Partage de fichiers sécurisé : quelles règles mettre en place ?

D’après le Baromètre 2025 du CESIN, le Shadow IT est à l’origine de 23 % des incidents de sécurité survenus en 2024. Si ce chiffre est en baisse par rapport à la précédente édition du baromètre, il met malgré tout en évidence les risques liés à l’utilisation d’outils non approuvés. La montée en puissance du travail collaboratif a mis en lumière la nécessité de disposer d’outils de partage de fichiers sécurisés, permettant à la fois de concilier productivité et sécurité des données.

Quels sont les enjeux autour du partage de fichiers ? Quels sont les risques liés au Shadow IT ? Comment encadrer les pratiques en matière de partage de fichiers ?

Pourquoi le partage de documents sécurisé est-il un enjeu stratégique ?

Les organisations – publiques comme privées – sont de plus en plus ouvertes sur l’extérieur. Leurs collaborateurs sont amenés à partager (envoyer et recevoir) au quotidien un grand nombre de documents avec différents types d’acteurs (partenaires externes, prestataires, sous-traitants, clients, etc.). Partager des fichiers en masse par email ou via des outils non autorisés présente des risques.

Collaborez en toute sécurité

Partagez efficacement vos documents sensibles dans un environnement de confiance.

En savoir plus

Quels sont les risques liés au partage de fichiers non maîtrisé ?

Partager des fichiers sans appliquer les mesures de sécurité appropriées expose à de nombreux risques et à différents types d’atteintes aux données : accès non autorisés aux données (des fichiers sensibles partagés via des canaux non sécurisés peuvent être interceptés par des acteurs malveillants), fuites de données confidentielles, perte ou altération de données, etc.

À ces risques s’ajoutent de potentiels problèmes de conformité réglementaire (notamment en matière de protection des données personnelles) et d’affaiblissement des défenses contre les cyberattaques. Les fichiers reçus et téléchargés sans outil approprié et sécurisé peuvent contenir des logiciels malveillants. Les solutions de transfert de fichiers insuffisamment sécurisées n’offrent pas non plus de garanties en matière de visibilité sur les droits d’accès et de traçabilité des actions effectuées sur les documents.

Partage interne, partage externe : quelles différences en matière de transfert de fichiers ?

Les défis de sécurité peuvent changer selon qu’il s’agit des partages internes ou des partages externes.

Partage interne	Partage externe
Objectif : garantir que chaque collaborateur accède uniquement aux fichiers et données nécessaires à la réalisation de ses missions.	Les fichiers sortent du périmètre de protection de l’entité. La sécurité doit donc être renforcée.
Les solutions de transfert de fichiers doivent faciliter la collaboration tout en maintenant un niveau élevé de contrôle et de sécurité.	Il est recommandé d’utiliser des options de partage temporaire (un lien de téléchargement avec une date d’expiration, par exemple) afin de limiter les risques dans le temps.
La traçabilité des actions est essentielle pour suivre qui a consulté, modifié ou téléchargé un document.	Il peut être nécessaire de mettre en place des mesures de sécurité supplémentaires, telles que la protection du téléchargement par mot de passe.

Le Shadow IT, une pratique risquée

Difficile à appréhender, le Shadow IT fait peser des risques sur la sécurité des données.

Shadow IT : définition et exemples concrets

Le Shadow IT désigne l’utilisation par les collaborateurs d’outils, applications ou services non approuvés et non supervisés par leur DSI, en particulier pour le transfert de fichiers. Ce phénomène s’est considérablement amplifié avec l’essor du cloud computing et du télétravail. Le Shadow IT peut prendre différentes formes.

• Utilisation de services de partage de fichiers non autorisés, en particulier pour le partage de fichiers volumineux : Dropbox, Google Drive, WeTransfer, etc.
• Téléchargement de programme non autorisés.
• Utilisation d’applications de messagerie grand public (WhatsApp, par exemple) ou de réseaux sociaux pour communiquer et collaborer dans un cadre professionnel. Ces pratiques augmentent les risques de fuites de données.
• Recours à des équipements personnels (smartphones, ordinateurs, clés USB) pour stocker et transporter des données professionnelles.

Les collaborateurs qui contribuent (souvent sans le savoir) au développement du Shadow IT ont rarement des intentions malveillantes. Certains ne sont tout simplement pas satisfaits des outils fournis par leur DSI, qui peuvent sembler insuffisants ou inadaptés à leurs besoins. Ils se tournent alors vers des solutions plus connues, mais non adaptées à un cadre professionnel. Dans d’autres cas, le Shadow IT est imputable à un manque de communication entre les services et la DSI. Les procédures à mener auprès de la DSI pour faire remonter ses besoins peuvent sembler trop lourdes, ce qui décourage les salariés et les incite à choisir eux-mêmes les outils qu’ils souhaitent utiliser.

Quels sont les impacts du Shadow IT sur la sécurité et la conformité ?

Les conséquences du Shadow IT sur la sécurité et la conformité sont nombreuses et potentiellement critiques.

• Élargissement incontrôlé de la surface d’attaque. Il devient très difficile de délimiter et protéger efficacement une surface d’attaque lorsque des données sont partagées au sein d’un environnement non contrôlé. Chaque application ou service utilisé sans supervision crée un nouveau point d’entrée potentiel pour des cyberattaques.

• Exposition des données sensibles. Les collaborateurs qui utilisent des services non autorisés exposent les données de leur organisation, y compris les plus sensibles de ces données. La popularité des plateformes grand public en fait une cible de choix pour les acteurs malveillants.

• Obstacles en matière de gouvernance et de souveraineté des données. Le phénomène du Shadow IT compromet les efforts des organisations en matière de gouvernance et de souveraineté des données. Il devient très difficile de garder la trace et le contrôle sur ses données sans savoir où celles-ci sont stockées ni qui y a accès. Certaines plateformes se réservent d’ailleurs le droit d’accéder aux données déposées par les utilisateurs.

Comment sécuriser le partage de fichiers d’un point de vue technique ?

6 conseils clés pour identifier et traiter les problématiques en matière de transfert de fichiers sécurisé.

1. Identifier précisément les besoins des utilisateurs

Sécuriser le partage de documents implique de comprendre pourquoi les collaborateurs se tournent vers des logiciels non approuvés au lieu d’utiliser les outils à leur disposition.

2. Utiliser des solutions de DLP (Data Loss Prevention)

Le recours à de telles solutions permet d’identifier et de protéger les données sensibles en contrôlant leur circulation au sein et en dehors de l’entreprise.

3. Chiffrer les données

L’implémentation d’un chiffrement robuste constitue une barrière de sécurité essentielle.

4. Mettre en place un système de traçabilité et de logs

Cette mesure permet de connaître l’identité et la localisation des personnes ayant effectué des actions sur des documents ainsi que la date (de consultation, de modification, de téléchargement).

5. Renforcer l’authentification des utilisateurs

Il s’agit là d’ajouter une couche de protection supplémentaire afin de protéger de manière encore plus forte l’accès aux fichiers et de réduire les risques d’accès non autorisés.

SecNumCloud : label de confiance

Le référentiel qui garantit le plus haut niveau de sécurité pour la protection de vos données sensibles.

En savoir plus

6. Encadrer l’accès aux outils tiers et basculer progressivement vers des outils approuvés

Mettre en place une stratégie de blocage des outils non approuvés peut s’avérer brutal et créer de la frustration. Il est plutôt recommandé de réaliser régulièrement des audits pour faire émerger les technologies utilisées sans approbation, d’établir une liste d’outils approuvés par la DSI, et d’inciter les collaborateurs à définir et faire remonter leurs besoins de manière simple.

Comment former et sensibiliser les équipes aux enjeux du partage de fichiers ?

Travailler sur la sécurité des partages de fichiers implique de sensibiliser les collaborateurs sur le sujet, notamment en insistant sur les risques liés au partage de fichiers par email en pièces jointes. Le transfert massif de documents par email expose les données à des interceptions et ne garantit pas le contrôle sur qui accède finalement au contenu.

Différentes bonnes pratiques peuvent être intégrées au quotidien : utiliser des outils de partage de fichiers sécurisés et approuvés, vérifier systématiquement les destinataires avant tout partage, utiliser des niveaux de protection adaptés à la sensibilité des informations, définir des durées d’accès limitées pour les partages externes, etc.

Outre la rédaction d’une charte, des actions de sensibilisation permettent d’ancrer ces bonnes pratiques : sessions de formation, ateliers permettant de se familiariser avec les outils officiels, modules de microlearning, etc.

L’objectif n’est pas de culpabiliser les collaborateurs contribuant au développement du Shadow IT, mais de les informer sur les risques encourus et les enjeux en matière de sécurité des données, tout en leur proposant des alternatives efficaces et sécurisées.

Oodrive Work, une solution de partage de fichiers sécurisée et souveraine

Il existe désormais de nombreuses suites collaboratives destinées à sécuriser le partage de fichiers. Pour autant, toutes ces solutions ne présentent pas les mêmes garanties en matière de sécurité, de confidentialité et de souveraineté des données.

Oodrive Work est une solution de partage de fichiers sécurisée et hébergée en France. Différentes fonctionnalités permettent de maintenir la fluidité de la collaboration, tout en assurant un haut niveau de sécurité :

• Définition très fine des droits d’accès aux documents.
• Tracking des documents, avec possibilité de visualiser les actions réalisées sur chaque fichier par les collaborateurs.
• Partage des fichiers de manière sécurisée grâce à différents systèmes : envoi d’un lien de téléchargement, protection du partage de fichiers par mot de passe, limitation de la durée du partage (date d’expiration), nombre limité de téléchargements.