Les réunions vidéo et le partage de documents constituent aujourd'hui, avec l'accès direct aux fichiers de l'entreprise, le cœur quotidien et incontournable du travail à distance. Ils sont aussi devenus, avec cette généralisation rapide, une cible privilégiée pour des tentatives d'intrusion ou des fuites de données accidentelles.
La généralisation des outils de visioconférence et de partage de documents en ligne a rendu ces usages tellement routiniers qu'ils échappent souvent à la vigilance appliquée par ailleurs à l'accès aux données de l'entreprise via VPN. Pourtant, une réunion mal protégée ou un fichier partagé sans précaution peuvent exposer des informations tout aussi sensibles qu'un accès direct au réseau interne.
Un lien de réunion vidéo partagé sans restriction peut, selon la configuration de l'outil utilisé, être rejoint par n'importe qui en possession de ce lien, y compris une personne à laquelle il n'était pas destiné à l'origine. Ce phénomène, documenté sous le terme d'intrusion de réunion, a pris de l'ampleur avec la généralisation soudaine du télétravail, lorsque de nombreuses organisations ont déployé ces outils dans l'urgence sans en configurer correctement les paramètres de sécurité. Activer une salle d'attente qui exige une validation manuelle de chaque participant avant son entrée, exiger un mot de passe distinct du simple lien pour rejoindre la réunion, et éviter de publier ce lien sur un canal public non maîtrisé, réduisent considérablement ce risque.
Le verrouillage de la réunion une fois tous les participants attendus arrivés
Une fonctionnalité souvent disponible mais rarement utilisée consiste à verrouiller la réunion une fois que tous les participants attendus ont rejoint la session, empêchant toute nouvelle connexion ultérieure même en possession du lien ou du mot de passe. Pour les réunions traitant de sujets confidentiels (résultats financiers, projets stratégiques, données personnelles de collaborateurs ou de clients), ce verrouillage constitue une précaution simple et rapide, qui ne demande qu'un clic une fois la réunion effectivement commencée.
Partager l'intégralité de son écran plutôt qu'une seule fenêtre ou application spécifique expose potentiellement, aux yeux de tous les participants, l'ensemble des notifications, messages ou documents ouverts en arrière-plan pendant la réunion, y compris des informations sans rapport avec l'ordre du jour et parfois confidentielles. Privilégier systématiquement le partage d'une fenêtre ou d'une application précise, plutôt que du bureau entier, et désactiver temporairement les notifications de messagerie et de messagerie instantanée avant de démarrer un partage d'écran, évite ce type de fuite accidentelle, malheureusement fréquente et parfois lourde de conséquences.
L'envoi de documents sensibles par pièce jointe email reste une pratique répandue mais mal adaptée à la protection de données confidentielles : le fichier, une fois envoyé, échappe totalement au contrôle de son expéditeur, qui ne peut plus ni le retirer ni suivre qui y a effectivement accédé. Les plateformes de partage de documents en ligne, lorsqu'elles sont correctement configurées, permettent de définir une date d'expiration du lien de partage, de restreindre l'accès à des destinataires authentifiés plutôt qu'à quiconque possède le lien, et de révoquer complètement l'accès à tout moment, même longtemps après l'envoi initial du lien, un contrôle qu'il est tout simplement impossible d'exercer une fois qu'un email a déjà été envoyé au destinataire.
La messagerie instantanée intégrée à un outil de visioconférence sert fréquemment à échanger des liens, des identifiants temporaires ou des informations complémentaires pendant une réunion, sans que ces échanges bénéficient toujours de la même attention que le contenu principal de la conversation. Ce canal parallèle mérite le même niveau de prudence que tout autre message professionnel : éviter d'y transmettre des identifiants de connexion en clair, et vérifier, pour les réunions particulièrement sensibles, si l'historique de ce chat est conservé après la fin de la session et par qui il reste consultable ensuite.
Une erreur fréquente consiste à accorder par défaut un accès en modification à un document qui ne nécessitait qu'une simple consultation, ou à partager un dossier entier alors que seul un fichier précis était concerné par la demande initiale. Vérifier systématiquement, avant de valider un partage, le niveau de permission accordé (lecture seule, commentaire, modification complète) et le périmètre exact partagé (un fichier précis plutôt qu'un dossier parent contenant d'autres documents sans rapport), limite l'exposition au strict nécessaire pour chaque échange, plutôt que d'accorder par réflexe un accès plus large que nécessaire.
Ces bonnes pratiques applicatives se combinent avec la sécurisation de la connexion elle-même, en particulier lorsque les réunions ou les partages de fichiers ont lieu depuis un réseau Wi-Fi public ou peu fiable, un espace de coworking partagé par exemple, où de nombreux appareils inconnus coexistent sur la même infrastructure. Un VPN pour le télétravail chiffre le trafic de cette session, ce qui réduit sensiblement le risque d'interception du flux vidéo ou du contenu partagé par un tiers malveillant présent sur ce même réseau local partagé, une précaution complémentaire aux réglages applicatifs plutôt qu'un substitut à ces derniers.
Enregistrer une réunion vidéo, une fonctionnalité désormais standard sur la plupart des plateformes, soulève une question de conformité au-delà de la simple sécurité technique : dans de nombreuses juridictions, informer explicitement l'ensemble des participants avant le début de l'enregistrement constitue une obligation légale, pas une simple politesse. Au-delà de cet aspect réglementaire, le fichier d'enregistrement lui-même doit être stocké avec les mêmes précautions que tout autre document sensible : accès restreint aux personnes concernées, durée de conservation définie et limitée dans le temps, et suppression effective une fois l'enregistrement devenu inutile, plutôt qu'une accumulation indéfinie sur un espace de stockage partagé sans politique de rétention claire.
Les plateformes de stockage cloud appliquent des paramètres de partage par défaut qui varient sensiblement d'un service à l'autre, allant d'un partage restreint aux seules personnes explicitement invitées jusqu'à un partage ouvert à quiconque dispose du lien, ce dernier réglage étant parfois activé par défaut pour simplifier la collaboration. Vérifier ce paramètre par défaut au moment de la création d'un espace de partage, plutôt que de découvrir après coup qu'un dossier sensible était accessible plus largement que prévu, reste une vérification rapide qui évite des expositions accidentelles autrement difficiles à détecter tant qu'aucun incident ne les révèle. Un audit périodique des dossiers partagés existants, pour identifier ceux dont le partage reste actif alors que le projet associé est terminé, complète utilement cette vigilance ponctuelle.
Aucun réglage technique, aussi bien configuré soit-il, ne compense une équipe qui n'a jamais été sensibilisée à ces bonnes pratiques et qui, par habitude ou par méconnaissance, désactive les salles d'attente jugées trop contraignantes ou partage systématiquement des dossiers entiers par simplicité. Une sensibilisation régulière, même brève, sur ces réflexes concrets reste souvent plus efficace qu'une politique de sécurité imposée sans explication ni accompagnement, en particulier dans les organisations où le télétravail s'est généralisé très rapidement, dans l'urgence, sans formation ni accompagnement associé à ce changement de pratique.