En télétravail, la sécurité informatique d'une petite ou moyenne entreprise (PME) suisse repose sur des règles claires pour les appareils, les accès, les comptes et les données. L'Office fédéral de la cybersécurité (OFCS) range la sécurisation des accès à distance parmi ses six mesures techniques de base. Il y ajoute des mesures organisationnelles, comme l'authentification à plusieurs facteurs et la sensibilisation du personnel.
Ces règles prolongent les bases de la cybersécurité PME, qui valent aussi au bureau. Cette page traite seulement du travail à distance.
Le besoin est réel. Selon l'étude Cybersécurité des PME 2026, publiée le 22 octobre 2026, 6 % des PME suisses ont subi une cyberattaque grave en trois ans.
Chiffres clés
- 6 % des PME suisses ont subi une cyberattaque grave en trois ans, et jusqu'à 16 % de celles qui comptent au moins dix collaborateurs.
- Le hameçonnage, le vol de mots de passe, les logiciels malveillants et les attaques contre les réseaux et serveurs jouent chacun un rôle dans environ un tiers des incidents.
- Plus de 80 % des PME installent les mises à jour, et neuf sur dix font des sauvegardes.
- Un quart seulement des PME teste régulièrement la restauration de ses sauvegardes.
- Environ un tiers seulement forme régulièrement son personnel ou tient un inventaire de ses systèmes informatiques.
Pourquoi le télétravail change-t-il la sécurité informatique ?
Selon l'OFCS, les cyberattaques passent par le personnel, mais aussi souvent par des systèmes informatiques insuffisamment protégés.
Les attaques vécues par les PME suisses sont variées. Dans l'étude 2026, hameçonnage, vol de mots de passe, logiciels malveillants et attaques contre les réseaux et serveurs jouent chacun un rôle dans environ un tiers des incidents.
Notre analyse : le travail à distance touche ces quatre voies à la fois. L'employé lit ses courriels seul, se connecte depuis un autre réseau et utilise un appareil que l'entreprise ne voit plus chaque jour.
Quelles règles pour les appareils utilisés à distance ?
La première règle consiste à savoir quels appareils sortent de l'entreprise. L'OFCS place le recensement de l'environnement des technologies de l'information et de la communication (TIC) en tête de ses mesures techniques. Il s'agit de savoir quels appareils, logiciels et services l'entreprise utilise.
Viennent ensuite trois gestes que l'office cite aussi parmi ses mesures techniques :
- installer les mises à jour de sécurité ;
- utiliser un antivirus et des pare-feu ;
- sauvegarder les données.
Plus de 80 % installent les mises à jour, selon l'étude 2026. Mais environ un tiers seulement tient un inventaire de ses systèmes informatiques.
Exemple daté : le 21 octobre 2026, l'OFCS a demandé d'installer immédiatement les correctifs de deux failles critiques dans PHP, un langage de programmation pour le web. Il recommandait de vérifier aussi les applications et les appareils qui intègrent PHP. Notre analyse : sans inventaire, une PME ne sait pas quels postes et outils distants vérifier.
Comment sécuriser les accès à distance et le réseau ?
L'OFCS cite deux mesures qui visent directement le travail à distance : sécuriser les accès à distance et segmenter les réseaux. La segmentation vise à éviter qu'une intrusion gagne tout le système.
Nicolas Mayencourt, fondateur de l'entreprise bernoise Dreamlab Technologies, recommande l'authentification à deux facteurs pour les systèmes sensibles. Selon lui, ces précautions de base empêchent les attaquants de se propager librement dans le réseau.
Notre analyse : pour une PME, la règle se résume ainsi. Un ordinateur piraté à domicile ne doit ouvrir que les systèmes dont son utilisateur a besoin. La page de protection de base de l'OFCS ne détaille pas la technique à employer pour y parvenir.
Quelles règles pour les comptes et les mots de passe ?
Les comptes forment le point le plus exposé quand l'équipe se connecte de l'extérieur. L'OFCS range parmi ses mesures organisationnelles l'usage de mots de passe sûrs et de l'authentification à plusieurs facteurs.
Le 19 octobre 2026, l'OFCS a publié « Cinq étapes pour une authentification sécurisée ». L'office y passe en revue le mot de passe, la clé d'accès et la carte à puce. Il propose de classer les moyens d'authentification selon la sécurité qu'ils offrent.
L'authentification à plusieurs facteurs est déjà courante dans les PME suisses, selon l'étude 2026. Notre analyse : la règle utile consiste à l'imposer sur chaque accès distant, en commençant par la messagerie et les systèmes sensibles.
Les droits comptent autant que les mots de passe. Dans notre article sur les réseaux de faux informaticiens, nous retenions une bonne pratique : ne donner à un nouvel employé à distance que les droits nécessaires.
Comment protéger les données hors du bureau ?
L'OFCS demande de régler le traitement des informations et des données sensibles. En télétravail, cette règle couvre les fichiers emportés, les outils en ligne et les services d'intelligence artificielle (IA).
Le 16 octobre 2026, l'OFCS a rappelé un risque précis. Introduire sans précaution des informations personnelles, confidentielles ou commerciales dans une IA peut conduire à un partage excessif de données.
Les sauvegardes complètent ce dispositif. Neuf PME sur dix en font, mais un quart seulement teste régulièrement leur restauration, selon l'étude 2026. Nicolas Mayencourt recommande des sauvegardes régulières conservées hors ligne.
L'OFCS demande aussi de régler les responsabilités pour le cloud et l'informatique externalisée. Notre analyse : quand l'équipe travaille à distance, l'entreprise doit savoir quel prestataire garde quelles données.
Comment préparer une équipe à distance au hameçonnage ?
Le personnel joue au quotidien un rôle décisif pour la sécurité de l'information, souligne l'OFCS. L'office recommande de le sensibiliser et d'encourager une culture du signalement. Il conseille aussi la prudence avec les courriels et la protection de l'e-banking.
Les arnaques changent vite. Le 20 octobre 2026, l'OFCS décrivait une nouvelle variante d'hameçonnage liée à de fausses réservations d'hôtels. Les escrocs y cherchaient à prendre le contrôle de comptes TWINT et d'e-banking.
Ce volet reste le plus faible dans les PME. Environ un tiers seulement forme régulièrement son personnel, selon l'étude 2026. Notre analyse : à distance, une culture du signalement suppose un contact connu de tous, joignable vite en cas de message suspect.
Recruter à distance : quels risques pour la sécurité ?
Le télétravail ouvre aussi un risque au moment du recrutement. Exemple daté : en octobre 2026, la justice américaine a annoncé l'inculpation de 14 personnes dans des réseaux d'informaticiens nord-coréens employés à distance.
Selon les procureurs, ces faux employés utilisaient des identités volées et des réseaux privés virtuels (VPN) pour paraître installés aux États-Unis. Plus de 70 employeurs sont concernés. Les accusations doivent encore être établies devant la justice.
Aucune entreprise suisse ne figure parmi les employeurs cités. Notre analyse, tirée de ce dossier, retient quelques signaux pour une PME qui embauche à distance :
- une adresse IP ne prouve pas où réside l'utilisateur ;
- l'identité se vérifie au-delà des documents envoyés, par exemple par entretien vidéo ;
- une adresse de livraison du matériel différente du domicile déclaré mérite une question ;
- un outil de prise de contrôle ou un boîtier KVM, qui pilote plusieurs machines à distance, doit être examiné ;
- un salaire versé sur le compte d'un tiers doit alerter.
Quelles règles écrire dans une politique de télétravail ?
Une politique de télétravail peut reprendre, domaine par domaine, les mesures de l'OFCS. Le tableau les rassemble.
| Domaine | Règle à poser | Mesure de référence |
|---|---|---|
| Appareils | Inventorier chaque poste, le tenir à jour, l'équiper d'un antivirus et d'un pare-feu | Mesures techniques de l'OFCS |
| Réseau | Sécuriser les accès à distance et segmenter le réseau de l'entreprise | Mesures techniques de l'OFCS |
| Accès et comptes | Mots de passe sûrs, authentification à plusieurs facteurs, droits limités au nécessaire | Mesures organisationnelles de l'OFCS |
| Données | Régler le traitement des données sensibles, sauvegarder et tester la restauration | Mesures de l'OFCS et étude 2026 |
| Personnel | Former au hameçonnage et désigner à qui signaler un incident | Mesures organisationnelles de l'OFCS |
Qui doit fixer ces règles dans la PME ?
La direction, répond l'OFCS. Pour l'office, la cybersécurité n'est pas une simple tâche du service informatique, mais une mission centrale de la direction.
Quand une mesure coûte cher ou demande beaucoup de personnel, l'OFCS recommande une pesée d'intérêts. Elle compare le coût de la mesure au risque de ne rien changer. L'étude 2026 note d'ailleurs que davantage de PME désignent un responsable de la cybersécurité.
Plusieurs outils aident à mesurer son point de départ. Le test cybersécurité PME gratuit, le Cybersecurity-Check, prend quelques minutes. La norme minimale TIC de la Confédération sert de liste de contrôle. Le label Cyber Safe ajoute une vérification par un auditeur. D'autres pages figurent dans notre rubrique pour protéger son entreprise.
Ce qu'on ne sait pas encore
La part des PME suisses qui ont fixé des règles écrites pour le télétravail n'est pas connue. On ignore aussi si les attaques recensées par l'étude 2026 visaient plus souvent des collaborateurs à distance.
La protection de base de l'OFCS ne prévoit pas de règle séparée pour le travail à domicile. Elle ne tranche pas non plus le cas des appareils personnels utilisés pour le travail.
