Oui pour bloquer ce qui est dangereux, non pour surveiller ce que font les gens. Cette distinction n'est pas une précaution de langage, elle détermine la légalité du dispositif et son acceptation par les équipes.
Un filtrage qui bloque les domaines malveillants est une mesure de sécurité proportionnée. Un dispositif qui produit la liste des sites consultés par chaque salarié est un traitement de surveillance, encadré strictement et régulièrement sanctionné quand il est mal déclaré.
Ce que le filtrage apporte réellement
Il coupe l'accès aux domaines connus comme hébergeant des codes malveillants ou des pages d'hameçonnage. Un lien cliqué dans un message frauduleux n'aboutit pas, et l'incident s'arrête là.
Il empêche également un rançongiciel déjà présent de joindre son serveur de commande pour récupérer ses clés de chiffrement. Cette interruption suffit parfois à neutraliser une attaque en cours.
Le filtrage au niveau de la résolution de noms est le moyen le plus simple d'obtenir ce résultat. Il se met en place en changeant l'adresse du service utilisé, ce qui prend quelques minutes, et des offres accessibles aux PME existent.
Ce qui relève d'un autre débat
Bloquer les réseaux sociaux, les sites de vidéo ou les sites d'achat relève de la politique interne, pas de la sécurité. C'est un choix légitime, mais il doit être assumé comme tel et discuté avec la direction plutôt que présenté comme une mesure technique.
L'expérience montre que ces blocages larges produisent surtout des contournements, l'usage se déplaçant vers le téléphone personnel. Le bénéfice réel est souvent inférieur au coût social de la mesure.
Certaines catégories font toutefois consensus et se justifient sans difficulté, les sites illégaux et ceux à caractère manifestement inapproprié dans un cadre professionnel.
Le cadre légal, à respecter avant de déployer
Un dispositif de filtrage traite des données personnelles dès lors qu'il conserve qui a tenté d'accéder à quoi. Trois obligations en découlent.
L'information des salariés, qui doivent savoir que le dispositif existe, ce qu'il fait, ce qu'il conserve et pendant combien de temps. Une mention dans la charte informatique ou une note d'information suffit, mais elle doit exister.
La consultation du comité social et économique lorsqu'il existe, préalablement à la mise en place.
L'inscription du traitement au registre, avec une durée de conservation limitée. Six mois constituent un ordre de grandeur usuel pour ce type de traces.
Un dispositif déployé sans ces étapes est contestable, et les preuves qu'il produirait le seraient également en cas de litige avec un salarié.
L'analyse des connexions chiffrées
La quasi-totalité de la navigation est aujourd'hui chiffrée, ce qui limite ce qu'un filtrage peut voir sans intervention supplémentaire.
Certains équipements proposent de déchiffrer les flux pour les analyser. Cette pratique est techniquement possible mais elle mérite une grande prudence. Elle expose l'entreprise au contenu de communications potentiellement privées, banque en ligne, santé, messagerie personnelle, et elle exige alors des garanties renforcées.
Dans une PME, le rapport entre le bénéfice et la complexité penche nettement en faveur d'un filtrage par nom de domaine, sans déchiffrement.
Le poste de l'atelier et les machines
Les postes de supervision et les équipements industriels n'ont généralement aucune raison d'accéder à Internet. C'est pourtant fréquemment le cas, par facilité lors de l'installation.
Leur couper l'accès sortant est une mesure plus efficace que n'importe quel filtrage, et elle ne gêne personne. Les rares flux nécessaires, mise à jour d'un logiciel de supervision ou télémaintenance, se déclarent explicitement.
Ce que les blocages vous apprennent
Le filtrage produit un signal utile au-delà de la protection. Un poste qui tente régulièrement de joindre un domaine malveillant indique une compromission probable, et c'est souvent le premier indice disponible.
Encore faut-il que quelqu'un lise ces alertes. C'est la question à trancher avant le déploiement, faute de quoi le dispositif protège sans jamais rien apprendre.
Ce qui suffit dans une petite structure
Une revue annuelle convient, à condition d'être réellement faite. Elle consiste à vérifier que le filtrage est actif sur l'ensemble des postes, y compris les portables en déplacement, à relire les catégories bloquées pour confirmer qu'elles correspondent toujours à la décision de la direction, et à examiner les alertes de l'année.
Questions fréquentes
Peut-on bloquer les réseaux sociaux au travail ?
Juridiquement oui, à condition que la mesure soit proportionnée, portée à la connaissance des salariés et que les représentants du personnel aient été consultés. Dans les faits, ces blocages larges déplacent l'usage vers le téléphone personnel sans bénéfice réel. Ils relèvent d'un choix de politique interne, à assumer comme tel plutôt qu'à présenter comme une mesure de sécurité.
Faut-il informer les salariés du filtrage ?
Oui, c'est une obligation et non une courtoisie. Les salariés doivent connaître l'existence du dispositif, sa finalité, les données conservées et leur durée de conservation. Le comité social et économique doit être consulté préalablement lorsqu'il existe. À défaut, le dispositif est contestable et les preuves qu'il produirait le seraient aussi.
Le filtrage protège-t-il les portables en déplacement ?
Seulement s'il est appliqué sur le poste lui-même plutôt qu'au niveau du réseau de l'entreprise. Un filtrage installé uniquement sur le pare-feu ne protège plus dès que le portable se connecte depuis un domicile ou un hôtel. Les offres actuelles proposent un agent qui suit l'appareil, ce qui traite ce cas.
Les postes de l'atelier doivent-ils accéder à Internet ?
Presque jamais, et leur couper l'accès sortant est plus efficace que tout filtrage. Ils y accèdent souvent par facilité lors de l'installation, sans besoin réel. Les rares flux nécessaires, comme une télémaintenance, se déclarent explicitement plutôt que de laisser un accès général ouvert.