Grâce au BYOD, pour « bring your own device », vos employés peuvent utiliser leurs smartphones personnels à des fins professionnelles. Mais si les mobiles sont infectés, dès qu’ils seront connectés au Wi-Fi du bureau, ils propageront les virus ou autres malwares à travers tout le réseau de votre entreprise. Il faut donc encadrer cet usage et bien l’identifier.
Vous ignorez peut-être le risque que vous encourez en laissant vos salariés utiliser leur smartphone personnel au sein de votre entreprise. Selon le baromètre France Num 2025, 36 % des entreprises interrogées ont subi un cyberincident. Pourtant, dans 53 % des entreprises de moins de 250 salariés, les collaborateurs utilisent des moyens personnels à des fins professionnelles, dont 95 % via leur téléphone portable, selon une enquête OpinionWay pour Cybermalveillance.gouv.fr menée en 2024. Si vous vous reconnaissez dans ce cas, en tant que dirigeant sans informaticien dédié, le BYOD se résume souvent à une tolérance tacite, dont vous ignorez les risques et les obligations.
Offre partenaire
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Offre partenaire
Les smartphones personnels de vos salariés ouvrent grand les portes du réseau d’entreprise
Malwares, correctifs manquants et mots de passe réutilisés
Quand un de vos collaborateurs connecte son téléphone au Wi-Fi du bureau, il y apporte aussi ses applications personnelles, ses historiques de navigation et surtout, ses éventuels logiciels malveillants. Sur un appareil personnel, on installe ce qu’on veut : des jeux, des utilitaires, des fichiers PDF ou des mises à jour dont certains dissimulent du code malveillant. Dès que cet appareil touche votre réseau, le malware peut atteindre l’ensemble de votre infrastructure.
Il n’y a plus de correctifs de sécurité disponibles pour Android 11 ou iOS 15, alors que ce sont encore des versions utilisées sur les smartphones personnels de vos collaborateurs. Les failles non corrigées sur ces appareils sont documentées et activement exploitées par les cybercriminels pour prendre le contrôle de l’appareil et accéder au réseau de votre entreprise. Votre prestataire informatique ne les voit pas, parce qu’il ne gère pas ces appareils.
Enfin, comme la plupart d’entre nous, vos salariés utilisent probablement le même mot de passe pour YouTube et la boîte mail de l’entreprise. Pourtant, la CNIL rappelle qu’un mot de passe doit être différent pour chaque service, personnel ou professionnel.
Le Wi-Fi public et le téléphone égaré exposent vos données professionnelles
Depuis un café ou un aéroport, votre salarié en déplacement consulte sa messagerie professionnelle sur un réseau Wi-Fi public. Sur ces réseaux, des cybercriminels peuvent intercepter les connexions et récupérer comptes d’accès, mots de passe, messages et documents professionnels. Les données circulent en clair, sans que personne ne remarque quoi que ce soit.
Si un de vos collaborateurs oublie son smartphone dans un taxi, c’est comme s’il laissait la clé de votre entreprise sur la porte. Sans verrouillage renforcé ni chiffrement, n’importe qui peut récupérer l’appareil et accéder aux identifiants enregistrés, à vos outils internes, à vos fichiers clients… Avez-vous une procédure de signalement prévue pour ce cas ?
Depuis un café ou un aéroport, votre salarié en déplacement consulte sa messagerie professionnelle sur un réseau Wi-Fi public. Sur ces réseaux, des cybercriminels peuvent intercepter les connexions et récupérer comptes d’accès, mots de passe, messages et documents professionnels. Les données circulent en clair, sans que personne ne remarque quoi que ce soit.
Si un de vos collaborateurs oublie son smartphone dans un taxi, c’est comme s’il laissait la clé de votre entreprise sur la porte. Sans verrouillage renforcé ni chiffrement, n’importe qui peut récupérer l’appareil et accéder aux identifiants enregistrés, à vos outils internes, à vos fichiers clients… Avez-vous une procédure de signalement prévue pour ce cas ?
Comment encadrer simplement le BYOD sans budget
Encadrer le BYOD avec un réseau invité et une charte
La grande majorité des routeurs Wi-Fi professionnels d’entrée de gamme permettent de créer un réseau « invité » totalement isolé de votre réseau principal. Vos collaborateurs y connectent leurs appareils personnels, sans accès à vos fichiers partagés, vos applications métier ni vos imprimantes internes. C’est la mesure la plus simple à mettre en place.
La CNIL précise dans ses recommandations sur le BYOD que vous restez responsable des données de votre entreprise, y compris quand elles transitent sur un appareil que vous ne possédez pas. Si un incident survient via le smartphone d’un salarié, c'est votre responsabilité qui est engagée.
Faites signer une charte par chacun de vos collaborateurs. Elle doit fixer un mot de passe robuste pour déverrouiller l’appareil, le chiffrement des données stockées, la mise à jour régulière des systèmes et le recours à un VPN pour accéder à vos outils professionnels. Sans ce document, vous n’avez aucun recours en cas d’incident.
Double authentification et gestion des départs à ne pas négliger
Sur Microsoft 365, Google Workspace et la plupart des outils courants, la double authentification est gratuite, il vous suffit de l’activer. En 2025, seulement 26 % des TPE-PME l’avaient fait, selon le baromètre Cybermalveillance. C’est dix minutes de configuration, et cela bloque la quasi-totalité des tentatives d’intrusion par identifiant volé.
Quand un salarié quitte votre entreprise, pensez-vous à couper ses accès sur son téléphone personnel ? Sans procédure de clôture formalisée, un ancien collaborateur peut conserver l’accès à vos outils internes pendant des semaines. Les données professionnelles stockées sur son appareil personnel restent accessibles tant qu’on ne les a pas effacées, surtout en cas de départ conflictuel.
Des guides gratuits orientés vers les petites structures, sans prérequis techniques, sont disponibles sur Cybermalveillance.gouv.fr. La plateforme MesServicesCyber de l’ANSSI référence des prestataires pour accompagner les TPE-PME sans DSI interne.
| Situation | Risque pour l'entreprise | Mesure recommandée |
| Un salarié connecte son smartphone personnel au Wi-Fi de l'entreprise | Introduction d'un malware ou exploitation d'une faille de sécurité | Créer un réseau Wi-Fi invité séparé du réseau principal |
| Le smartphone n'est plus mis à jour | Piratage de l'appareil puis accès aux ressources professionnelles | Imposer les mises à jour de sécurité et les versions récentes d'Android ou iOS |
| Un mot de passe professionnel est volé ou réutilisé | Compromission d'un compte Microsoft 365 Google Workspace ou autre service métier | Activer la double authentification (MFA) |
| Un salarié utilise un Wi-Fi public lors d'un déplacement | Interception des échanges et vol d'identifiants | Utiliser un VPN et éviter les réseaux non sécurisés |
| Un smartphone est perdu ou volé | Accès aux e-mails fichiers et applications de l'entreprise | Verrouillage de l'appareil chiffrement et procédure de signalement |
| Un collaborateur quitte l'entreprise | Conservation d'accès aux outils internes et aux données professionnelles | Désactiver immédiatement les comptes et supprimer les données professionnelles |
