Quand une entreprise parle de sécurité, elle regarde vers l’extérieur. L’intrus, le concurrent, le cybercriminel, le militant. C’est compréhensible et insuffisant.
Les incidents les plus coûteux, les plus difficiles à gérer, et souvent les plus dévastateurs pour la réputation d’une organisation ne viennent pas de l’extérieur. Ils viennent de l’intérieur. D’un collaborateur qui connaît les procédures, dispose des accès, et sait exactement où faire mal.
Qui est vraiment la menace interne ?
Ce n’est pas une hypothèse. En 2026, 83% des organisations déclarent avoir subi au moins un incident d’origine interne au cours des douze derniers mois. Le coût moyen dépasse 19 millions de dollars par organisation. Ces chiffres ne décrivent pas un cas particulier. Ils décrivent une réalité systémique que la plupart des dispositifs de sûreté ne sont pas construits pour adresser.
L’erreur la plus commune est d’associer la menace interne au traître délibéré, le salarié corrompu, l’espion infiltré. Ce profil existe. Il est rare.
La réalité est plus banale et plus dangereuse. La menace interne prend le plus souvent trois visages.
Le collaborateur négligent d’abord. Il envoie un document confidentiel sur sa messagerie personnelle pour travailler le week-end. Il laisse son ordinateur déverrouillé. Il répond à un message d’hameçonnage crédible. Pas de malveillance, juste une absence de réflexes. Le résultat est identique à une intrusion délibérée.
Le prestataire avec accès permanent ensuite. Maintenance informatique, nettoyage des locaux, gardiennage, sous-traitance industrielle : ces tiers disposent souvent d’accès physiques ou numériques jamais révisés depuis leur première intervention. Quand un incident survient, on découvre qu’un badge créé trois ans plus tôt fonctionne encore, qu’un accès réseau ouvert pour une mission ponctuelle n’a jamais été fermé.
Le salarié en rupture enfin. Conflit avec la hiérarchie, procédure disciplinaire en cours, licenciement annoncé : cette période crée une fenêtre de vulnérabilité que peu d’organisations anticipent. L’accès aux données, aux locaux, aux systèmes reste souvent intact jusqu’au dernier jour. Parfois au-delà.
Le retour du terrain
L’expérience des organisations ayant subi des incidents internes majeurs pointe systématiquement vers les mêmes défaillances organisationnelles.
La gestion des accès est trop souvent une formalité d’entrée, jamais une pratique continue. On crée les accès à l’arrivée, on oublie de les révoquer au départ ou lors d’un changement de fonction. Un collaborateur promu change de périmètre de responsabilité mais conserve ses anciens droits en plus des nouveaux. Les droits s’accumulent, les contrôles s’atrophient.
La séparation entre les fonctions critiques est rarement appliquée avec rigueur dans les structures de taille moyenne. Qui peut à la fois initier un virement et le valider ? Qui a accès simultanément aux données clients et aux fichiers de prospection commerciale ? Ces questions semblent techniques. Elles sont fondamentalement organisationnelles.
La détection des signaux faibles est quasi inexistante. Une modification inhabituelle des horaires d’accès, un volume de téléchargement anormalement élevé, une tentative d’accès à une zone hors périmètre : ces signaux précèdent souvent les incidents. Mais ils ne sont captés que si quelqu’un a défini ce qu’il fallait surveiller, et pourquoi.
Le réseau et les bons interlocuteurs : une ressource que les PME négligent
Face à la menace interne, le directeur sûreté ou le dirigeant qui en assume la fonction ne peut pas travailler seul. La qualité de son réseau professionnel, qu’il s’agisse d’autres responsables sûreté, d’associations sectorielles ou d’interlocuteurs au sein des forces de sécurité intérieure, conditionne directement sa capacité à détecter, qualifier et répondre à une situation sensible.
Le continuum de sécurité, tel qu’il est pensé par les pouvoirs publics français, repose précisément sur cette articulation entre sécurité privée et sécurité publique. Dans les faits, cette articulation fonctionne d’autant mieux que les interlocuteurs se connaissent avant la crise. Un référent sûreté territorial identifié, un contact au sein de la Police ou de la Gendarmerie Nationale pour les structures les plus exposées, une relation de travail établie avec les services locaux : ce capital relationnel ne s’improvise pas le jour où un incident se déclare.
Les vérifications de sécurité : une limite réelle pour les structures non OIV
Les Opérateurs d’Importance Vitale disposent d’un cadre légal leur permettant de solliciter des vérifications de sécurité sur leurs personnels et prestataires sensibles. Les autres, et c’est la grande majorité des PME et ETI, n’ont pas accès à ces dispositifs.
Concrètement, cela signifie qu’une entreprise souhaitant vérifier les antécédents d’un candidat à un poste sensible ou d’un prestataire accédant à des zones critiques se heurte rapidement aux limites du droit. Les vérifications accessibles, consultation du casier judiciaire B3 et vérification des références déclarées, restent superficielles. Aller au-delà expose à des violations du RGPD et de la loi Informatique et Libertés. La tentation de recourir à des sources non encadrées, réseaux sociaux, renseignements informels ou prestataires peu scrupuleux, crée alors un risque juridique supérieur au risque qu’on cherchait à prévenir.
Cette asymétrie entre grandes structures protégées et PME exposées est une réalité peu documentée de la politique de sécurité française. En attendant une évolution du cadre légal, la réponse pragmatique passe par une rigueur accrue dans la structuration des processus de recrutement, la contractualisation des obligations de sécurité avec les prestataires, et la qualité du réseau professionnel permettant d’obtenir des informations fiables dans un cadre déontologique.
Trois questions à vous poser cette semaine
Savez-vous exactement qui a accès à quoi dans votre organisation, physiquement et numériquement, et depuis quand ?
Avez-vous une procédure formalisée de révocation des accès lors d’un départ ou d’un changement de fonction ?
En cas de rupture avec un collaborateur sensible, quelle est votre séquence d’action dans les premières heures ?
Si l’une de ces réponses est floue, vous avez une vulnérabilité active, pas potentielle.
Ce que vous pouvez faire
Trois mesures de bon sens, proportionnées à la taille d’une PME ou d’une ETI.
Un audit des accès actifs. Pas un projet informatique, une revue trimestrielle simple : qui a accès à quoi, est-ce toujours justifié par sa fonction actuelle. Deux heures de travail, une vulnérabilité significative réduite.
Une procédure de départ formalisée. Elle doit couvrir la révocation des accès physiques et numériques, la récupération des équipements, et le rappel des obligations de confidentialité post-contractuelles. Elle doit être déclenchée dès la notification du départ, pas le dernier jour.
Une sensibilisation ciblée des managers. Ils sont les premiers à percevoir les signaux de tension, les changements de comportement, les situations de rupture. Leur donner un réflexe d’alerte et un interlocuteur est un investissement minimal pour un gain de résilience réel.
La menace interne ne se gère pas avec plus de technologie. Elle se gère avec plus d’organisation, plus de rigueur dans la gestion des accès, et une capacité à voir ce que la confiance rend invisible.
Ce que vous ne cherchez pas, vous ne le trouvez pas. Jusqu’à ce qu’il soit trop tard.
Ces analyses sont publiées régulièrement. Pour les recevoir directement dans votre boîte mail avant leur diffusion sur les réseaux sociaux, abonnez-vous à la Newsletter AD UNUM.
Laisser un commentaire