Entre un contrat consulté dans le train, un bulletin de paie envoyé depuis un smartphone personnel ou un dossier disciplinaire ouvert sur une tablette entre deux rendez-vous, la mobilité s’est imposée dans le quotidien des services RH. Elle apporte de la souplesse, mais elle déplace aussi des données parmi les plus sensibles de l’entreprise hors des murs sécurisés du bureau. Voici les risques concrets et les réflexes à adopter pour les limiter.
Pourquoi les données RH sont une cible de choix
Les informations que manipule un service RH combinent tout ce qu’un attaquant recherche : identité, argent et vie privée. Un seul dossier RH compromis peut suffire à alimenter une usurpation d’identité, un chantage ou une fraude bancaire.
Une concentration d’informations sensibles
Un dossier salarié rassemble souvent, au même endroit, un numéro de sécurité sociale, peut-être déjà compromis par ailleurs, un RIB, une adresse, des informations de santé et parfois des éléments touchant à la vie personnelle. Cette concentration en fait une cible bien plus rentable pour un attaquant qu’une simple fiche client, et bien plus dommageable en cas de fuite pour la personne concernée comme pour l’entreprise.
Des usages mobiles souvent improvisés
Beaucoup de fuites ne viennent pas d’un piratage sophistiqué, mais d’un usage mobile mal encadré : un fichier transféré vers une messagerie personnelle pour aller plus vite, une pièce jointe ouverte sur un réseau Wi-Fi public, un téléphone laissé déverrouillé sur une table de café. Le risque naît rarement de la malveillance mais plutôt de l’habitude.
Les mesures concrètes pour réduire l’exposition
Réduire les risques ne suppose pas de renoncer à la mobilité, mais de l’encadrer avec quelques règles simples, appliquées systématiquement plutôt qu’occasionnellement.
Chiffrer les connexions avec un VPN
Dès qu’un collaborateur RH accède à un dossier depuis l’extérieur, il doit passer par un VPN professionnel. Un réseau Wi-Fi d’aéroport, d’hôtel ou de café n’offre aucune garantie de confidentialité : les échanges qui y transitent peuvent être interceptés relativement facilement par un tiers connecté au même réseau. Un réseau à domicile mérite aussi un chiffrement de qualité. Utiliser un VPN chiffre la connexion de bout en bout et empêche ce type d’interception, même sur un réseau non maîtrisé. C’est une mesure peu coûteuse à déployer et particulièrement efficace, qui devrait être imposée par défaut sur tout appareil professionnel, et non laissée au choix de l’utilisateur.
Verrouiller et chiffrer les appareils
Un téléphone ou une tablette professionnelle doit être protégé par un code, une empreinte ou une reconnaissance faciale, avec un verrouillage automatique après quelques minutes d’inactivité. Le chiffrement du stockage local, activé par défaut sur la plupart des appareils récents, doit être vérifié plutôt que présumé. En cas de perte ou de vol, cette double protection limite considérablement les dégâts, à condition qu’une procédure d’effacement à distance soit également prévue.
Séparer les usages professionnels et personnels
Installer une messagerie personnelle, des applications de stockage grand public ou des outils non validés par la DSI de l’entreprise, sur un même appareil qui héberge des dossiers RH, multiplie les points de fuite possibles. Une solution de gestion des appareils mobiles (MDM) permet de cloisonner les données professionnelles dans un conteneur sécurisé, indépendant des applications personnelles et d’appliquer des politiques de sécurité cohérentes sans dépendre de la discipline individuelle de chacun.
Limiter les accès aux seules données nécessaires
Un chargé de recrutement n’a pas besoin de consulter les bulletins de paie de l’ensemble de l’entreprise, et un gestionnaire de paie n’a pas nécessairement besoin d’accéder aux comptes rendus d’entretiens disciplinaires. Définir des droits d’accès par profil, plutôt que par un accès global RH, réduit mécaniquement la surface d’exposition en cas de compromission d’un compte ou d’un appareil.
Faire de la sécurité mobile un réflexe d’équipe
Les outils techniques ne suffisent pas s’ils ne sont pas accompagnés d’une culture partagée par toute l’équipe RH, qui manipule ces données au quotidien.
Former sans culpabiliser
La majorité des incidents proviennent d’une méconnaissance des risques plutôt que d’une négligence volontaire. Des sessions courtes et régulières, centrées sur des cas concrets rencontrés par l’équipe, sont plus efficaces qu’une charte de sécurité lue une fois puis oubliée. L’objectif est de faire comprendre pourquoi chaque règle existe, pas seulement de l’imposer.
Prévoir une procédure claire en cas d’incident
Un appareil perdu, un e-mail envoyé au mauvais destinataire, une application suspecte installée par erreur : chacun de ces événements doit avoir une marche à suivre connue de tous, avec un contact identifié à prévenir immédiatement. Plus le signalement est rapide, plus les mesures correctives (effacement à distance, changement de mot de passe, notification si nécessaire) sont efficaces.
La mobilité ne s’oppose pas à la sécurité des données RH : elle exige simplement qu’on lui applique les mêmes exigences qu’au poste fixe, avec des outils adaptés à son contexte. VPN, chiffrement, cloisonnement des usages et formation continue forment un socle simple à mettre en place, et suffisant pour transformer un risque quotidien en habitude maîtrisée.