mobilise 4 piliers selon l’ANSSI : poste maîtrisé (corporate, chiffré, EDR), accès distant sécurisé (VPN + MFA), gouvernance (charte télétravail signée) et sensibilisation (phishing, vol matériel). Le guide ANSSI « Recommandations de sécurité informatique pour le télétravail » (mars 2023) reste la référence. NIS 2 impose ces mesures aux entités essentielles ; la CNIL a sanctionné plusieurs cas d’absence de MFA sur accès distants.
Depuis 2020, le télétravail concerne en moyenne 38 % des salariés français au moins 1 jour par semaine (DARES 2024). C’est aussi le vecteur d’intrusion #2 après le phishing (Verizon DBIR 2024 — 24 % des intrusions exploitent un accès distant compromis).
Points clés
- L’ANSSI publie le guide « Recommandations de sécurité pour le télétravail » (mars 2023).
- Poste corporate + chiffrement disque + EDR : socle non négociable.
- MFA obligatoire sur tous les accès distants (VPN, webmail, SaaS).
- Le BYOD doit faire l’objet d’une politique spécifique (MDM, conteneurs).
- La charte télétravail est obligatoire (Code du travail art. L1222-9).
1. Cadre juridique du télétravail sécurisé
| Texte | Exigence |
|---|---|
| Code travail L1222-9 | Charte ou accord collectif |
| RGPD art. 32 | Sécurité du traitement |
| NIS 2 art. 21 §2(i) | Contrôle d’accès |
| ANI 2020 télétravail | Bonnes pratiques |
| Guide ANSSI 2023 | Référentiel opérationnel |
2. Poste de travail : corporate ou BYOD ?
| Modèle | Sécurité | Coût | Acceptable ANSSI |
|---|---|---|---|
| COPE (Corporate, Personally Enabled) | Très haut | Élevé | Oui, recommandé |
| COBO (Corporate, Business Only) | Très haut | Élevé | Oui |
| CYOD (Choose Your Own Device) | Haut | Moyen | Oui sous conditions |
| BYOD (Bring Your Own Device) | Variable | Faible | Uniquement avec MDM strict ou VDI |
L’ANSSI déconseille fortement le BYOD pur pour les données sensibles. Pour OIV/OSE : BYOD interdit de fait.
3. Configuration minimale du poste
Pour Windows 11 (référence ANSSI 2024) :
- Disque chiffré BitLocker avec TPM 2.0 + PIN
- Compte utilisateur non admin (UAC niveau 4)
- EDR activé (Defender for Endpoint P1 minimum)
- Pare-feu activé en sortie aussi
- Patches Windows et applicatifs < 30 jours
- VPN configuré avec auth certificat + MFA
- Verrouillage automatique < 5 minutes
- Sauvegarde cloud synchronisée (OneDrive Business chiffré)
Pour macOS : FileVault + Gatekeeper + MDM Jamf/Intune. Pour Linux : LUKS + auditd + AppArmor.
4. VPN : technologies recommandées
L’ANSSI qualifie plusieurs solutions VPN :
| Solution | Qualification | Usage |
|---|---|---|
| IPsec IKEv2 | Référence ANSSI | Site-to-site, nomade |
| WireGuard | Acceptable depuis 2022 | Nomade moderne |
| OpenVPN | Acceptable (TLS 1.2+) | Nomade |
| Stormshield VPN | Qualifié | Défense, secteur public |
| Tixeo | Qualifié SecNumCloud | Visio + collab |
À éviter : PPTP (cassé), L2TP/IPSec sans PSK fort, SSL VPN propriétaires non audités.
5. MFA : obligatoire partout
Hierarchie ANSSI 2024 :
| Facteur | Robustesse | Acceptation |
|---|---|---|
| Clé FIDO2 (YubiKey, Token2) | Très haute | Recommandée |
| TOTP (Google/Microsoft Auth) | Haute | Acceptable |
| Push notification | Moyenne | Acceptable avec number matching |
| SMS | Faible | Déconseillé sauf défaut |
| Très faible | Déconseillé |
La CNIL a sanctionné CDISCOUNT (2022) — 230 000 € notamment pour absence de MFA sur les accès admin ; les exigences détaillées figurent dans la politique de mots de passe ANSSI.
6. Accès aux applications : Zero Trust
Le modèle Zero Trust Network Access (ZTNA) remplace progressivement le VPN traditionnel :
- Pas de réseau de confiance
- Authentification continue
- Accès application par application (pas réseau entier)
- Inspection contextuelle (device posture, géo, horaire)
Solutions : Zscaler ZPA, Cloudflare Access, Palo Alto Prisma Access, Microsoft Entra Private Access.
7. Environnement physique : recommandations ANSSI
À domicile :
- Pièce dédiée ou paravent visuel
- Pas de réunion sensible en lieu public (TGV, café)
- Webcam désactivable physiquement (cache)
- Micro désactivable
- Box internet : changer mot de passe par défaut, WPA3 si possible
- Wi-Fi invité séparé du Wi-Fi pro
Le télétravail en tiers-lieu (coworking) impose des précautions supplémentaires : filtre écran, pas de Wi-Fi public sans VPN.
8. Visioconférence sécurisée
L’ANSSI distingue 3 niveaux :
| Niveau | Données | Solutions acceptables |
|---|---|---|
| Standard | Données publiques / DR | Teams, Meet, Zoom |
| Sensible | Données internes | Teams, Webex, Tixeo |
| Diffusion restreinte (DR) | Stratégique, OIV | Tixeo, Olvid Meet, RENATER |
Zoom et Teams ne sont pas qualifiés pour Diffusion Restreinte (transmission éventuelle hors UE).
9. Messagerie et collaboration
Pour les contenus internes sensibles :
- Olvid (qualifié, E2EE) pour échanges critiques
- Tchap (basé Matrix, gouvernement français)
- Whaller (réseau social français)
- Jamespot (collaboration française)
Éviter pour le pro sensible : WhatsApp, Telegram, Signal (acceptable mais étranger).
10. Stockage et partage de fichiers
| Solution | Qualification | Souveraineté |
|---|---|---|
| OneDrive / SharePoint | Non qualifié | US |
| Google Drive | Non qualifié | US |
| Box | Non qualifié | US |
| Drive ENS / RENATER | Acceptable | FR |
| Oodrive | SecNumCloud | FR |
| Outscale Suite | SecNumCloud | FR |
| NextCloud (auto-hébergé) | Variable | FR |
Pour les données de santé, SecNumCloud ou HDS sont obligatoires.
11. Charte télétravail : contenu type
Un modèle de charte télétravail couvre les clauses ci-dessous ; la partie strictement informatique relève de la charte informatique.
Selon le Code du travail (art. L1222-9) et la jurisprudence prud’homale, la charte doit couvrir :
- Éligibilité (postes, ancienneté)
- Modalités (jours, horaires, joignabilité)
- Sécurité informatique (poste fourni, VPN, MFA)
- Confidentialité (lieu de travail, écran, impression)
- Frais professionnels
- Droit à la déconnexion
- Sanctions disciplinaires en cas de manquement sécurité
12. Sensibilisation et tests
Programme recommandé ANSSI :
- Formation initiale télétravail (1h, signature)
- Phishing simulé trimestriel
- Rappel sécurité mensuel (1 e-mail/mois, 1 minute lecture)
- Quiz annuel obligatoire
- Exercices crise (vol laptop, compromission compte) annuel
Solutions de phishing simulé : KnowBe4, Cofense, Phished.io, Conscio Technologies (français).
FAQ
Faut-il un poste corporate pour le télétravail ?
Recommandé fortement par l’ANSSI. Indispensable pour OIV/OSE, données sensibles, NIS 2. Le BYOD est acceptable uniquement avec MDM strict et conteneurisation (Microsoft Intune, Jamf, MobileIron). Coût d’un poste corporate : ~1 200 € amortis sur 4 ans = 25 €/mois.
Le VPN est-il toujours nécessaire en 2026 ?
Oui pour l’accès au SI interne. Pour les applications SaaS (Office 365, Salesforce), une solution ZTNA (Zero Trust) est souvent plus adaptée. Le VPN reste indispensable pour fileshares, ERP internes, accès admin.
Quelle est la responsabilité du salarié en télétravail ?
Le salarié doit respecter la charte télétravail et les consignes sécurité (Code travail L1222-9). En cas de faute lourde (partage volontaire d’identifiants, contournement MFA), sanction disciplinaire et engagement de responsabilité possibles. Mais la sécurité reste de la responsabilité de l’employeur (art. L4121-1 et RGPD art. 32).
Peut-on télétravailler à l’étranger ?
Oui mais avec précautions : (1) impôt et URSSAF (pays UE OK 25%, hors UE risqué), (2) RGPD si transfert de données vers pays hors UE, (3) sécurité (Wi-Fi pays à risque, surveillance étatique). L’ANSSI publie une liste de pays à risque pour les déplacements pro (Russie, Chine, Iran, Corée du Nord).
Comment gérer le vol d’un laptop télétravail ?
(1) Verrouillage à distance Intune/Jamf, (2) Effacement à distance (wipe), (3) Rotation mots de passe comptes connectés, (4) Révocation certificats VPN, (5) Plainte police obligatoire, (6) Déclaration assurance + RH. Si données personnelles à risque : notification CNIL sous 72h.