Voyages d'affaires : la donnée voyage aussi

Un directeur commercial embarque pour Séoul avec son ordinateur portable, son téléphone professionnel et l'accès complet au CRM de son entreprise. Il ne le sait pas encore, mais la salle de réunion de son hôtel est équipée d'un réseau Wi-Fi compromis, et son téléphone sera soumis à une extraction de données lors d'un passage en douane. Ce scénario, documenté à plusieurs reprises dans les Flash DGSI, illustre une réalité encore largement sous-estimée : le voyage d'affaires est un moment de vulnérabilité maximale pour les données de l'entreprise.

La Direction générale de la sécurité intérieure (DGSI) a publié plusieurs notes d'alerte à destination des entreprises françaises notamment les Flash DGSI n°55 et n°118 pour documenter les techniques utilisées lors d'opérations d'espionnage économique ciblant les voyageurs professionnels. Ingénierie sociale, piégeage de terminaux, interception de communications : le catalogue des menaces est précis, documenté et en constante évolution. La question n'est plus de savoir si votre entreprise est une cible potentielle, mais de mesurer ce qu'une fuite de données coûterait réellement à votre activité.

Avant le départ : la préparation comme première ligne de défense

La sécurité d'un voyage d'affaires se construit bien avant l'embarquement. La première mesure, et souvent la plus négligée, consiste à appliquer le principe du moindre privilège : le collaborateur en déplacement ne devrait emporter que les données strictement nécessaires à sa mission. Cela implique une préparation intentionnelle (identifier les dossiers sensibles, les accès système non indispensables, les contacts confidentiels) et les laisser à distance, accessibles uniquement via des connexions sécurisées si nécessaire.

Le choix du terminal est également structurant. Certaines organisations spécialisées en sécurité préconisent l'usage d'un ordinateur « vierge » ou d'un terminal dédié aux voyages à risque, configuré spécifiquement pour la mission et réinitialisé au retour. Cette pratique, héritée du renseignement militaire, se démocratise progressivement dans les grandes entreprises exposées. Pour les PME, une configuration minimale sécurisée reste accessible : chiffrement du disque activé, mises à jour à jour, connexion VPN d'entreprise obligatoire, désactivation du Bluetooth et du Wi-Fi automatique.

Le briefing pré-départ est enfin une étape décisive. Le collaborateur doit connaître les pays ou zones à risque identifiés, les comportements à adopter face à des demandes inhabituelles, et savoir à qui signaler un incident en cas de doute. La DGSI recommande de consulter la fiche pays du service de renseignement avant tout déplacement dans une zone sensible. Cette information est accessible aux entreprises qui en font la demande.

Pendant le déplacement : vigilance opérationnelle

En situation de mobilité, le risque prend des formes concrètes et parfois inattendues. Le premier réflexe à développer concerne les réseaux Wi-Fi publics ou hôteliers : ils ne doivent jamais être utilisés sans tunnel VPN actif. Un réseau en apparence légitime peut être un point d'accès malveillant (technique dite du « evil twin ») capable de capturer l'intégralité du trafic de navigation. La même vigilance s'applique aux bornes de recharge USB dans les aéroports et les espaces publics, qui peuvent être instrumentalisées pour extraire ou injecter des données dans un terminal connecté — une attaque connue sous le nom de « juice jacking ».

Les échanges verbaux dans des espaces partagés — salles d'attente, restaurants, trains — constituent une autre source de fuite régulièrement documentée. Des informations stratégiques transmises lors d'un appel téléphonique ou d'une réunion improvisée dans un lieu public peuvent être collectées délibérément. Le Flash DGSI n°55 relate des cas où des concurrents ou des services étrangers ont positionné des individus à proximité de cadres dirigeants lors de grands salons professionnels pour capter des conversations.

Les contrôles douaniers dans certains pays présentent également un risque spécifique. Plusieurs États pratiquent l'inspection des terminaux à l'entrée du territoire, avec copie de contenu ou installation de logiciels de surveillance. Sans entrer dans une liste exhaustive, il est établi que certains pays d'Asie, du Moyen-Orient et d'Afrique appliquent ces procédures de manière systématique sur les voyageurs d'affaires. La réponse organisationnelle à ce risque passe par l'emport minimal de données sensibles et la consultation préalable des fiches pays de la DGSI ou du SGDSN.

Au retour : la clôture du cycle de sécurité

Le retour de mission n'est pas la fin du risque ; c'est la phase de contrôle. Le terminal utilisé en déplacement doit faire l'objet d'une vérification systématique avant d'être reconnecté au réseau d'entreprise. Cette procédure, simple à mettre en place, permet de détecter d'éventuelles modifications logicielles réalisées à l'insu du voyageur. Les équipes informatiques disposent d'outils de détection d'intrusion et d'analyse comportementale qui rendent cette vérification rapide et non intrusive.

Le debriefing humain est tout aussi important. Le collaborateur qui revient d'un déplacement à risque doit pouvoir signaler tout incident, même mineur : une demande inhabituelle, un interlocuteur trop curieux, une situation qui l'a mis mal à l'aise. Ces signaux faibles, pris isolément, peuvent sembler anodins. Agrégés dans le temps, ils dessinent souvent le portrait d'une opération de collecte d'informations structurée. Mettre en place un canal de signalement simple et déstigmatisant est une mesure de prévention à la portée de toute organisation.

La question des données rapportées mérite enfin une attention particulière. Documents téléchargés, fichiers échangés, contacts enregistrés sur des terminaux locaux : au retour, un audit rapide des données nouvellement introduites dans le système d'information évite l'importation involontaire de contenus compromis ou de logiciels malveillants.

Intégrer la sécurité des voyages dans la politique globale de gestion des risques

La sécurité des voyages d'affaires ne devrait pas être traitée comme une préoccupation isolée, réservée aux grandes organisations disposant de directions dédiées à la sûreté. Elle s'inscrit dans une démarche de gestion des risques cohérente, qui articule la politique de cybersécurité, la sensibilisation des collaborateurs et les procédures opérationnelles. Les PME et ETI qui interviennent à l'international, nouent des partenariats stratégiques ou participent à des salons professionnels sont tout autant exposées que les grandes entreprises parfois davantage, car elles disposent de moins de ressources pour détecter une intrusion.

Une politique de sécurité des voyages efficace repose sur trois piliers : la préparation documentée (fiche pays, configuration terminal, briefing collaborateur), la vigilance opérationnelle pendant le déplacement (protocoles réseau, communication sécurisée, signalement d'incidents) et la clôture rigoureuse au retour (vérification terminal, debriefing, audit de données). Ces trois phases constituent un cycle continu, qui doit être formalisé, connu des équipes et régulièrement mis à jour en fonction de l'évolution de la menace.

Chez Crisea Conseil, nous accompagnons les organisations dans la structuration de leur politique de sécurité des déplacements professionnels : diagnostic de vulnérabilité, élaboration de procédures adaptées, formation des équipes et accompagnement en cas d'incident. Parce que la donnée qui voyage sans protection ne revient pas toujours seule.