Ce qui est enregistré
L'agent installé sur le poste capture chaque événement de saisie avec des métadonnées de contexte, afin que le flux brut de caractères puisse être relu dans un ordre cohérent. La capture des frappes fait partie des types de données de la surveillance de l'activité des utilisateurs. Chaque élément enregistré comprend :
- Texte des frappes : les caractères saisis, y compris lettres, chiffres, symboles et touches de contrôle comme Entrée ou Tabulation. Ensemble, ils reconstituent mots, requêtes et messages.
- Contexte applicatif : le programme ou la fenêtre du navigateur dans lequel les touches ont été pressées. Il indique où la saisie a eu lieu.
- Horodatage : la date et l'heure de chaque frappe, pour rattacher la saisie à d'autres activités, comme une connexion, un transfert de fichier ou une alerte.
- Périmètre de capture : selon la politique, tous les utilisateurs en continu, seulement les comptes signalés ou seulement les applications choisies. Ce choix influe le plus sur le caractère intrusif du dispositif.
Où la capture est activée
La capture est un réglage du profil d'agent. Elle se trouve à côté des statistiques d'activité du poste et du contrôle du presse-papiers, si bien que son périmètre suit la politique de surveillance. La console ci-dessous montre l'interrupteur d'utilisation du keylogger pour le profil sélectionné.
Comment les organisations exploitent les données
La valeur vient de la recherche et du croisement des données de frappe avec les autres données d'activité. Usages typiques :
- Enquêtes internes : reconstituer ce qu'une personne soupçonnée de fuite a recherché ou écrit dans un chat sur la période examinée, dans le cadre de la détection des menaces internes.
- Contrôles de fraude et de processus : vérifier ce qu'un opérateur a saisi dans une transaction ou une fiche client lorsque son exactitude est contestée.
- Réponse aux incidents : récupérer des messages ou des commandes saisis dans des applications qui ne conservent pas de journal côté serveur.
- Analyse de productivité : utiliser le volume de frappes comme indicateur du temps de travail actif. Cet usage est contesté, et de nombreuses organisations l'évitent.
Surveillance des frappes clavier vs enregistreur de frappe
Techniquement, un keylogger repose sur le même mécanisme : un logiciel ou un matériel qui enregistre les frappes. La différence tient à qui le déploie et sous quelles contraintes. Les rapports de sécurité traitent l'enregistrement des frappes comme intrinsèquement criminel, alors que la même capture peut être un contrôle licite au travail. Ce qui tranche, c'est l'information, la finalité et la proportionnalité, et non la technique.
| Caractéristique | Surveillance en entreprise | Keylogger malveillant |
|---|---|---|
| Annoncée dans une politique écrite | ||
| Mise en œuvre par l'employeur sur les appareils de l'entreprise | ||
| Installée à l'insu de l'utilisateur | ||
| Encadrée par la loi et la finalité déclarée |
Mots de passe et saisies sensibles
Les claviers transportent certaines des données sensibles les plus critiques d'une entreprise : mots de passe, codes à usage unique, messages personnels, et données de santé ou financières saisies dans des formulaires web. La capture continue enregistre forcément une partie de ces données, d'où la question centrale de la protection de la vie privée. Garde-fous courants :
- Masquage ou exclusion : les champs de mot de passe et les applications définies sont exclus de la capture, ou leur saisie est stockée masquée et non en clair.
- Limitation de la finalité : les identifiants capturés ne servent qu'à des enquêtes définies, et non à la consultation générale des journaux.
- Contrôle d'accès : les données ne sont lisibles que par des rôles d'enquêteurs nommément désignés, et chaque accès est journalisé.
- Durées de conservation : les enregistrements sont supprimés automatiquement après une durée définie, précisée dans la politique de surveillance.
Cadre juridique selon les juridictions
La réponse varie fortement selon les juridictions, mais la logique reste générale. L'employeur est le plus solide sur les appareils de l'entreprise, avec information et finalités définies. Il est le plus fragile lorsque la capture est cachée, généralisée ou atteint les communications privées.
| Juridiction | Approche générale | Condition supplémentaire |
|---|---|---|
| États-Unis | Largement permis sur les appareils de l'employeur | Plusieurs États exigent une information écrite |
| Union européenne | RGPD : base légale, limitation de la finalité, proportionnalité | La capture généralisée est jugée excessive |
| Allemagne ou Pays-Bas | Les règles du RGPD s'appliquent pleinement | Un accord avec le comité d'entreprise est aussi requis |
| Royaume-Uni | Possible au titre du RGPD britannique | Intérêt légitime documenté et analyse d'impact |
| Brésil, Canada, Australie | Logique proche des modèles ci-dessus (au Brésil, la LGPD s'applique) | Le consentement du salarié n'est que faiblement libre |
Avant d'activer la capture
La plupart des litiges naissent d'une étape oubliée, et non de la technologie. Tranchez ces points par écrit avant que le premier agent n'enregistre :
- 1
Définir la finalité
Précisez l'enquête ou le contrôle que sert la capture. Une capture effectuée pour elle-même est la plus difficile à justifier.
- 2
Limiter le périmètre
Choisissez les utilisateurs, applications et appareils concernés. Excluez les champs de mot de passe et les communications privées lorsque la politique le permet.
- 3
Informer par écrit
Décrivez la capture dans la politique de surveillance et consultez le comité d'entreprise ou un organisme équivalent lorsque la loi l'exige.
- 4
Fixer conservation et accès
Définissez la durée de conservation des enregistrements, les rôles d'enquêteurs autorisés à les lire et la manière dont chaque accès est journalisé.
Par où commencer
Commencez par les données dont la fuite causerait le plus de dégâts, puis par les appareils qui les traitent réellement. Une capture ciblée, annoncée et de courte durée se justifie plus facilement auprès des salariés et des auditeurs.
Pour aller plus loin : Le profilage.
Les frappes montrent ce qui a été saisi. La politique décide si quelqu'un doit le lire.
Anexet TeamComment Anexet traite ce sujet
Le module Activité d'Anexet inclut la capture des frappes comme élément configurable de la surveillance de l'activité des utilisateurs. Les agents installés sur les postes enregistrent les touches pressées avec le nom de l'application et l'heure de chaque frappe, et les enregistrements sont disponibles dans la console de sécurité :
Les données de frappe comptent parmi les plus sensibles qu'une organisation puisse détenir. L'architecture sur site garde les données capturées dans l'infrastructure de l'organisation, et chaque événement figure dans une piste d'audit complète et attribuable.
Ce qui est capturé
Chaque frappe est journalisée avec l'application où elle a été saisie et son horodatage. La saisie peut être reconstituée par utilisateur, application et plage horaire.
Signalement des champs de mot de passe
Les enregistrements sont signalés lorsque la saisie a été faite dans un champ de mot de passe. Les identifiants se retrouvent avec une condition de recherche dédiée, et non en lisant les journaux ligne par ligne.
Consultable avec le reste des données d'activité
Les enregistrements de frappe sont consultables avec les données d'applications, de presse-papiers, de captures d'écran et de transferts interceptés, ce qui permet de lire la saisie dans son contexte.
Piste d'audit
Chaque événement enregistré porte des métadonnées d'utilisateur, d'horodatage et d'application. Cela soutient les enquêtes et la politique de conservation.
Fonction Keylogger
En savoir plus