ils veulent savoir comment nous sécurisons le télétravail

La sécurité du télétravail relève de la maîtrise d'accès et de l'authentification multifacteur

La question des postes de télétravail n'est généralement pas un thème distinct, mais une déclinaison de deux mesures plus larges prévues à l'article 21, paragraphe 2 de la NIS2 : la politique d'accès (dont fait parfois partie la question du chiffrement VPN, en vertu de la lettre e concernant la « politique et les procédures relatives à l'utilisation de la cryptographie ») et l'authentification (lettre j, authentification multifacteur et communication sécurisée). Les clients veulent savoir concrètement si un poste de télétravail est aussi bien sécurisé qu'un poste de bureau : un VPN ou un accès à confiance zéro est-il obligatoire, l'authentification multifacteur est-elle activée pour toutes les connexions externes, et existe-t-il une politique sur les appareils autorisés (ordinateur portable professionnel ou téléphone personnel) à accéder au système.

Si vous ne l'avez pas documenté explicitement, la réponse la plus honnête est « non » avec une explication : par exemple, l'accès aux systèmes de l'entreprise passe de toute façon par l'authentification multifacteur, indépendamment du lieu de travail du collaborateur. C'est souvent plus convaincant qu'un « oui » partiellement rempli concernant une politique de télétravail qui n'existe pas. Vérifiez d'abord si authentification multifacteur pour les systèmes d'entreprise est déjà documenté — si la réponse est « oui », cela couvre déjà une grande partie de cette question, car la plupart des clients posent la question sur le télétravail pour vérifier que l'accès est correctement organisé indépendamment du lieu. Si manquent à la fois la politique VPN et l'authentification multifacteur, la réponse « non » s'impose alors, avec éventuellement une explication sur ce qui existe (par exemple une politique de mots de passe uniquement).

Là où cela devient plus concret dans l'Annexe A de l'ISO 27001

L'ISO/IEC 27001 approfondit cela dans l'Annexe A sous les mesures de contrôle du « travail à distance » et de la maîtrise d'accès, et de nombreuses listes de contrôle des banques et des grands clients sont directement fondées sur cette classification de l'Annexe A — d'où le fait que la question se pose souvent indépendamment des dix domaines de la NIS2. La capacité d'une entreprise à fournir une réponse structurée à ce sujet dépend aussi de la question de savoir si elle relève elle-même de la Loi sur la cybersécurité ; si ce n'est pas le cas, une réponse pragmatique sur la situation existante est suffisante. Si vous doutez que l'entreprise en relève, consultez si l'entreprise relève de la NIS2 ou de sa transposition nationale — cela détermine le poids que cette réponse doit avoir dans l'image d'ensemble de la liste.