De nombreux indicateurs d’ observés au cours des derniers mois laissent présager une recrudescence des obligations de retour au bureau cette année, et la directive du président Trump visant à mettre fin aux modalités de télétravail au sein des agences fédérales devrait encore accentuer cette tendance – tout en entraînant une possible recrudescence des menaces de cybersécurité.
Les chefs d'entreprise qui prônent le retour au bureau semblent surtout préoccupés par une éventuelle baisse de la collaboration et de la productivité des salariés, ainsi que, bien sûr, par les coûts liés à l'entretien d'espaces de bureau à moitié vides. En réalité, les études montrent qu’une politique imposant cinq jours de présence au bureau ne contribue guère à améliorer la productivité des salariés, ni les bénéfices de l’entreprise, ni ses performances boursières – et il existe sans aucun doute un risque de mécontenter, voire de perdre, des collaborateurs au cours de cette transition.
Cette recrudescence des plaintes des employés et du stress au travail a de graves répercussions pour les responsables de la sécurité des systèmes d’information (RSSI) ainsi que pour les autres personnes chargées de surveiller «les menaces internes » et la cybersécurité globale au sein des organismes publics et privés.
Et c'est l'une des raisons pour lesquelles les dirigeants d'entreprise doivent accorder la priorité à la cybersécurité lorsqu'ils évaluent les avantages et les inconvénients des différents lieux de travail de leurs collaborateurs.
«Il faut tenir compte des menaces internes, notamment du sabotage, car certains employés peuvent se sentir personnellement affectés par le changement et, dans des cas extrêmes, pourraient passer à l’acte. »Fritz-Jean Louis, conseiller principal en cybersécurité, Info-Tech Research
Car il ne s'agit pas simplement de revenir à la situation d'avant la pandémie. Le RTO a des répercussions sur la cybersécurité à plusieurs égards. Il y a certes des aspects positifs, mais les experts prévoient des défis de taille, car d'anciennes menaces de sécurité refont surface et d'autres risques imprévus compliquent la tâche des équipes chargées de la sécurité.
Les avantages et les inconvénients du RTO pour les RSSI
Tout d’abord, les avantages : si une initiative de reprise des activités après sinistre (RTO) peut poser certains défis, elle facilite également certains aspects de la cybersécurité pour les RSSI, explique Larry Whiteside Jr. Ce RSSI chevronné dirige désormais Confide, un service d’évaluation et de revente de produits destiné aux RSSI.
«Il est bien plus facile d’assurer la sécurité des personnes au sein même de votre entreprise. »Larry Whiteside Jr., responsable de la sécurité des systèmes d'information (RSSI) et cofondateur de Confide
« Il est bien plus facile d'assurer la sécurité des personnes au sein même de votre entreprise », déclare-t-il. « Vous ne connaissez pas la configuration informatique des particuliers, ni leur réseau domestique. » Qui utilise son ordinateur professionnel en son absence ? Quels autres appareils non sécurisés se trouvent sur ce réseau ? « La plupart des routeurs domestiques sont un véritable « fouillis », ajoute-t-il. » Rares sont ceux qui mettent à jour les logiciels qui y sont installés – à l'exception, peut-être, des groupes chinois spécialisés dans les menaces persistantes avancées (APT) , qui les infectent avec le logiciel malveillant .
L'approche « Zero Trust » – qui repose sur le principe de se méfier de tout ce qui se trouve sur le réseau et d'attribuer des privilèges sur la base d'une authentification robuste – était censée résoudre ces problèmes. Cependant, M. Whiteside Jr. précise qu’il s’agit d’une infrastructure complexe de type « » ( ) plutôt que d’un produit unique, et que de nombreuses entreprises n’étaient pas prêtes à l’adopter.
Les obligations liées aux RTO posent toutefois leurs propres défis, parmi lesquels figure la redoutable «» ( latérale), qui permet à un attaquant ayant compromis un appareil de se propager vers d’autres appareils du réseau de l’entreprise et de les compromettre à leur tour.
« Il ne s’agissait pas de passer d’un appareil à un autre pendant la pandémie, alors que tout le monde était chez soi ; il s’agissait davantage d’ , d’une escalade des privilèges », explique Whiteside Jr.
À domicile, un appareil professionnel n'est pas connecté au réseau de l'entreprise ; les pirates n'ont donc aucune possibilité de passer de cet appareil infecté aux machines du réseau du bureau. Au contraire, ces dernières années, les cybercriminels se sont attachés à dérober les identifiants des employés sur leurs appareils mobiles, ce qui leur permet de pirater leurs comptes professionnels en ligne dans les logiciels cloud. Un ordinateur infecté au sein d'un réseau domestique pourrait, par exemple, divulguer les identifiants de connexion à l'espace de travail cloud Microsoft 365 d'un employé, auquel un pirate pourrait alors accéder depuis son propre ordinateur pour voler ses fichiers professionnels. (Des politiques et des technologies appropriées en matière de gestion des identités et des accès peuvent contribuer à contrôler les autorisations des utilisateurs et à atténuer ces risques.)
Grâce à un déplacement latéral (ou dit « est-ouest »), un attaquant peut se déplacer horizontalement à travers un réseau, élargissant ainsi son accès avec une relative facilité. Alors que les outils de détection au niveau des terminaux identifient facilement le trafic nord-sud (c'est-à-dire les flux entrant ou sortant d'un réseau), les mouvements latéraux peuvent être plus difficiles à repérer. Les entreprises doivent s'appuyer sur une gestion autonome des terminaux et des solutions de surveillance en temps réel telles que la détection des anomalies ainsi que des outils sophistiqués d'analyse de la cybersécurité , qui permettent chacun d'enregistrer et de suivre les activités inhabituelles des utilisateurs.
Le plus grand risque en matière de cybersécurité pour les prestataires de services de télétravail (RTO) : lorsque des collaborateurs agissent de leur propre chef
Une autre source d’inquiétude pour les RSSI en matière de RTO : les tensions, qui pourraient mettre en péril les données ou les systèmes informatiques d’une entreprise.
«De nombreuses entreprises m’ont confié qu’elles s’étaient réjouies lorsque Amazon a annoncé [en septembre dernier] le retour au bureau cinq jours par semaine. » Ils y voient une occasion d'attirer des collaborateurs de qualité issus d'Amazon. »Mark Ma, docteur, maître de conférences en gestion d'entreprise à l'université de Pittsburgh
Mark Ma, maître de conférences en gestion d'entreprise à l'université de Pittsburgh ( ), a mené une étude sur les politiques de retour au travail (RTO) dans le secteur de l' . Il a constaté une baisse significative de la satisfaction des salariés lorsque les entreprises leur ont ordonné de reprendre le travail. Cela s'est traduit directement par un taux de rotation élevé du personnel, en particulier chez les salariées ayant des enfants à la maison, ainsi que chez les salariés expérimentés, un groupe qui accorde souvent une grande importance à son autonomie et qui est très recherché par les employeurs potentiels, note Ma. « De nombreuses entreprises m'ont confié qu'elles s'étaient réjouies lorsque Amazon a annoncé [en septembre dernier] ce retour au bureau cinq jours par semaine », explique-t-il. « Ils y voient une occasion d'attirer des collaborateurs de qualité issus d'Amazon. »
Certains de ces salariés emporteront-ils avec eux des secrets d'entreprise, peut-être pour rendre leur offre plus attractive auprès d'un nouvel employeur ? C'est une véritable source d'inquiétude, affirment les experts.
« Il faut tenir compte des menaces internes, notamment du sabotage, car certains employés pourraient être personnellement affectés par ce changement et, dans des cas extrêmes, pourraient passer à l'acte », met en garde Fritz-Jean Louis, conseiller principal en cybersécurité au sein du cabinet d'analyse Info-Tech Research.
Les salariés pourraient être tentés de riposter s'ils étaient soumis à une surveillance draconienne de la part de leur employeur lorsqu'ils travaillent à domicile. Les anecdotes abondent concernant des entreprises paranoïaques qui espionnent leurs employés en télétravail, en utilisant des logiciels de surveillance qui analysent la fréquence à laquelle les télétravailleurs déplacent leur souris afin de vérifier s'ils sont bien à leur poste de travail.
« Cette culture du présentéisme virtuel ne fait pas que s’aliéner les employés, mais constitue également un mauvais indicateur de productivité, met en garde Ma. »« Nous n'avons trouvé aucune preuve significative indiquant que les obligations de retour au bureau améliorent ou nuisent réellement aux performances des entreprises ou à la valorisation boursière de leurs actions », déclare M. Ma.
Une voie à suivre
Cette solution, jugée plus acceptable, s'inscrit également dans ce qu'il considère comme une voie à suivre pour les entreprises qui exigent une présence au bureau tout en favorisant des relations respectueuses et productives avec leur personnel. « Pourquoi ne pas suivre et surveiller directement la production ? » suggère-t-il. « Dans quelle mesure les salariés ont-ils progressé vers leur objectif, c'est-à-dire les résultats attendus ? »
«Une approche [hybride] donne la priorité, dans une certaine mesure, aux besoins des employés tout en cherchant à rendre ce temps passé au bureau plus fructueux. »Elysca Fernandes, directrice des services de recherche et de conseil en ressources humaines chez McLean and Company
Il recommande une approche hybride permettant de tirer parti des avantages du travail au bureau tout en minimisant les répercussions sur le moral et d'autres problèmes susceptibles d'entraîner des menaces importantes en matière de cybersécurité.
Pour les professionnels des ressources humaines, c'est une situation gagnant-gagnant. « C'est une approche qui accorde une certaine priorité aux besoins des salariés tout en cherchant à optimiser le temps passé au bureau », explique Elysca Fernandes, directrice des services de recherche et de conseil en ressources humaines au sein du cabinet de conseil McLean and Company. « Tout cela s'inscrit dans cette tendance générale à l'augmentation du temps que les gens passent dans des bureaux ou sur des lieux de travail physiques en dehors de leur domicile, même s'ils continuent à travailler à domicile. »
M. Ma propose de laisser les équipes décider elles-mêmes quand il est judicieux de se rendre au bureau. Cela peut concerner des horaires ou des jours fixes, ou bien s'articuler autour de types d'événements spécifiques, tels que les grandes réunions d'équipe ou les réunions avec les clients. La clé du succès réside dans un système de suivi des performances transparent et fiable, qui mesure des résultats concrets, tels que le nombre d'enregistrements traités ou le moment où un rapport est transmis.
Lorsqu’elles sont élaborées avec soin, les politiques de retour au travail peuvent concilier les objectifs de l’entreprise et les besoins des salariés, tout en accordant la priorité aux enjeux de cybersécurité dans le processus décisionnel.
