MediaPasc (2) : La sécurité informatique en entreprise

Dans de nombreuses entreprises, l’accès à Internet est soit bridé, soit il n’y a pas d’accès du tout. Pour certains métiers, Internet est inutile ou inutilisable, par exemple maçon dans le BTP ou vendeur au détail. Pour d’autres, une partie du réseau est utile, mais pas tout le réseau. Non seulement dans les bureaux, mais aussi pour certains itinérants comme les commerciaux et technico-commerciaux : il est intéressant pour certains, outre leurs outils bureautiques, de disposer par exemple du catalogue de leurs produits avec un état des stocks en temps réel.

Lorsqu’une connexion Internet est installée, pourquoi en restreindre l’accès ? Est-ce par peur d’une chute de productivité ? Non. Le fantasme des débuts, largement partagé par les dirigeants, du salarié qui surferait toute la journée au lieu de travailler, s’est estompé, à mesure qu’Internet s’est démocratisé et que Monsieur Tout-le-monde s’est approprié le média. De plus il existe des moyens de mesurer la productivité, de fixer des objectifs, et de mettre le hola si ceux-ci ne sont pas atteints, quelqu’en soit la raison. Ce bridage est-il alors mis en place pour fliquer les salariés ? Si c’est techniquement possible (toute action sur un réseau informatique laisse une trace sur les serveurs), la loi encadre étroitement l’usage de ces informations. De plus, sauf à être paranoïaque, les responsables ont (normalement) autre chose à faire que de scruter tout ce qui se passe sur les postes Internet des autres salariés. Je parle bien ici de l’accès à Internet. Il est vrai que dans certains domaines d’activité, existent des outils informatiques qui peuvent être perçus comme intrusifs par le personnel, mais qui permettent une meilleure gestion du service au quotidien. C’est le cas dans les centres d’appel par exemple. Ces outils sont cependant indépendants d’Internet.

Connaissant le coût d’un accès à Internet (démultiplié par le nombre de postes considérés), il semble donc étrange ensuite d’en restreindre l’accès ? Ce sont les informaticiens qui détiennent la réponse : la vraie raison, c’est la sécurité informatique. Il s’agit essentiellement de se protéger des intrusions extérieures. Or plus on cible ce qu’il est permis de visiter, plus il est facile d’en sécuriser l’accès. La tentation est alors grande de filtrer plus que moins, pour simplifier la gestion des proxy, pare-feux et autres passerelles et antivirus. Le consensus se trouve quand tout le monde est d’accord sur les types d’accès utiles/non utile à l’exercice des métiers.

Une manière complémentaire d’assurer la sécurité des données est d’agréger les informations maison à partager au sein d’un Intranet. Ainsi, si l’utilisation de Google Agenda peut être considérée comme une solution transitoire pour des informations non essentielles, il ne peut être question d’utiliser Google Docs pour partager des documents stratégiques. La poste c’est 200000 salariés, environ 200 sites Intranet, sur différentes plateformes. MediaPasc est l’un d’eux et concernera à terme entre 300 et 400 personnes. Les responsables informatiques des différents niveaux ont donc du pain sur la planche. Comme il n’est pas possible de surveiller tous les usages des salariés (à moins de ne faire que ça à plein temps), le centre de Vannes se repose à la fois sur le filtrage et sur le sens des responsabilités du personnel (Une charte Internet est accessible sur le réseau interne). Je ne me suis pas senti gêné pour effectuer me mission. Il est vrai qu’ayant les mêmes droits pour surfer que mon binôme, responsable informatique de la structure, j’ai conscience que les autres salariés avaient sans doute des droits différents en fonction de leurs métiers. Néanmoins cet accès privilégié n’empêche pas de tomber parfois sur un Error 403 forbidden. Facebook est ainsi hors du périmètre permis, tout comme l’accès aux boites mail publiques (Gmail, Yahoo, Free, etc…, du moins via Portable Thunderbird. Je n’ai pas pensé à essayer http://www.laposte.net/ 🙂 ).

Quand à la charte Internet, elle rappelle celles que les bibliothèques font signer à leurs usagers. Là encore, la sécurité est au centre des préoccupations. Il est demandé par exemple de faire passer sa clé USB à l’antivirus par un responsable avant de s’en servir, ce que j’ai fait de bonne grâce. La charte met également en garde sur les documents attachés aux mails. Il y est aussi question des logiciels téléchargeables sur le réseau, qu’il convient d’utiliser avec précautions. Enfin, la charte précise que tout le trafic est tracé, pour le cas où des soupçons de mauvaises pratiques auraient à être confirmés. Du bon sens en somme.

En savoir plus : Sécurité des systèmes d’information (Wikipedia)