Menace interne : prévenir et détecter le risque venant de l’intérieur

Un risque qui dispose déjà des accès

La plupart des dispositifs de sécurité ont été pensés contre un attaquant venu de l’extérieur. La menace interne renverse cette logique : celui qui la porte dispose d’identifiants légitimes, connaît les processus et bénéficie de la confiance de l’organisation. D’où la difficulté, relevée par l’ENISA, de distinguer un accès légitime d’un accès malveillant ou erroné.

Coinbase, plateforme d’échange de crypto-actifs, l’a illustré en mai 2025. Dans son rapport à la SEC, l’autorité boursière américaine, elle indique qu’un acteur malveillant a obtenu des données de clients en rémunérant plusieurs prestataires ou salariés affectés au support hors des États-Unis. Aucun mot de passe n’a été compromis. Ses outils de surveillance avaient pourtant repéré, dans les mois précédents, ces accès dépourvus de justification métier. Le coût a été estimé, à titre préliminaire, entre 180 et 400 millions de dollars.

Cet article propose une lecture de gouvernance et de détection : distinguer les profils de risque, repérer les moments et les signaux qui comptent, et poser le cadre juridique qui sépare une démarche légitime d’une surveillance disproportionnée. Il complète les articles consacrés aux comptes à privilèges et à la gestion des habilitations, qui traitent de l’outillage.

Malveillance, négligence, manipulation : trois réalités distinctes

Dans son Threat Landscape 2020 consacré à la menace interne, l’ENISA distingue cinq profils : collaborateur négligent, agent au service de tiers, salarié mécontent, initié qui exploite ses privilèges pour son profit, prestataire peu rigoureux. Pour agir, trois familles suffisent, car elles n’appellent pas les mêmes réponses.

La malveillance. Vengeance, appât du gain, départ vers un concurrent avec un fichier de clients : le collaborateur agit délibérément et connaît les contrôles. La réponse combine limitation des droits, détection, enquête et suites disciplinaires ou pénales.

La négligence. Un fichier envoyé au mauvais destinataire, un dossier transféré sur une messagerie personnelle, un document confidentiel collé dans un service d’IA grand public, risque analysé à propos des assistants IA internes. La réponse passe par des outils sûrs et commodes, la formation et des garde-fous qui avertissent avant de bloquer.

Le collaborateur manipulé ou recruté. Il peut être trompé à son insu par l’ingénierie sociale, ou sollicité en connaissance de cause : l’ENISA cite les offres rémunérées publiées sur des forums, les demandes présentées pour que l’employé ne réalise pas qu’il agit illégalement, et le chantage. Une variante progresse : l’infiltration dès l’embauche. Le Threat Landscape 2026 de l’ENISA relève, par rapport à l’édition précédente, une part accrue des accès non autorisés imputables à des menaces internes, probablement liée à Famous Chollima, mode opératoire associé à la Corée du Nord qui place de faux informaticiens dans des entreprises occidentales et que l’agence signale actif contre le secteur financier.

Confondre ces profils coûte cher : traiter une négligence comme une faute grave décourage les signalements, et accabler un collaborateur manipulé dissuade ses collègues de rapporter une approche suspecte.

Pourquoi le secteur financier est particulièrement exposé

Les collaborateurs des banques et des assurances accèdent légitimement à des données de grande valeur : pièces d’identité, coordonnées bancaires, soldes et historiques de transactions, données de santé en assurance de personnes. Elles intéressent directement les fraudeurs. Certains collaborateurs disposent en outre d’un pouvoir d’action : valider des opérations, modifier des coordonnées de bénéficiaires.

Le recours à l’externalisation multiplie les personnes qui disposent d’accès sans appartenir à l’établissement, et les départs vers la concurrence posent régulièrement la question des fichiers emportés. La menace interne recoupe aussi la fraude interne, d’où l’intérêt d’une convergence entre lutte anti-fraude et SOC.

Les statistiques publiques rendent mal compte de ce risque. Dans le Threat Landscape 2025 de l’ENISA, l’accès non autorisé par des menaces internes ne pèse que 0,8 % des vecteurs d’intrusion identifiés, mais l’agence rappelle que les sources ouvertes ne donnent pas une image complète de la menace.

Ce que DORA attend de la gestion des accès

DORA ne consacre pas de chapitre à la menace interne, mais plusieurs exigences y répondent. L’article 9, paragraphe 4, point c), impose de limiter l’accès aux actifs informationnels et de TIC à ce qui est nécessaire pour des fonctions et activités légitimes et approuvées ; l’article 10, paragraphe 3, demande des capacités suffisantes pour surveiller l’activité des utilisateurs.

Le règlement délégué (UE) 2024/1774 du 13 mars 2024 sur le cadre de gestion du risque lié aux TIC est plus concret. Son article 19 intègre la sécurité à la politique de ressources humaines : le personnel, y compris celui des prestataires TIC, doit connaître les politiques de sécurité et les canaux de notification des comportements anormaux, dont les canaux de signalement prévus par la directive (UE) 2019/1937 sur les lanceurs d’alerte, et restituer les actifs en fin d’emploi. L’article 21 pose les principes du besoin d’en connaître et du moindre privilège. Il exige une séparation des tâches qui empêche les combinaisons de droits permettant de contourner les contrôles, limite les comptes partagés, impose le retrait des droits sans retard injustifié à la fin de l’emploi et leur mise à jour au moins annuelle, semestrielle pour les systèmes soutenant des fonctions critiques ou importantes. L’article 23 demande de tenir compte des cybermenaces potentielles internes et externes dans la détection des activités anormales.

Une exfiltration par un initié peut ainsi constituer un incident lié aux TIC au sens de l’article 3, point 8, de DORA, et relever du processus de gestion des incidents de l’article 17. DORA ne crée pas pour autant de régime d’exception : la surveillance qu’il attend s’exerce dans le cadre du RGPD et du droit du travail.

Prévenir : limiter ce qu’une personne peut faire seule

La mesure la plus efficace n’est pas la surveillance, mais la réduction de ce qu’un individu peut faire seul. L’avis 2/2017 du groupe de travail « Article 29 » sur le traitement des données au travail le dit nettement : la prévention doit peser beaucoup plus lourd que la détection.

Des revues de droits qui en sont vraiment. Une validation en masse par les managers ne détecte pas les droits accumulés au fil des mobilités ; les revues utiles ciblent les droits sensibles, les écarts au profil type du poste et les comptes inactifs.

Les quatre yeux sur les opérations sensibles. Déjà appliqué aux paiements, comme le montrent les contrôles SWIFT et la séparation des rôles dans le back-office, ce principe gagne à couvrir les exports massifs de données et les modifications de coordonnées de bénéficiaires.

Des privilèges encadrés. L’ANSSI recommande des comptes d’administration individuels, dédiés et journalisés, et des comptes d’administrateurs tiers désactivés par défaut, activés à la demande, avec désactivation automatique ou alerte au-delà d’un délai cohérent avec l’intervention, par exemple 24 heures.

Un rayon d’action limité. Une segmentation réseau alignée sur les métiers réduit ce qu’un compte, même légitime, permet d’atteindre.

Les moments où le risque augmente

Certaines périodes cumulent motivations et failles de processus.

Le préavis. Un collaborateur qui part, surtout vers un concurrent, conserve en général ses accès pendant son préavis. L’enjeu n’est pas de surveiller la personne, mais de prévoir dans la politique d’accès ce qui change pendant cette période, par exemple les droits d’export, et de l’appliquer à tous de la même manière.

Les réorganisations. Elles produisent du mécontentement et des comptes orphelins. L’article 20 du règlement délégué impose de conserver le registre des attributions d’identité après une réorganisation.

La mobilité interne. Les anciens droits s’ajoutent souvent aux nouveaux. Le guide d’hygiène informatique de l’ANSSI demande des procédures d’arrivée, de départ et de changement de fonction définies en lien avec la fonction ressources humaines, et la révocation de tous les droits au départ ou au changement de fonction.

La fin de mission d’un prestataire. Ses comptes peuvent survivre au contrat si l’information ne parvient pas à l’équipe qui gère les accès.

L’arrivée. Face au recrutement frauduleux, la vérification de l’identité et du parcours à l’embauche reprend de l’importance, dans les limites de l’article L1221-6 du Code du travail : les informations demandées à un candidat doivent présenter un lien direct et nécessaire avec l’emploi proposé.

Les signaux techniques qui méritent une alerte

Trois familles de signaux reviennent.

L’exfiltration. Volumes inhabituels de téléchargement, d’impression ou de copie vers un support amovible, envois vers une messagerie personnelle ou un stockage non approuvé, requêtes massives sur une base de clients. Les outils de prévention des pertes de données couvrent une partie de ces canaux.

L’accès hors périmètre ou hors horaires. Consultation de dossiers clients sans lien avec la fonction, connexions à des heures ou depuis des lieux inhabituels, réactivation de comptes dormants. Faibles isolément, ces signaux deviennent pertinents lorsqu’ils se cumulent ou coïncident avec un départ annoncé.

Le contournement des contrôles. Désactivation d’un agent de sécurité, élévation de privilèges, usage de comptes partagés, recours à des services d’anonymisation, effacement de journaux.

Leur valeur tient à la corrélation, ce qui renvoie à la supervision par le SIEM et au SOC.

Les outils qui attribuent un score de risque à chaque utilisateur appellent une précaution : évaluer par traitement automatisé la fiabilité ou le comportement d’une personne relève du profilage (article 4, point 4, du RGPD), et l’article 22 reconnaît le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé. Une alerte est une hypothèse à instruire, jamais un motif de sanction à elle seule.

Le cadre juridique : proportionnalité, information, consultation

En France, trois articles du Code du travail forment le socle. L’article L1121-1 interdit les restrictions aux droits des personnes et aux libertés qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. L’article L1222-4 interdit de collecter une information concernant personnellement un salarié par un dispositif qui n’a pas été porté préalablement à sa connaissance. L’article L2312-38 impose, dans les entreprises d’au moins cinquante salariés, d’informer et de consulter le comité social et économique avant la décision de mettre en œuvre des moyens ou techniques permettant un contrôle de l’activité des salariés.

La Cour de cassation a appliqué cette exigence, sous l’empire du texte antérieur, à un outil de sécurité bancaire. Le 11 décembre 2019 (n° 18-11.792), elle a jugé qu’une caisse régionale de Crédit agricole, qui avait utilisé un outil de traçabilité conçu pour le contrôle interne afin de vérifier si un salarié consultait des comptes hors de son portefeuille, aurait dû informer et consulter au préalable le comité d’entreprise. Les pièces obtenues ont été écartées des débats.

Le RGPD s’applique en parallèle. Le traitement doit reposer sur une base légale, souvent l’intérêt légitime (article 6, paragraphe 1, point f), le consentement étant, selon le groupe de travail « Article 29 », très peu susceptible de fonder un traitement au travail. S’y ajoutent la minimisation (article 5), l’information des personnes (article 13) et l’article 88, qui vise expressément les systèmes de contrôle sur le lieu de travail. Une analyse d’impact (article 35) est requise en cas de risque élevé : la liste publiée par la CNIL vise les traitements destinés à surveiller de manière constante l’activité des employés, en citant les dispositifs qui analysent les courriels sortants pour détecter des fuites d’information.

La CNIL juge excessive une surveillance constante et disproportionné l’enregistrement des frappes au clavier. Sa recommandation du 14 octobre 2021 sur la journalisation préconise, en principe, une conservation des traces comprise entre six mois et un an. Le 19 décembre 2024, elle a sanctionné de 40 000 euros une entreprise dont le logiciel comptabilisait l’« inactivité » des salariés et capturait régulièrement leurs écrans : absence de base légale, information insuffisante, absence d’analyse d’impact.

Légitime ou disproportionné : où passe la ligne

Dans l’arrêt de Grande Chambre Bărbulescu c. Roumanie du 5 septembre 2017 (requête n° 61496/08), la Cour européenne des droits de l’homme a conclu, par onze voix contre six, à la violation de l’article 8 de la Convention : les juridictions nationales n’avaient vérifié ni l’information préalable du salarié sur la nature et l’étendue de la surveillance, ni le degré d’intrusion, ni les raisons spécifiques de la mesure, ni l’existence de moyens moins intrusifs. À l’inverse, dans l’arrêt López Ribalda et autres c. Espagne du 17 octobre 2019, elle a conclu à la non-violation pour une vidéosurveillance dissimulée, justifiée par des soupçons légitimes d’irrégularités graves et des pertes constatées.

La Cour de cassation suit la même logique. L’exploitation des journaux et des adresses IP constitue un traitement de données personnelles, et une preuve illicite n’est pas automatiquement écartée : le juge peut l’admettre si sa production est indispensable au droit à la preuve et l’atteinte strictement proportionnée (chambre sociale, 25 novembre 2020, n° 17-19.523) ; l’Assemblée plénière a étendu cette solution à la preuve déloyale le 22 décembre 2023 (n° 20-20.648). Le juge vérifie alors la légitimité du contrôle, ses raisons concrètes, son ampleur et l’existence de moyens plus respectueux de la vie personnelle (chambre sociale, 14 février 2024, n° 22-23.073).

En pratique, cinq critères font la différence.

Une finalité déclarée, et tenue. Un outil annoncé contre les fuites ne sert pas à mesurer la productivité.

Les flux avant le contenu. Détecter un volume anormal ne suppose pas de lire les messages ; l’accès au contenu exige une justification plus forte et une décision tracée.

L’examen individuel sur éléments objectifs. Cibler l’activité d’une personne suppose des faits, la décision d’une instance identifiée et une trace écrite.

Le moyen le moins intrusif. L’avis 2/2017 cite un outil de prévention des fuites aux règles transparentes, qui avertit l’expéditeur avant l’envoi et lui laisse la possibilité d’annuler.

Des limites franches. Ni surveillance permanente, ni enregistrement des frappes, ni captures d’écran systématiques, ni consultation libre des messages identifiés comme personnels.

Reste à distinguer l’exfiltration du signalement. Depuis le 1er septembre 2022, l’article 122-9 du Code pénal exonère de responsabilité pénale le lanceur d’alerte qui soustrait, détourne ou recèle des documents contenant des informations dont il a eu connaissance de manière licite, lorsqu’il les signale ou les divulgue dans les conditions légales. Qualifier trop vite un signalement de fuite exposerait l’établissement à un contentieux d’une autre nature.

RH, juridique, représentants du personnel : une gouvernance à plusieurs mains

La menace interne touche au contrat de travail, aux données personnelles, à la discipline et parfois au droit pénal : elle ne peut pas relever de la seule filière sécurité.

Une instance pluridisciplinaire. Sécurité, ressources humaines, juridique, conformité et délégué à la protection des données définissent ensemble ce qui est détecté, qui voit quoi et à quel moment une alerte devient une investigation nominative. Une organisation possible : pseudonymiser les alertes au niveau du SOC et ne lever l’identité qu’après validation par cette instance.

Le CSE en amont. Il gagne à être consulté dès la conception, sur les finalités, les données, les durées de conservation et les garanties, plutôt que sur un outil déjà paramétré. Un dispositif expliqué est mieux accepté, et mieux défendable.

Une information lisible. La charte informatique et les notices d’information décrivent les dispositifs. Elles ne suffisent pas à fonder un contrôle, mais leur absence suffit à le fragiliser.

Une enquête qui préserve la preuve et les droits. Journaux protégés contre toute altération, traçabilité des pièces, entretien conduit avec les ressources humaines.

Une réponse adaptée au profil. Formation pour la négligence, protection pour le collaborateur manipulé qui signale une approche, procédure disciplinaire ou pénale pour la malveillance. Pour les prestataires, l’encadrement passe par le contrat et par leur employeur.

Perspective Forum des Compétences

La menace interne reste un risque sous-traité, pour une raison compréhensible : elle oblige à regarder ses propres collaborateurs, ce qui est inconfortable et juridiquement exigeant. Les établissements financiers concentrent pourtant ce que recherchent ceux qui sollicitent des initiés : des données de valeur, des pouvoirs d’opération, des prestataires nombreux.

Trois actions se dégagent. D’abord, prévenir avant de détecter : droits au juste besoin, revues ciblées, quatre yeux sur les opérations sensibles, gestion rigoureuse des départs, des mobilités et des fins de mission, déjà largement exigés par DORA. Ensuite, fonder la détection sur des signaux techniques corrélés plutôt que sur l’observation des personnes. Enfin, poser le cadre avant le premier cas : analyse d’impact, consultation du CSE, information des salariés, instance pluridisciplinaire et procédure d’enquête écrite.

La frontière entre démarche légitime et surveillance disproportionnée n’affaiblit pas la sécurité : c’est elle qui rend les preuves recevables et le dispositif accepté. Un programme vécu comme une suspicion généralisée tarit les signalements, qui restent une source de détection précieuse.

Si un collaborateur exportait demain son portefeuille de clients la veille de son départ, qui le verrait, qui déciderait d’agir, et sur quel fondement ?

Sources publiques utilisées

Cet article s’appuie sur des textes, des décisions de justice et des publications d’autorités publiques :

• Règlement (UE) 2022/2554 (DORA), articles 3, 9, 10 et 17 ; règlement délégué (UE) 2024/1774 de la Commission, articles 19, 20, 21 et 23.
• Code du travail, articles L1121-1, L1221-6, L1222-4 et L2312-38 ; Code pénal, article 122-9 (loi n° 2022-401 du 21 mars 2022).
• Règlement (UE) 2016/679 (RGPD), articles 4, 5, 6, 13, 22, 35 et 88 ; groupe de travail « Article 29 », avis 2/2017 sur le traitement des données au travail (WP 249).
• CNIL : contrôle de l’activité des personnes employées, liste des traitements soumis à analyse d’impact, recommandation relative à la journalisation et délibération SAN-2024-021 du 19 décembre 2024.
• Cour européenne des droits de l’homme, Grande Chambre, Bărbulescu c. Roumanie (5 septembre 2017) et López Ribalda et autres c. Espagne (17 octobre 2019).
• Cour de cassation, chambre sociale, 11 décembre 2019 (n° 18-11.792), 25 novembre 2020 (n° 17-19.523) et 14 février 2024 (n° 22-23.073) ; Assemblée plénière, 22 décembre 2023 (n° 20-20.648).
• ENISA, Threat Landscape 2020 – Insider threat, Threat Landscape 2025 et Threat Landscape 2026.
• ANSSI, Recommandations relatives à l’administration sécurisée des systèmes d’information (ANSSI-PA-022) et Guide d’hygiène informatique.
• Coinbase Global, Inc., rapport Form 8-K déposé auprès de la SEC en mai 2025.