La sécurité des accès internet en entreprise peut nécessiter de filtrer des sites et d’encadrer l’usage des outils pour protéger le système d’information et organiser le travail. L’employeur ne peut pas pour autant surveiller chaque clic sans finalité précise, information préalable, accès limité aux journaux et durée de conservation proportionnée.
Le bon équilibre repose sur une charte compréhensible, des contrôles techniques fondés sur le risque et des droits d’accès minimaux. Le contournement individuel d’un blocage n’est pas une solution ; une erreur de filtrage doit suivre une voie d’exception documentée.
Principe directeur : collectez le moins de données possible pour atteindre un objectif explicite. Une mesure de sécurité ne justifie pas une observation permanente de l’activité individuelle.
Définir les usages autorisés avant de choisir un filtre
La charte informatique doit préciser les usages professionnels, la tolérance éventuelle d’un usage personnel raisonnable, les catégories bloquées, les modalités d’accès distant, les logiciels autorisés et la procédure de signalement. Elle évite de traiter chaque incident comme un conflit improvisé.
Il n’existe pas un droit général à un Internet sans restriction sur le matériel de l’entreprise. Inversement, une interdiction très large peut gêner la documentation, la formation ou l’accessibilité. Le filtrage doit correspondre aux métiers, aux données traitées et aux menaces identifiées.
Chercher comment débloquer des sites pour contourner une règle interne peut exposer le poste et violer la charte. Si une ressource utile est bloquée, le salarié doit demander une exception motivée au support ou au responsable.
Respecter finalité, transparence et proportionnalité
La CNIL admet que l’employeur contrôle et limite Internet ou la messagerie pour sécuriser le réseau et éviter les abus. Les personnes doivent connaître les dispositifs, les finalités, les données collectées, leurs destinataires, la durée de conservation et les droits dont elles disposent.
Un tableau de bord agrégé peut suffire à mesurer une menace ou une saturation. L’analyse nominative ne devrait intervenir que lorsqu’elle est nécessaire, encadrée et accessible aux seules personnes habilitées. Les journaux ne doivent pas devenir un outil de notation permanente de la présence ou de la productivité.
L’organisation documente la base juridique du traitement et associe, lorsque le cadre l’exige, les représentants du personnel et le délégué à la protection des données. Elle prévoit aussi la réponse aux demandes d’accès et la suppression des données à l’issue de la durée annoncée.
Appliquer le moindre privilège aux identités et aux données
Le filtrage d’URL n’empêche ni un compte compromis ni l’usage abusif d’une application autorisée. Chaque personne doit recevoir seulement les droits nécessaires à ses missions, pour une durée cohérente. Les comptes administrateurs, prestataires et anciens salariés nécessitent une revue spécifique.
L’authentification multifacteur, le chiffrement des flux, la gestion des correctifs, la segmentation et la surveillance des événements se complètent. Un VPN donne un chemin d’accès ; il ne décide pas à lui seul quelles ressources l’utilisateur peut consulter et ne protège pas tous les mots de passe.
Un ordinateur tel qu’ALTYK ou un écran partagé comme SAMSUNG n’est sûr qu’une fois intégré aux politiques de gestion adaptées à son usage. Pour une flotte d’appareils, l’inventaire, la configuration centralisée et la révocation rapide sont plus utiles qu’une liste figée de marques.
Choisir les outils pour une fonction définie
Un pare-feu filtre des communications selon des règles ; une passerelle web analyse des destinations ; une solution de gestion des terminaux impose des configurations ; un gestionnaire de mots de passe stocke des secrets. Regrouper ces fonctions sous le mot VPN conduit à de mauvaises attentes.
Un article grand public sur CyberGhost ne constitue pas une étude d’architecture d’entreprise. Le choix professionnel doit examiner l’authentification, l’administration, les journaux, la disponibilité, le support, la localisation des données et la capacité de révocation.
Avant le déploiement, testez les règles sur un groupe limité, documentez les faux positifs et ouvrez un canal d’exception. Après le déploiement, mesurez les incidents évités, les blocages injustifiés et les délais de traitement plutôt que le nombre brut de sites refusés.
Former sans transformer la sensibilisation en surveillance
Une formation utile explique les menaces liées au poste, les règles de la charte, les signaux d’hameçonnage, la procédure d’exception et le signalement. Une démonstration collective ne remplace pas un support accessible et consultable ensuite.
Les exercices de phishing doivent avoir un objectif pédagogique, une population définie et un traitement proportionné des résultats. Humilier publiquement les personnes ou conserver indéfiniment un classement individuel détériore la confiance et peut décourager le signalement.
Le salarié, de son côté, respecte la charte, ne contourne pas les contrôles et signale rapidement les erreurs ou incidents. L’entreprise corrige les règles trop larges et protège les données de journalisation avec le même sérieux que les autres données personnelles.
Le point GTLF
La sécurité efficace rend les règles compréhensibles et contestables. Filtrage, moindre privilège et journalisation doivent répondre à des risques précis. Transparence, procédure d’exception et conservation limitée protègent à la fois le système d’information et les personnes.
Questions fréquentes
Un employeur peut-il bloquer des sites internet ?
Oui, pour des finalités légitimes comme la sécurité ou l’organisation, avec des règles adaptées et portées à la connaissance des salariés.
Peut-il consulter tout l’historique nominatif ?
Un contrôle nominatif doit être nécessaire, proportionné, encadré et limité aux personnes habilitées ; une surveillance permanente n’est pas justifiée.
Que faire si un site professionnel est bloqué ?
Demandez une exception motivée par la procédure interne au lieu d’installer un outil de contournement.
Un VPN protège-t-il tous les accès de l’entreprise ?
Non. Il sécurise un chemin réseau défini ; les habilitations, les terminaux, l’authentification et la supervision restent nécessaires.
Que doit contenir une charte informatique ?
Les usages autorisés, les contrôles, leurs finalités, les données collectées, les sanctions possibles et les procédures d’aide, d’exception et de signalement.
Sources
- CNIL — contrôle de l’utilisation d’Internet et de la messagerie
- CNIL — guide de la sécurité des données personnelles 2024
- CNIL — BYOD : concilier sécurité et vie privée
- ANSSI — modèle Zero Trust, version 2025
L’autrice
Laura Jung
Rédactrice en chef de GTLF, Laura Jung couvre les tendances culturelles, le lifestyle, la maison, la technologie et les usages numériques, avec une attention particulière portée à la clarté des informations et des sources.
