Tous les articles par Damien Bancal

Damien Bancal, expert reconnu en cybersécurité Damien Bancal est une figure incontournable de la cybersécurité, reconnu à l’international pour son expertise et son engagement depuis plus de 30 ans. Fondateur de ZATAZ.com en 1989 (et DataSecurityBreach.fr en 2015), il a fait de ce média une référence majeure en matière de veille, d’alertes et d’analyses sur les cybermenaces. Auteur de 17 ouvrages et de plusieurs centaines d’articles pour des médias comme Le Monde, France Info ou 01net, il vulgarise les enjeux du piratage informatique et de la protection des données personnelles. Lauréat du prix spécial du livre au FIC/InCyber 2022, finaliste du premier CTF Social Engineering nord-américain (2023), et vainqueur du CTF Social Engineering du HackFest Canada (2024), il est reconnu pour sa capacité à allier pratique du terrain et transmission pédagogique. Le New York Times ou encore Le Big Data ont salué son parcours, et l’agence Tyto PR l’a classé parmi les 500 personnalités tech les plus influentes en 2023. Il est aujourd’hui 9ᵉ influenceur cyber en Europe. Chroniqueur à la radio et à la télévision (France Info, RTL, M6, Medi1...), il est également réserviste citoyen au sein de la Gendarmerie Nationale (Lieutenant-Colonel - Unité Nationale Cyber) et de l'Éducation Nationale (Hauts-de-France). Médaillé de la Défense Nationale (Marine) et des réservistes volontaires, il poursuit son engagement au travers de son entreprise veillezataz.com, lancée en 2022.
APT, backdoor, Communiqué de presse, Cyber-attaque, Cybersécurité, Mise à jour, Piratage, Securite informatique

ZooPark : une nouvelle campagne de malware Android propagée par l’infection de sites web légitimes

Des chercheurs en cybersécurité viennent de découvrir ZooPark, une campagne élaborée de cyberespionnage. ZooPark cible depuis plusieurs années les utilisateurs d’appareils Android dans divers pays du Moyen-Orient. Se servant de sites web légitimes comme sources d’infection, cette campagne paraît être une opération étatique visant des organisations politiques, des activistes et d’autres cibles dans la région.

Dernièrement, les chercheurs ont reçu ce qui semblait être un échantillon d’un malware Android inconnu. De prime abord, le malware ne paraissait guère sérieux, tout au plus un outil de cyberespionnage très simple sur le plan technique. Les chercheurs ont alors décidé d’enquêter plus avant et n’ont pas tardé à découvrir une version bien plus récente et complexe du même logiciel, qu’ils ont dénommé ZooPark. Sa cible : le Maroc, l’Egypte, le Liban, la Jordanie et l’Iran.

Certaines applications du code malveillant ZooPark sont diffusées à partir de sites d’actualités ou politiques très consultés dans certaines zones du Moyen-Orient. Elles se dissimulent sous la forme d’applications légitimes portant des noms tels que « TelegramGroups » ou « Alnaharegypt news ». Une fois l’infiltration réussie, le malware offre à l’auteur de l’attaque de nombreuse possibilités. Parmi les actes possibles : Exfiltration des contacts, identifiants de comptes, journaux et enregistrements audio des appels. A cela se rejoute les photos stockées sur la carte SD de l’appareil. Bien entendu, la localisation GPS. Les SMS. Les détails des applications installées, données du navigateur. Enregistrement des frappes clavier et contenu du presse-papiers. La backdoor peut envoyer, discrtement, des SMS. Téléphoner à des numéros, comme des lignes surtaxées.

Une autre fonction malveillante cible les messageries instantanées (Telegram, WhatsApp, IMO), le navigateur web (Chrome) et plusieurs autres applications. Elle permet au malware de dérober les bases de données internes des applications attaquées. Par exemple, dans le cas du navigateur, il s’agit des identifiants enregistrés pour d’autres sites web, susceptibles d’être infectés à la suite de l’attaque.

Les investigations laissent penser que les attaques ciblent en priorité des utilisateurs en Egypte, en Jordanie, au Maroc, au Liban et en Iran. En fonction des thèmes d’actualité choisis par les assaillants pour inciter par tromperie leurs victimes à installer le malware, des membres de l’Office de secours et de travaux des Nations Unies (UNRWA) font partie des cibles potentielles de ZooPark.

« Les utilisateurs sont de plus en plus nombreux à se servir de leur mobile comme principal voire unique moyen de communication. Or cette tendance n’est certainement pas passée inaperçue aux yeux des acteurs malveillants étatiques, qui développent leur arsenal afin de le rendre suffisamment efficace pour pister les utilisateurs mobiles. La menace persistante avancée (APT) ZooPark, qui espionne activement des cibles dans des pays du Moyen-Orient, en est un exemple mais il n’est sans doute pas isolé », commente Alexey Firsh, expert en sécurité chez Kaspersky Lab. Au total, au moins quatre générations du malware espion lié à la famille ZooPark ont été détéctées depuis 2015.

Android, Base de données, Chiffrement, cryptage, Cybersécurité, double authentification, Entreprise, Fuite de données, ID, Identité numérique, ios, Mise à jour, Particuliers, Sécurité, Securite informatique, Smartphone, Vie privée, Windows phone

Psychology of Passwords : les comportements liés aux mots de passe restent inchangés

Psychology of Passwords – 62% des internautes réutilisent le même mot de passe sur leur comptes personnels et professionnels ! Vous avez dit suicidaire ?

Psychology of Passwords – La gestion des mots de passe, voilà bien un casse tête omnis présent chez les utilisateurs. LastPass présente les résultats d’une nouvelle enquête mondiale baptisée « La psychologie des mots de passe : la négligence aide les pirates à prospérer ». Cette étude révèle que malgré des menaces croissantes et une sensibilisation accrue vis-à-vis des cas de piratage et de fuites de données, les comportements en matière de mots de passe restent largement inchangés. Les résultats de l’enquête montrent que bien que 91% des individus soient conscients du risque de sécurité lié au fait d’utiliser le même mot de passe pour plusieurs comptes, 59% d’entre eux continuent de le faire. Les comportements en matière de création, de changement et de gestion de mots de passe professionnels comme personnels n’évoluent donc pas aussi vite que les menaces de cybersécurité.

Menée auprès de 2 000 individus aux États-Unis, en Australie, en France, en Allemagne et au Royaume-Uni, cette enquête mondiale prouve qu’une connaissance accrue des meilleures pratiques de sécurité ne se traduit pas nécessairement par une meilleure gestion des mots de passe. Les résultats mettent également en évidence l’influence des différences régionales, générationnelles et de personnalité sur les comportements vis-à-vis des mots de passe.

Voilà les principaux enseignements du rapport Psychology of Passwords.

• Psychology of Passwords – Des comportements inchangés malgré une montée en flèche des cybermenaces

Les comportements à risques constatés restent largement identiques à ceux enregistrés il y a 2 ans dans le cadre de la même étude : 53% des personnes interrogées affirment ne pas avoir changé leurs mots de passe durant les 12 derniers mois malgré l’annonce dans les médias de cas de piratages. En outre, bien que 91% des individus soient conscients du risque de sécurité lié au fait d’utiliser le même mot de passe pour plusieurs comptes, 59% d’entre eux le font encore systématiquement ou la plupart du temps.

• Psychology of Passwords – La peur de l’oubli : le principal motif de réutilisation des mots de passe

La plupart des répondants (59%) utilisent le même mot de passe sur plusieurs comptes. En outre, beaucoup continuent de s’en servir autant que possible (soit jusqu’à ce que leur service informatique exige le changement ou à cause d’un incident de sécurité). La peur de l’oubli est citée comme la principale raison de la réutilisation de mots de passe (61%), suivie par la volonté de connaître et de pouvoir contrôler tous ses mots de passe (50%).

• Psychology of Passwords – Avertissement aux équipes informatiques : les comportements vis-à-vis des mots de passe sont les mêmes au bureau et à la maison

La majorité des répondants (79%) auraient entre 1 et 20 comptes en ligne utilisés à des fins professionnelles et personnelles. Près de la moitié d’entre eux (47%) affirment réemployer des mots de passe identiques. Seuls 19% créent des combinaisons plus sécurisées pour leurs comptes professionnels. Enfin 38% ne réutilisent jamais des mots de passe professionnels à des fins personnels ou vice versa – ce qui signifie que 62% des répondants le font.

• Psychology of Passwords – Les personnalités de type A prennent les mots de passe avec sérieux

Le mauvais comportement des personnalités de type A découle de leur besoin d’avoir le contrôle, alors que les personnalités de type B ont une attitude plus décontractée à l’égard de la sécurité des mots de passe. Les répondants s’identifiant comme étant de Type A sont plus enclins que les personnalités de Type B à maîtriser la sécurité de leurs mots de passe : 77% d’entre eux réfléchissent sérieusement lors de la création de mots de passe, contre 67% des individus de Type B. En outre, 76 % des utilisateurs de Type A s’estiment informés des meilleures pratiques en la matière, contre 68% des utilisateurs de Type B.

• Psychology of Passwords – La prise de conscience de l’importance de la sécurité ne se concrétise pas forcément

Les données révèlent plusieurs contradictions, les répondants affirmant une chose, puis en faisant une autre : ainsi, 72% des personnes interrogées estiment connaître les meilleures pratiques en matière de mots de passe, mais 64% d’entre eux affirment que le plus important est de pouvoir s’en souvenir facilement. Parallèlement, bien que 91% des individus soient conscients du risque de sécurité lié au fait d’utiliser le même ou des mots de passe similaires pour plusieurs comptes, 59% d’entre eux le font encore systématiquement ou la plupart du temps.

« Les cybermenaces auxquelles les consommateurs et les entreprises doivent faire face sont de plus en plus ciblées et efficaces. Pourtant, il reste un net fossé entre ce que pensent les utilisateurs et leur volonté de passer à l’action », déclare Sandor Palfy, directeur technique chargé des solutions de gestion des identités et des accès chez LogMeIn. « Bien qu’ils semblent connaître les meilleures pratiques en la matière, les comportements des individus vis-à-vis de leurs mots de passe sont souvent de nature à exposer leurs informations aux cybercriminels. Quelques mesures simples suffisent pour améliorer ces pratiques et renforcer la sûreté des comptes en ligne, qu’ils soient personnels ou professionnels. »

APT, backdoor, Cybersécurité, Mise à jour, Securite informatique

Le ransomware SynAck gagne en complexité pour échapper aux logiciels de sécurité

Des chercheurs ont découvert une nouvelle variante du ransomware SynAck. Il utilise la technique Doppelgänging pour échapper aux logiciels anti-virus en se cachant dans des process légitimes.

SynAck is back ! C’est la première fois que la technique Doppelgänging est utilisée par un ransomware « in the wild ». Les développeurs derrière SynAck font également appel à d’autres stratagèmes pour ne pas être détectés, notamment l’obfuscation de tout le code avant la compilation d’échantillons et la fuite s’ils détectent des signes suggérant un lancement depuis un « sandbox ».

Le ransomware SynAck existe depuis l’automne 2017. En décembre dernier, il ciblait principalement les utilisateurs anglophones via des attaques par force brute RDP (remote desktop protocol) suivies par le téléchargement manuel et l’installation du malware. La nouvelle variante découverte par les chercheurs de Kaspersky Lab exploite une approche bien plus sophistiquée.

Les chercheurs du Kespersky Lab pensent que les attaques utilisant cette nouvelle variante de SynAck sont hautement ciblées. A ce jour, ils ont observé un nombre limité d’attaques aux Etats-Unis, au Koweït, en Allemagne et en Iran, avec des demandes de rançon d’un montant de 3 000 dollars USD.

La technique Doppelgänging permet de faire passer des malwares derrière les lignes de défense et les mesures de sécurité les plus récentes ; c’est une menace majeure que les criminels n’ont pas attendu pour exploiter. « Notre rapport illustre la façon dont le ransomware SynAck, jusqu’ici assez discret, a utilisé cette technique pour gagner en furtivité et accroître sa capacité infectieuse. » explique Anton Ivanov, Lead Malware Analyst, Kaspersky Lab.

APT, backdoor, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage, Securite informatique

La Thaïlande saisi un serveur exploité les pirates Nord-Coréens Lazarus

Les pirates informatiques du groupe Lazarus, affichés comme Nord-Coréens, auraient perdu un de leur serveur saisi par les autorités thaïlandaises.

Souvenez-vous ! En 2014, un groupe de pirates informatiques prénommé Lazarus Group (Hidden Cobra) s’attaque à Sony Picture. Motif de cette cyberattaque, punir le producteur du film « L’Interview qui tue ». Gros nanar qui se moque du dirigeant nord-coréen Kim Jong-un. Le groupe Lazarus sera étiqueté « Hackers de la Corée du Nord ». Des films, des données sensibles internes, dont des courriels et fiches de paie, avaient été diffusés par les pirates.

Quatre ans plus tard, le ThaïCert (Groupe d’intervention en cas d’urgence informatique ThaiCERT) annonce qu’il avait pris le contrôle d’un équipement utilisé par le Lazarus Group. Un serveur utilisé dans plusieurs importantes. Étonnant que des pirates étatiques exploitent toujours le même espace numérique, et cela depuis 4 ans !

Selon un rapport de McAfee Advanced Threat Research, une campagne appelée opération GhostSecret visait les infrastructures sensibles. Une cyberattaque lancée de ce serveur basé dans les locaux de l’Université Thammasat de Bangkok.

Le ThaiCERT a déclaré travailler avec McAfee pour analyser le serveur compromis afin de comprendre les menaces en cours et d’aider les victimes potentielles. Le rapport détaille la méthode d’attaque inconnue utilisée. Elle est connectée aux opérations récentes impliquant des serveurs en Inde.

backdoor, Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, loi, ransomware, Securite informatique

RGPD cas d’école : hôpital

Un logiciel malveillant a récemment touché plusieurs sites Web de l’hôpital de Floride. Certaines informations patients concernées.

« L’ampleur de cette exposition a été limitée et il a été confirmé qu’aucun dossier financier n’a été affecté » indique le communiqué de presse de l’hôpital de Floride. Une alerte lancée par l’hôpital de Floride à la suite du piratage de plusieurs de ses sites web : FloridaBariatric.com, FHOrthoInstitute.com et FHExecutiveHealth.com. Les espaces web ont été mis hors ligne le temps de la correction (et de l’enquête). Les informations des patients exposées sur FloridaBariatric.com comprennent les noms, les adresses mails, les numéros de téléphone, les dates de naissance, la taille, le poids, les compagnies d’assurance et les quatre derniers chiffres des numéros de sécurité sociale. Pour les deux autres sites, les informations compromises se limitent au nom, à l’adresse courriel, au numéro de téléphone et à à l’ensemble des commentaires fournis par l’individu. Bref, un ransomware activé après un clic malheureux sur un fichier joint !

Banque, Base de données, Cybersécurité, Entreprise, Fuite de données, Justice, loi, RGPD, Sauvegarde, Securite informatique

RGPD cas d’école banque

RGPD cas d’école banque – La banque du Commonwealth a perdu les antécédents financiers personnels de 12 millions de clients, et a choisi de ne pas révéler la violation aux consommateurs !

RGPD cas d’école banque – L’une des plus grandes violations de la vie privée des services financiers vient de toucher l’Australie et plus précisément la banque du Commonwealth. Cette dernière a perdu les antécédents financiers personnels de 12 millions de clients, et a choisi de ne pas révéler la violation aux consommateurs ! Des informations courant de 2004 à 2014. Le fautif, un sous-traitant qui a perdu plusieurs lecteurs de bandes contenant les informations financières.

Une « perte » qui a eu lieu en 2016.

Angus Sullivan, responsable des services bancaires de la Commonwealth Bank, a déclaré à BuzzFeed News que sa société « prenait la protection des données des clients très au sérieux et les incidents de ce type ne sont pas acceptables.« 

Les relevés bancaires perdus contiennent des renseignements personnels potentiellement sensibles et peuvent brosser un portrait détaillé des affaires financières et personnelles d’une personne. Ils pourraient être détournés par des pirates ou exploités par des sociétés commerciales qui pourraient utiliser les données à des fins illégitimes ou contraires à l’éthique. Pas de mot de passe et autres code PIN dans les bandes perdues.

BuzzFeed News a appris que la violation s’est produite en 2016, lorsque le sous-traitant de la banque, Fuji Xerox, mettait hors service un centre de stockage de données où certaines données de clients de la Banque Commonwealth étaient stockées. Le 25 mai 2018 en France, il faudra alerter la CNIL, les clients… et en cas de faute avérée, risquer une amende pouvant atteindre 4% de son chiffre d’affaire.

Base de données, Chiffrement, Cybersécurité, double authentification, Entreprise, Fuite de données, Justice, loi, RGPD, santé, Securite informatique

RGPD cas d’école santé

RGPD cas d’école – Une infirmière consulte des données de santé sans autorisation. L’hôpital obligé d’alerter plusieurs centaines de patients.

RGPD cas d’école – L’Office régional de la santé de Winnipeg (canada) indique son obligation d’alerter des centaines de patients après qu’une infirmière ait accédé de façon inappropriée à des renseignements médicaux personnels. L’autorité indique dans un communiqué de presse que l’infirmière, qui avait accès au système d’information du service des urgences, a fouillé de façon inappropriée alors qu’elle travaillait à l’extérieur de service d’urgence de l’hôpital de Grace.

Un cas que pourraient vivre des centaines d’hôpitaux Français à partir du 25 mai 2018. « L’accès à notre système d’information sur les urgences est vital pour les infirmières et les employés du service des urgences afin qu’ils puissent avoir accès à des renseignements sur la prestation des soins à n’importe quel moment de leur quart de travail, déclare l’ORSW. La seule fois où l’information peut être utilisée à l’extérieur du service des urgences, cependant, est pour les transferts de patients – ce qui n’a pas eu lieu dans ce cas. » 1 756 patients sont concernés par cette consultation non autorisée. Le 25 mai 2018 en France, il faudra alerter la CNIL, les patients.

Cyber-attaque, Cybersécurité, Logiciels, Piratage, Securite informatique

Drupalgeddon 3 ? Mise à jour urgente de Drupal le 25 avril

Il y aura une version de sécurité de Drupal 7.x, 8.4.x et 8.5.x le 25 avril 2018 entre 16h00 et 18h00 UTC.

Cette mise à jour doit permettre de corriger une faille considérée comme sérieuse. Drupal vous invite à réserver du temps pour les mises à jour de base à ce moment-là, car il existe un risque que des exploits soient développés en quelques heures ou quelques jours. Des attaques qui pourraient mettre à mal les sites sous ce CMS.

Cette mise à jour de sécurité fait suite à celle publiée sous le numéro SA-CORE-2018-002 le 28 mars.

  • Les sites sur 7.x ou 8.5.x peuvent immédiatement se mettre à jour lorsque l’avis est publié en utilisant la procédure normale.
  • Les sites de la version 8.4.x doivent immédiatement mettre à jour la version 8.4.8 qui sera fournie dans l’avis, puis planifier la mise à jour vers la version 8.5.3 ou la dernière version de sécurité dès que possible (puisque la version 8.4.x ne reçoit plus de sécurité officielle couverture).

L’avis de sécurité indiquera les numéros de version appropriés pour chaque version. La page de rapport de mise à jour de votre site recommandera la version 8.5.x même si vous utilisez 8.4.x ou une version plus ancienne, mais la mise à jour temporaire du rétroportage fourni pour la version actuelle de votre site vous permettra de mettre à jour rapidement sans les effets secondaires possibles. mise à jour de version mineure.

Des correctifs pour Drupal 7.x, 8.4.x, 8.5.x et 8.6.x seront fournis en plus des versions mentionnées ci-dessus. (Si votre site est sur une version de Drupal 8 antérieure à 8.4.x, il ne reçoit plus de couverture de sécurité et ne reçoit pas de mise à jour de sécurité.Les correctifs fournis peuvent fonctionner pour votre site, mais la mise à niveau est fortement recommandée. vulnérabilités de sécurité divulguées.)

Cette version ne nécessitera pas de mise à jour de la base de données.

La mise à jour de mars a fait beaucoup de bruit, surtout sur les sites qui n’avaient pas été mis à jour avec des milliers d’attaques et infiltrations par des mineurs malveillants de cryptomonnaies. (Source : Luc T.)

Arnaque, Communiqué de presse, Cybersécurité, escroquerie, Identité numérique, Mise à jour, Particuliers, Patch, Phishing, Securite informatique, Vie privée

Nouvelle vague de phishing détectée. 550 millions de mails bloqués

Grâce à sa technologie prédictive basée sur une intelligence artificielle, Vade Secure a découvert début janvier une vague d’attaque de phishing d’un nouveau genre. Habituée à des mails usurpant l’identité de banques, de fournisseurs d’accès internet ou de grands noms de la grande distribution en ligne, dans le but de voler les identifiants de connexion de la victime, la société  a détecté en janvier une nouvelle vague de phishing frappant la France.

Représentant un volume mondial cumulé de 550 millions de mails sur le premier trimestre 2018, cette nouvelle vague d’arnaque se présente sous la forme d’un mail marketing proposant un coupon de réduction ou la participation à un concours en ligne. Cet mail usurpant des marques de la grande distribution, de services de streaming en ligne ou bien encore d’opérateurs télécoms géolocalise la victime et adapte son discours en fonction de la langue. Cf. les captures d’écran ci-dessous.

Sébastien Gest, Tech Evangéliste de Vade Secure explique : « La finalité de cette attaque réside dans le fait de voler les coordonnées bancaires de la victime à la suite d’un quizz dans le but de gagner le fameux coupon réduction ». 

Quelle est la nouveauté dans cette attaque ? 

Habituellement les pages de phishing sont hébergées sur des sites internet piratés. Ce n’est pas ici le cas, les adresses IP, les serveurs et les noms de domaines semblent loués et donc légitimes. Après analyse, le coût de l’infrastructure engagée par les pirates semble très important, pouvant se chiffrer à plusieurs dizaines de milliers d’euros. Afin de brouiller les outils de détection, les pirates ont utilisé en série des outils permettant de raccourcir les URL dans le but de masquer l’adresse de destination du lien. Cette technique a été utilisée en chainant plusieurs centaines d’URL entre elles.

Du fait de ces différentes techniques de nombreuses solutions basées sur des technologies de réputation ne détectent pas cette nouvelle vague, qui nécessite des techniques avancées d’analyse des liens et du contexte de la menace pour être bloquée.

Quelques conseils à destination des particuliers :

o    Ne jamais cliquer sur un lien si la sollicitation vous semble suspecte.

o    Si vous avez un doute allez sur isitphishing.ai et entrez l’adresse pour valider si la page est une page légitime ou une page de phishing.

o    Toujours être vigilant devant un mail même si la marque vous semble familière.

o    Une entreprise ne demandera jamais vos identifiants par mail. ​

Communiqué de presse, Securite informatique

Le droit à la déconnexion : comment l’intégrer et l’adapter à votre entreprise ?

Le droit à la déconnexion a fait son entrée dans le code du travail le 1er Janvier 2017. Il doit permettre l’équilibre entre vie professionnelle et vie personnelle et familiale des salariés.

Avec les nouvelles technologies, désormais incontournable dans le monde du travail, ce sont les modes de travail qui évoluent. Le lieu de travail n’existe plus dans bien des secteurs, les salariés sont de plus en plus « connectés » en dehors des heures de travail, la frontière entre vie professionnelle et personnelle est mince, le temps de travail n’est plus continu… C’est donc pour s’adapter à cette réalité et créer les protections nécessaires à la santé des salariés actuelle qu’un droit à la déconnexion est inscrit dans la loi.

Le problème aujourd’hui, plus d’un an après son entrée en vigueur, c’est qu’il ne fonctionne tout simplement pas. Pourquoi ? Le droit à la déconnexion n’est pas une obligation, c’est une suggestion. Les utilisateurs actuels sont obstinés et ne se déconnectent pas ! Ce qu’il faut mettre en place c’est une stratégie qui restreint les comportements et qui soit adaptée aux besoins de chaque entreprise.

Pourquoi est-il nécessaire ?

Voyons quelques chiffres pour expliquer cette nécessité.

  • 78% des cadres consultent leurs communications professionnelles pendant leur temps de loisirs (week-ends et vacances)[1]
  • 82% juge anxiogène cette connexion quasi-permanente[2]
  • 72% des cadres considèrent que les outils connectés tendent à augmenter la charge de travail[3]
  • 60% qu’ils dégradent la qualité de vie
  • 89 % estime que les Technologies de l’Information et de la Communication (TIC) contribuent à les faire travailler hors de l’entreprise

Le droit à la déconnexion est ainsi apparu afin que chacun puisse limiter la surcharge d’information et les risques associés (problématique de sommeil, stress, burnout,…).

Le problème c’est la suggestion !

La loi El Khomri ne donne pas de définition claire du droit à la déconnexion. Les entreprises elles même doivent définir les modalités du droit à la déconnexion. Pour cela, elles doivent rédiger une charte.

« La seule obligation est d’élaborer une charte, qui n’engage à rien.  Clairement, les organisations qui ne veulent pas s’embarrasser de ce problème la signent, et c’est tout. » Caroline Sauvajol-Rialland, spécialiste de l' »infobésité ».

Sébastien Crozier, président du syndicat CGC-Orange témoigne : « C’est un texte qui dit grosso modo ‘vous n’êtes pas obligés de lire vos mails le week-end, et vous n’êtes pas obligés d’y répondre’. Mais si les employés  sous pression décident néanmoins de franchir la ligne, on ne leur dira rien… »

 « Elles n’ont aucune valeur juridique », ajoute-t-il.

La loi est entrée en vigueur en janvier 2017 mais selon une étude IFOP menée en juillet 2017 78% des cadres ouvrent encore leur messagerie en dehors des heures de bureau. Une majorité de cadres (52%) affirme que son entreprise ne s’est pas engagée dans l’application du droit à la déconnexion. Cette proportion s’élève à 63 % dans les entreprises de moins de 50 salariés.

Sébastien Crozier  est formel « Le droit à la déconnexion, ça ne marche pas. Ça ne fonctionne pas. Les gens ne se déconnectent pas. La rupture ne se fait pas. »

Il faut mettre en place une stratégie qui restreint le comportement des utilisateurs…

Si le droit à la déconnexion ne fonctionne pas, c’est parce que les utilisateurs (les humains) ont besoin d’être guidés. La suggestion ne leur suffit pas. Ils arriveront toujours à contourner le problème. Aujourd’hui, ce qu’il faut aux entreprises c’est une solution qui restreint carrément le comportement.

Jean-Claude Delgenes, directeur général du cabinet Technologia, s’exprime « Mais s’il y a une incitation, il n’y a pas de contrainte. Il n’y a pas de trêve organisée, il aurait fallu aller plus loin, proposer une base minimale obligatoire de déconnexion. »

L’objectif est de pousser les utilisateurs à se déconnecter et les aider à séparer leur vie professionnelle et leur vie personnelle.

… et une stratégie propre à chaque organisation !

Certaines entreprises ont mis en place des solutions. Volkswagen, en Allemagne, comptabilise toutes les heures travaillées en dehors du bureau, qui sont intégrées dans le calcul des congés. Daimler a lancé en 2014 l’opération « mail on holiday », qui consiste, quand vous partez en vacances, à être automatiquement déconnectés. Plus près de nous, en France, Renault a mis en place pour les mails internes un délai de réponse suivant les demandes, qui permet de sortir du sentiment d’urgence. Michelin, a quant à elle engagé une  démarche de contrôle de connexion des managers.

Il ne faut pas oublier de prendre le temps de réfléchir aux impacts des mesures de déconnexion que vous prenez. Il faut comprendre qu’une action qui a fonctionné dans une entreprise peut très bien ne pas fonctionner dans une autre. C’est pourquoi il est important de mettre en place une stratégie adaptée aux besoins de chaque organisation.

« Toutes les entreprises sont différentes et il serait stupide de vouloir imposer un modèle unique à tout le monde », estime Laurent Riche de la Confédération française démocratique du travail (CFDT).

Quel outil utiliser ?

Dans le cadre de la mise en place du droit à la déconnexion dans votre entreprise, UserLock est un logiciel simple et intuitif qui s’adapte à vos besoins et qui vous permet d’appliquer des règles spécifiques et granulaires d’accès au réseau en temps réel pour renforcer la conformité aux réglementations en vigueur.

Avec UserLock vous pouvez :

  • Explorer l’utilisation générale et générer des rapports sur tous les accès (PC, ordinateur portable, tablette ou téléphone) pour obtenir les données les mieux adaptées à vos besoins
  • Restreindre les connexions utilisateurs pour adopter toute politique d’entreprise
    • Par machine ou adresse IP : limiter l’accès à une certaine machine ou à une certaine zone géographique – exemple :  refuser l’accès en dehors du pays/continent dans lequel opère l’entreprise
    • Par temps de connexion : ne pas autoriser l’accès après une certaine heure ou un certain nombre d’heure de connexion – exemple : arrêter l’accès après 19h tous les jours ou après 35h de travail par semaine
    • Par type de session : différencier l’accès pour chaque type de session – exemple : arrêter l’accès à distance après 19 heures mais pas si la personne se trouve au bureau sur son ordinateur
  • Surveiller l’ensemble des événements de session utilisateur et recevoir des alertes en temps réel afin de répondre immédiatement et de manière appropriée à tout comportement inadapté.

[1] Étude IFOP 2017

[2] Étude IFOP 2016

[3] Étude APEC 2014