Chapitre 1012 minDébutant
Sensibiliser les utilisateurs et charte informatique
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- construire un plan de sensibilisation adapté aux publics ;
- mener et exploiter un exercice de faux hameçonnage ;
- rédiger les rubriques d'une charte informatique ;
- rendre une charte opposable aux salariés ;
- repérer une clause de contrôle illicite.
4 exercices corrigés
Sensibiliser les utilisateurs, c'est leur faire comprendre les risques liés aux outils numériques et leur donner les bons réflexes : reconnaître une attaque, protéger les données, signaler un incident. La charte informatique est le document qui fixe, pour tous, les règles d'usage des ressources informatiques de l'organisation et les contrôles possibles. Ce chapitre montre comment construire une action de sensibilisation efficace, ce que contient une charte et à quelles conditions elle est opposable aux salariés.
Pourquoi sensibiliser
Les attaques qui réussissent passent très souvent par un utilisateur : un clic sur un lien d'hameçonnage, un mot de passe réutilisé, une clé USB branchée, un virement fait sans vérifier. Les mesures techniques réduisent ces risques, mais aucune ne les supprime. Le référentiel du BTS en tire deux attendus : informer les utilisateurs sur les risques et promouvoir les bons usages, et sensibiliser à la protection des données personnelles.
L'objectif n'est pas de transformer chaque salarié en expert, mais d'obtenir trois comportements :
- reconnaître les situations à risque (message suspect, demande inhabituelle, appareil qui se comporte bizarrement) ;
- appliquer quelques réflexes simples (verrouiller sa session, vérifier par un autre canal, ne pas réutiliser ses mots de passe) ;
- signaler vite, sans crainte d'être blâmé.
Construire un plan de sensibilisation
Une affiche une fois par an ne change rien. Un plan efficace est régulier, adapté aux publics et mesuré.
| Élément du plan | Exemples chez Soléane |
|---|---|
| Publics et besoins | Tous les salariés ; la comptabilité (fraude au virement) ; les RH (données personnelles, fausses candidatures piégées) ; la direction (cible de harponnage) ; l'équipe informatique (comptes à privilèges) ; les nouveaux arrivants |
| Messages clés | Hameçonnage, mots de passe et gestionnaire, MFA, verrouillage de session, nomadisme, données personnelles, signalement |
| Formats | Session d'accueil des nouveaux, ateliers courts de 30 minutes, modules en ligne, quiz, affiches et fonds d'écran, courriel mensuel « le point cyber », exercices de faux hameçonnage, jeux sérieux |
| Ressources gratuites | Le MOOC SecNumacadémie de l'ANSSI, les kits de sensibilisation et fiches réflexes de Cybermalveillance.gouv.fr, les guides de la CNIL |
| Calendrier | Une action par mois, en lien avec l'actualité (période des impôts, soldes, fêtes de fin d'année, « Cybermois » d'octobre) |
| Indicateurs | Taux de participation, résultats des quiz, taux de clic et taux de signalement aux exercices, nombre de signalements spontanés |
Les exercices de faux hameçonnage
Un exercice consiste à envoyer aux salariés un faux courriel piégé, conçu par l'équipe sécurité ou un prestataire, et à mesurer qui clique, qui saisit ses identifiants et qui signale. Bien mené, c'est l'un des outils les plus efficaces. Quelques règles :
- l'exercice est annoncé dans son principe (les salariés savent que des exercices ont lieu, pas quand) et validé par la direction ;
- la personne qui clique arrive sur une page pédagogique qui explique les indices qu'elle aurait pu repérer ;
- les résultats sont exploités collectivement, jamais pour sanctionner ou afficher des noms ;
- les scénarios évitent les sujets qui heurtent (fausse prime, faux licenciement) ;
- on mesure surtout la progression du taux de signalement, qui montre que le réflexe s'installe.
C'est quoi une charte informatique ?
La charte informatique (ou charte d'utilisation des ressources informatiques) est un document qui définit les règles d'usage des outils numériques mis à disposition par l'organisation : postes, messagerie, Internet, applications, téléphones, accès distants. Elle informe aussi les utilisateurs des contrôles que l'employeur peut mettre en place et des sanctions en cas de manquement.
Elle a trois fonctions :
- sécuriser le SI, en fixant les comportements attendus ;
- informer les salariés de leurs droits et devoirs, et des dispositifs de contrôle (une condition de leur licéité) ;
- responsabiliser, en permettant de sanctionner un usage fautif.
Le contenu type d'une charte
| Rubrique | Contenu |
|---|---|
| Objet et champ d'application | À qui elle s'applique (salariés, stagiaires, intérimaires, prestataires) et quelles ressources elle couvre |
| Accès et authentification | Compte personnel et incessible, mot de passe confidentiel, MFA, verrouillage de session |
| Usage des équipements | Interdiction d'installer des logiciels non autorisés, de modifier la configuration, de brancher des équipements personnels sans autorisation |
| Messagerie et Internet | Usage professionnel, usage personnel raisonnable toléré, sites interdits, vigilance face à l'hameçonnage, identification des messages personnels (mention « Personnel » ou « Privé ») |
| Données | Classification et protection des informations, interdiction de les stocker sur des services non autorisés, règles d'usage des outils d'intelligence artificielle générative, protection des données personnelles |
| Nomadisme et BYOD | Règles pour les portables, les téléphones, le télétravail, l'usage d'appareils personnels (chapitre 8) |
| Réseaux sociaux | Discrétion sur les informations de l'entreprise, pas de prise de parole au nom de l'organisation sans autorisation |
| Signalement | Obligation de signaler sans délai tout incident, perte d'équipement ou message suspect, et à qui |
| Contrôles | Dispositifs en place (journalisation, filtrage, antivirus), finalités, durées de conservation, droits des salariés |
| Administrateurs | Obligations particulières de confidentialité des personnes qui disposent de droits étendus |
| Départ | Restitution du matériel, sort des fichiers et de la messagerie |
| Sanctions | Rappel que le non-respect peut entraîner des sanctions disciplinaires, voire des poursuites |
Voici un extrait de la charte de Soléane :
Article 4 : Mots de passe. Chaque utilisateur dispose d'un compte personnel. Il est responsable de son usage et ne communique son mot de passe à personne, y compris au service informatique, qui ne le lui demandera jamais. Il utilise un mot de passe différent pour chaque service et peut s'aider du gestionnaire de mots de passe fourni par Soléane.
Article 7 : Usage personnel. L'usage personnel de la messagerie et d'Internet est toléré s'il reste raisonnable, ne gêne pas l'activité et respecte la loi. Les messages et fichiers personnels doivent être identifiés par la mention « Personnel » dans l'objet ou le nom du dossier.
Article 11 : Signalement. Tout message suspect, toute perte ou tout vol d'un équipement, tout comportement anormal d'un poste est signalé sans délai au service informatique, par le bouton « Signaler » de la messagerie ou au poste 4242. Aucun reproche ne sera fait à l'utilisateur qui signale de bonne foi une erreur qu'il a commise.
La charte administrateur
Les administrateurs ont techniquement accès à presque tout : boîtes aux lettres, fichiers, journaux. Une charte administrateur (ou une partie dédiée de la charte) encadre ce pouvoir : ils n'accèdent aux données des utilisateurs que lorsque c'est nécessaire à leur mission (maintenance, sécurité), ils sont tenus au secret professionnel sur ce qu'ils voient, ils ne divulguent pas le contenu des messages et fichiers personnels, ils tracent leurs interventions, et ils utilisent leurs comptes privilégiés uniquement pour administrer.
Quelle valeur juridique pour la charte ?
Une charte simplement envoyée par courriel a une valeur d'information, mais elle ne permet pas de sanctionner. Pour être opposable aux salariés et fonder une sanction disciplinaire, elle doit être annexée au règlement intérieur, dont elle suit alors la procédure : avis du comité social et économique (CSE), transmission à l'inspection du travail, dépôt au greffe du conseil de prud'hommes et affichage. Le règlement intérieur est obligatoire dans les entreprises d'au moins 50 salariés. Le détail de cette procédure est dans le cours CEJM droit.
Les contrôles annoncés dans la charte doivent respecter quatre règles : être proportionnés au but recherché, être portés à la connaissance des salariés avant leur mise en œuvre, être soumis à la consultation du CSE quand il existe, et respecter le RGPD (finalité, base légale, durée de conservation, inscription au registre). La CNIL juge disproportionnés les dispositifs de surveillance permanente, comme les enregistreurs de frappe ou les captures d'écran régulières.
Le même raisonnement en SLAM et en SISR
En SLAM, la sensibilisation passe aussi par l'interface : un message clair lors de la création d'un mot de passe (indicateur de robustesse, conseil de phrase de passe), une alerte quand une connexion a lieu depuis un nouvel appareil, une page de connexion qui rappelle que le service ne demande jamais le mot de passe par courriel. Les développeurs eux-mêmes ont leur propre sensibilisation : les pièges de l'OWASP Top 10 et la gestion des secrets.
En SISR, le technicien met en œuvre ce que la charte annonce (filtrage web, journalisation, blocage des supports amovibles), configure le bouton de signalement dans la messagerie, déploie l'outil de faux hameçonnage, et applique lui-même la charte administrateur.
Pour aller plus loin. La place de la charte dans la politique de sécurité est expliquée dans le chapitre PSSI et charte informatique, et sa valeur juridique dans le chapitre Charte informatique du cours Droit et RGPD.
Exercices
Exercice 1 sur 4 Analyser une campagne de faux hameçonnage Réussi À revoir
Soléane (140 salariés) a mené deux campagnes à six mois d'intervalle :
| Clics sur le lien | Identifiants saisis | Signalements | |
|---|---|---|---|
| Mars | 31 | 12 | 9 |
| Septembre | 14 | 4 | 47 |
- Calcule, pour chaque campagne, le taux de clic, le taux de saisie et le taux de signalement (à 0,1 % près).
- Quel indicateur montre le mieux l'efficacité de la sensibilisation ? Pourquoi ?
Voir la réponseMasquer la réponse de l'exercice 1
- Mars : clic 31 / 140 ≈ 22,1 %, saisie 12 / 140 ≈ 8,6 %, signalement 9 / 140 ≈ 6,4 %. Septembre : clic 14 / 140 = 10,0 %, saisie 4 / 140 ≈ 2,9 %, signalement 47 / 140 ≈ 33,6 %.
- Le taux de signalement, passé de 6,4 % à 33,6 %. Un clic finit toujours par arriver ; ce qui protège l'organisation, c'est qu'un salarié signale vite, pour que l'équipe bloque le message pour tous et réagisse si quelqu'un a cliqué. La baisse des saisies d'identifiants (8,6 % à 2,9 %) est aussi un bon signe.
Tu avais trouvé ?
Exercice 2 sur 4 Rédiger un article de charte Réussi À revoir
Rédige l'article de la charte de Soléane consacré à l'usage des outils d'intelligence artificielle générative grand public (assistants conversationnels en ligne).
Voir la réponseMasquer la réponse de l'exercice 2
Une proposition :
« Article 9 : Outils d'intelligence artificielle. L'usage d'outils d'intelligence artificielle générative est autorisé uniquement avec les services validés par le service informatique et listés sur l'intranet. Il est interdit d'y saisir ou d'y déposer des données personnelles (clients, patients, salariés), des données de santé, des informations financières, des identifiants, du code source ou tout document interne non public. Les contenus produits sont vérifiés avant tout usage : l'utilisateur reste responsable de ce qu'il diffuse. Toute question est adressée au service informatique ou au délégué à la protection des données. »
L'article doit rester clair, justifier l'interdiction par la protection des données (confidentialité, RGPD) et indiquer à qui s'adresser.
Tu avais trouvé ?
Exercice 3 sur 4 Une clause licite ? Réussi À revoir
Pour chaque clause proposée par un dirigeant, dis si elle peut figurer dans la charte et justifie.
- « Le service informatique conserve pendant un an les journaux de connexion aux applications, afin d'assurer la sécurité du système d'information. »
- « Un logiciel enregistre toutes les frappes au clavier des salariés pour contrôler leur productivité. »
- « Les messages électroniques non identifiés comme personnels sont présumés professionnels et peuvent être consultés par l'employeur. »
- « La webcam des télétravailleurs reste activée en permanence pendant les heures de travail. »
Voir la réponseMasquer la réponse de l'exercice 3
- Licite : finalité de sécurité légitime, durée limitée et conforme à la recommandation de la CNIL (entre six mois et un an pour ce type de journaux), à condition que les salariés en soient informés.
- Illicite : un enregistreur de frappe est une surveillance permanente et disproportionnée, que la CNIL juge contraire aux droits des salariés (sauf circonstance exceptionnelle liée à un fort impératif de sécurité, qui n'est pas le contrôle de productivité).
- Licite : c'est la règle posée par la jurisprudence. Les messages identifiés comme « Personnel » restent protégés par le secret des correspondances.
- Illicite : surveillance permanente disproportionnée ; la CNIL l'a explicitement écartée pour le télétravail.
Tu avais trouvé ?
Exercice 4 sur 4 Un plan pour la comptabilité Réussi À revoir
Le service comptable de Soléane (6 personnes) a été visé deux fois en un an par des tentatives de fraude au changement de RIB. Propose trois actions de sensibilisation ciblées et une mesure organisationnelle.
Voir la réponseMasquer la réponse de l'exercice 4
Actions de sensibilisation (exemples) :
- Un atelier de 30 minutes à partir des deux tentatives réelles, en montrant les indices et ce qui aurait pu se passer.
- Une fiche réflexe affichée près des postes : « Changement de RIB ? Contre-appel obligatoire au numéro du contrat, jamais à celui du message. »
- Un exercice ciblé de faux message de fournisseur, suivi d'un débriefing collectif.
Mesure organisationnelle : une procédure de modification des coordonnées bancaires avec contre-appel sur un numéro déjà connu, double validation par deux personnes, et délai de vérification avant le premier paiement sur le nouveau compte.
Tu avais trouvé ?