Surveillance à distance

La surveillance à distance applique la même supervision du travail et de l'activité numérique aux personnes qui travaillent hors du bureau. La différence tient à l'endroit où l'activité est visible : non plus sur le réseau de l'entreprise, qui ne transporte plus tout le trafic, mais sur l'appareil lui-même.

Avant 2020, la surveillance des salariés s'étendait au réseau de l'entreprise. Le trafic passait par des proxys sur site et des équipements de prévention des pertes de données (DLP), les badges enregistraient la présence et le bureau assurait une surveillance informelle. Le télétravail a supprimé ces trois éléments à la fois.

Les organisations ont déplacé la surveillance vers le poste de travail. Des agents installés sur les ordinateurs portables enregistrent l'activité là où se trouve l'appareil, et le travail hybride a rendu ce changement durable. C'est le cœur de la surveillance de l'activité des utilisateurs pour les équipes réparties.

Les canaux sont en grande partie les mêmes qu'au bureau. Ce qui change, c'est le lieu de la capture : elle se fait sur l'appareil, car le réseau de l'entreprise ne voit plus le trafic.

Le suivi du temps de travail repose sur la même logique que la surveillance de la productivité, mais le chronomètre démarre désormais sur l'appareil et non sur la pointeuse.

La capture se fait au niveau du système d'exploitation. L'agent met les données en file d'attente en local et les envoie au serveur sur site de l'organisation à la reconnexion de l'appareil. Aucune connexion VPN permanente n'est nécessaire, et le fournisseur n'a pas accès aux données.

Le même agent signale tous les réseaux Wi-Fi détectés par l'appareil, et pas seulement celui auquel il est connecté. L'équipe sécurité peut ainsi distinguer le réseau du bureau, la box du domicile et un réseau public inconnu. Les postes peuvent aussi être comparés à des lieux approuvés grâce à la géolocalisation, et un déplacement inattendu déclenche une alerte.

La visualisation du bureau en direct et l'enregistrement programmé proviennent du même agent que celui qui couvre les postes du bureau. Il n'y a donc pas de mode distant distinct à activer. Le responsable ouvre une session en direct depuis l'onglet de surveillance, et chaque poste apparaît dans sa propre fenêtre.

Les sessions enregistrées se rejouent sur la frise d'activité : le contrôleur peut aller directement au moment où un fichier a été copié, sans visionner des heures de vidéo. L'enregistrement est l'option la plus intrusive, et il reste désactivé tant que la politique ne l'exige pas.

Le problème juridique central tient au lieu. L'appareil surveillé se trouve généralement au domicile du salarié, une sphère privée protégée dans la plupart des juridictions. Au titre du RGPD, la surveillance doit reposer sur une base légitime, être proportionnée à une finalité déclarée et ne collecter que le minimum de données. L'observation continue d'un domicile par webcam, micro ou écran est difficile à justifier. Plusieurs États américains exigent une information écrite sur la surveillance électronique, et en Allemagne le comité d'entreprise doit en général donner son accord.

Les appareils personnels aggravent le problème : un ordinateur familial peut exposer l'activité d'autres membres du foyer. Les parades consistent à ne surveiller que des appareils gérés ou des profils professionnels, à limiter la capture aux heures de travail, à désactiver les fonctions les plus intrusives tant qu'une enquête ne les justifie pas, et à restreindre l'accès aux données. Ces limites gardent le programme centré sur son objectif de sécurité, c'est-à-dire sur la menace interne que les appareils distants rendent plus difficile à voir.

La surveillance à distance est au cœur d'un débat sur le management. Quand l'observation directe disparaît, les managers sont tentés de mesurer l'activité plutôt que les résultats, et les chiffres d'activité peuvent sembler remplacer la confiance. Les critiques soutiennent qu'une observation constante accroît le stress, érode la confiance et récompense la manipulation des indicateurs.

Les organisations qui l'utilisent de façon durable la traitent comme un contrôle de sécurité et de conformité : un registre pour enquêter sur les incidents et repérer les comportements inhabituels grâce à l'analyse comportementale des utilisateurs et des entités. Elles ne la traitent pas comme une présence managériale en temps réel. Elles disent ce qui est collecté et pourquoi, examinent des agrégats plutôt que des individus et réservent l'examen approfondi aux alertes déclenchées. Un journal objectif protège aussi les salariés, car il est plus équitable qu'une impression.

Cinq éléments rendent un programme de surveillance plus facile à défendre.

1. 1

   Politique écrite et information

   Les salariés savent ce qui est surveillé, sur quels appareils et pourquoi. La surveillance cachée est restreinte, voire interdite, dans de nombreuses juridictions.

2. 2

   Proportionnalité par défaut

   Commencer par la couverture la moins intrusive qui répond à l'objectif. N'activer la capture d'écran, audio ou vidéo qu'avec une justification.

3. 3

   Discipline de finalité

   Utiliser les données pour la sécurité, la conformité et des relevés de temps équitables. Pas pour du micromanagement en temps réel ni pour des recherches ouvertes dans les données d'activité.

4. 4

   Contrôle d'accès et conservation

   Les données de surveillance ne sont visibles que par des rôles définis et conservées pendant une durée fixe et documentée.

5. 5

   Revue humaine

   Une personne examine les signalements automatiques avant toute conclusion ou sanction.

Commencez par la question à laquelle le programme doit répondre, puis choisissez les appareils et les données qui y répondent. Une couverture plus large que la finalité ne fait qu'ajouter un risque juridique sans rendre personne plus en sécurité.

Anexet fonctionne sur les serveurs du client, de sorte que les données capturées restent sous le contrôle de l'organisation. La page sur le déploiement sur site décrit l'architecture.

Pour aller plus loin : SOC et sécurité de l'information.