La sécurité informatique d’une entreprise ne repose pas uniquement sur ses outils techniques ou la solidité de son infrastructure. Elle dépend aussi, et surtout, des comportements quotidiens de ses collaborateurs. Toutefois, certaines erreurs utilisateurs se produisent sans même que les intéressés s’en rendent compte. Si elles paraissent anodines en apparence, elle peuvent avoir des conséquences réelles. Voici cinq cas typiques à surveiller de près.

Réutiliser le même mot de passe partout

C’est l’un des réflexes les plus répandus… et les plus risqués. Par simplicité ou par peur d’oublier, beaucoup d’utilisateurs utilisent le même mot de passe (ou une légère variante) pour accéder à plusieurs services. Le danger ? Si un seul de ces services est compromis, tous les autres deviennent accessibles. Cette pratiques facilitent les attaques par « credential stuffing », où les cybercriminels testent automatiquement des identifiants dérobés sur différents services.

Ce qu’il faut faire :

• Imposer des mots de passe uniques et complexes
• Sensibiliser à l’usage d’un gestionnaire de mots de passe
• Activer l’authentification à deux facteurs dès que possible

Cliquer un peu trop vite sur un lien ou une pièce-jointe

Un collaborateur reçoit un email qui semble provenir d’un fournisseur, d’un manager ou d’un outil interne. Il clique sur le lien ou télécharge la pièce-jointe. En apparence, tout va bien. Mais l’attaque est malheureusement déjà lancée. Le phishing est aujourd’hui particulièrement bien maquillée. Les attaquants savent désormais adapter le ton, les logos, les signatures… et exploitent le moindre moment d’inattention.

Ce qu’il faut faire :

• Encourager le réflexe de vérification (adresse de l’expéditeur, contexte, orthographe…)
• Former régulièrement les équipes aux techniques d’hameçonnage actuelles
• Mettre en place un canal simple pour signaler les emails suspects

Utiliser une messagerie ou un outil personnel pour partager des fichiers professionnels

Il arrive qu’un salarié envoie un document via sa boîte mail personnel, ou utilise un service de transfert non validé par le service IT de la société (comme WeTransfert ou un Google Drive personnel), faute d’accès rapide à l’outil officiel. Ce type de comportement expose les données à des risques de fuite ou d’accès non autorisé. Il fragilise aussi la traçabilité des échanges, pourtant nécessaire en cas d’incident ou de contrôle.

Ce qu’il faut faire :

• Fournir des outils internes faciles d’accès et adaptés aux besoins
• Expliquer les risques liés à l’usage de solutions non maîtrisées
• Rappeler les règles de traitement des données, en particulier si elles sont sensibles

Laisser son poste de travail déverrouillé en partant

Ce geste paraît anodin, surtout dans un bureau fermé ou une salle de réunion. Pourtant, un poste laissé sans surveillance est une porte ouverte à des actions malveillantes ou involontaires : consultation d’emails, copie de fichiers, envoi de messages… Même dans un environnement de confiance, le verrouillage automatique doit devenir un réflexe.

Ce qu’il faut faire :

• Configurer un verrouillage automatique après quelques minutes d’inactivité
• Sensibiliser à l’importance de verrouiller son poste dès qu’on s’absente
• Intégrer ce point dans les checklists d’arrivée des nouveaux collaborateurs

Partager ses accès avec un collègue « juste pour dépanner »

« Tu peux me prêter tes identifiants , je dois juste accéder à un document rapidement« . Ce genre de demande semble inoffensive à première vue, surtout entre collègues de confiance. Pourtant, elle contrevient à un principe fondamental de la sécurité informatique : l’individualisation des accès. Partager ses identifiants revient à rendre les actions non traçables. En cas d’incident, il devient difficile de savoir qui a fait quoi et le responsabilités se noient dans le brouillard.

Ce qu’il faut faire :

• Interdire clairement le partage d’identifiants dans les chartes informatiques
• Mettre en place un système de délégation temporaire, si besoin
• Insister sur la responsabilité individuelle liée à chaque compte utilisateur

En conclusion, ces comportements ne sont pas le fruit de négligence volontaire. Ils traduisent souvent un manque d’information, des outils mal adaptés ou des situations où la productivité a pris le pas sur la sécurité. Les corriger demande donc de la pédagogie, des rappels réguliers et un environnement technique cohérent. L’objectif n’est par conséquent pas de surveiller, mais d’accompagner au quotidien.