Personnel, RH et risque interne

En vérifiant quels appareils se connectent réellement, pas seulement quels comptes ont été fermés. Le départ d'un salarié supprime en général le compte et récupère le portable, mais un portable non rendu, un téléphone personnel qui a gardé le mot de passe Wi-Fi ou un outil d'accès à distance oublié peuvent continuer à se connecter. Comparez la liste des appareils rendus avec les appareils vus sur le réseau après la date de départ, changez les identifiants Wi-Fi et VPN partagés que la personne connaissait et révoquez les certificats délivrés à ses appareils. Dans toutes les offres, la carte réseau de NetSenX liste les appareils vus sur les segments surveillés, avec le nom que chacun annonce et la date à laquelle il a été vu pour la première et la dernière fois. NetSenX ne sait pas qui a quitté l'entreprise : les RH et l'informatique le décident, et la vue réseau montre si la porte est vraiment fermée.

Les accès que la personne avait, pas seulement son compte. Une courte liste de départ pour l'informatique : désactiver le compte d'annuaire et la messagerie et retirer les jetons d'authentification multifacteur ; récupérer les appareils de l'entreprise et noter leurs noms ; changer les mots de passe partagés que la personne connaissait, comme ceux du Wi-Fi, du VPN, des comptes d'administration et des portails fournisseurs ; supprimer les outils d'accès à distance qu'elle a installés ; révoquer les certificats des appareils ; et vérifier, quelques jours puis quelques semaines après le départ, qu'aucun de ses appareils n'apparaît encore sur le réseau. Appliquez la même liste aux prestataires et aux stagiaires. Convenez avec les RH de qui la déclenche et quand. NetSenX aide pour la dernière étape : la carte réseau, dans toutes les offres, montre le nom de chaque appareil et sa dernière apparition, si bien qu'un appareil qui devrait avoir disparu se remarque.

Oui, s'il se connecte à un segment surveillé, ou si l'agent NetSenX y tourne encore. Dans toutes les offres, la carte réseau montre chaque appareil avec le nom qu'il annonce et sa dernière apparition : un portable qui réapparaît après le départ de son utilisateur est donc visible, et s'il se met à balayer le réseau, à contacter régulièrement un serveur externe ou à envoyer des volumes inhabituels, des alertes suivent. Un portable utilisé seulement à domicile ou sur un autre réseau, sans agent, est invisible pour un capteur réseau. En parallèle, fermez les autres portes : désactivez les comptes, révoquez les certificats et le profil VPN de l'appareil et, si vous avez un outil de gestion des appareils, verrouillez ou effacez le portable à distance. Récupérer l'appareil et toute démarche envers la personne relèvent des RH et d'un conseil juridique.

En partie : vous voyez des envois inhabituels depuis son ordinateur, pas les fichiers ni la personne. Dans toutes les offres, NetSenX compare le trafic sortant de chaque appareil à ses propres destinations, volumes et horaires habituels, et lève une alerte quand, par exemple, un portable qui envoie d'ordinaire peu de données transfère soudain plusieurs gigaoctets vers un service de stockage en ligne pendant la nuit. L'alerte indique l'appareil, la destination, le volume et l'heure. Elle ne montre ni noms de fichiers ni contenu, car le trafic est chiffré et NetSenX ne le déchiffre jamais, et elle ne voit pas les copies sur clé USB. Traitez d'abord une telle alerte comme un événement de sécurité : le portable peut aussi être infecté. Toute démarche envers le salarié doit suivre votre politique, la loi et l'avis des RH et d'un juriste, pas la seule alerte.

Seulement ce que le droit du travail et le droit de la protection des données du pays permettent, recueilli pour une finalité légitime et de façon proportionnée. De façon générale, le RGPD exige une base légale, une finalité précise, la minimisation des données et la transparence envers les salariés, et beaucoup de pays ajoutent des règles de droit du travail sur la surveillance et sur les représentants du personnel. Des traces déjà tenues pour la sécurité, comme des alertes sur des envois inhabituels, ne peuvent être réutilisées que si la nouvelle finalité est compatible et que la loi le permet ; lire en secret les communications privées d'une personne est en principe exclu. Avant de recueillir quoi que ce soit, associez les RH, le DPO et un conseil juridique, documentez le soupçon et les mesures prises, et faites sécuriser les preuves par des personnes qualifiées. NetSenX montre l'activité des appareils dans ses alertes ; ce n'est pas un outil pour profiler une personne.

Non. Un capteur réseau voit des connexions, pas des fichiers. La plupart des envois passent aujourd'hui dans des sessions chiffrées, et NetSenX ne déchiffre jamais le trafic : il ne peut lire ni noms de fichiers ni contenu. Il peut en revanche montrer qu'un appareil donné a envoyé un volume inhabituel de données vers une destination donnée à un moment donné, par rapport au comportement normal de cet appareil. Cela resserre la question : quand, depuis quel appareil et vers où. Pour savoir quels fichiers étaient en jeu, il faut d'autres sources : les journaux d'audit du service cloud lui-même, les journaux d'accès du serveur de fichiers, des outils sur les postes ou un logiciel de prévention des fuites de données (DLP), chacun utilisé dans les limites du droit du travail et de la protection des données. Une copie sur clé USB ou une impression ne traverse jamais le réseau.

Pas avec NetSenX. Il analyse des métadonnées et quelques champs de protocole : quel appareil s'est connecté à quelle adresse et quel port, quand, à quelle fréquence et avec quel volume, le nom du serveur dans la négociation TLS et les réponses aux requêtes DNS. Il ne déchiffre jamais le trafic : le contenu des e-mails, des messageries, des pages web et des requêtes tapées dans des outils d'IA reste non lu. D'autres produits déchiffrent ou inspectent le contenu ; posez donc la même question à chaque fournisseur et obtenez la réponse par écrit. Les métadonnées peuvent malgré tout être des données personnelles, car les noms d'appareils et les adresses IP peuvent être reliés à une personne : le RGPD s'applique. Expliquez cette distinction aux salariés et aux représentants du personnel avant de commencer : elle répond précisément à l'inquiétude la plus fréquente.

Des données sur les appareils plutôt que sur les personnes, mais certaines peuvent quand même identifier quelqu'un. NetSenX enregistre les métadonnées de connexion des segments qu'il surveille : adresses IP internes et externes, ports, heures, volumes, noms des serveurs que contactent les appareils (d'après la négociation TLS et les réponses DNS) et noms que les appareils annoncent sur le réseau. Il en tire des alertes et une carte du réseau. Il n'enregistre aucun contenu de message ou de fichier et ne déchiffre jamais le trafic. Comme un portable nommé d'après son utilisatrice, ou une adresse attribuée à l'ordinateur d'une personne, peut désigner un individu, traitez ces traces comme des données personnelles : informez les salariés, ne gardez que le nécessaire, limitez les accès et supprimez selon un calendrier. NetSenX stocke les données clients dans l'UE et publie son accord de traitement des données avec la liste complète des sous-traitants.

Peut-être, selon votre pays et selon l'usage possible de la surveillance. En Allemagne, l'article 87, paragraphe 1, point 6 de la loi sur l'organisation des entreprises (Betriebsverfassungsgesetz) donne au comité d'entreprise un droit de codécision sur l'introduction et l'usage de dispositifs techniques destinés à surveiller le comportement ou la performance des salariés ; beaucoup d'entreprises concluent un accord avant de déployer des outils de sécurité. D'autres pays, dont la France, prévoient l'information et la consultation des représentants du personnel sur les moyens de contrôle des salariés, et le RGPD permet au droit national d'ajouter des règles dans le contexte de l'emploi. Associez tôt les représentants, expliquez que la finalité est la détection d'attaques sur les appareils, ce qui est enregistré ou non, qui voit les alertes et combien de temps les données sont gardées. L'appréciation juridique vous revient.

En regardant ce qui se connecte réellement au réseau, plutôt que votre inventaire. Téléphones, portables et objets connectés personnels rejoignent souvent le Wi-Fi du bureau ou une prise réseau libre sans que personne ne le note. Dans toutes les offres, la carte réseau de NetSenX liste les appareils vus sur les segments surveillés, avec le nom que chacun annonce et ses première et dernière apparitions, si bien que les appareils inconnus se remarquent ; si l'un d'eux balaie le réseau ou contacte sans cesse un serveur externe inconnu, une alerte suit. Un capteur réseau ne peut pas dire à qui appartient un appareil ni s'il est autorisé : comparez la liste à votre inventaire et à votre politique. La solution durable est structurelle : un réseau invité séparé pour les appareils personnels et, quand c'est possible, un contrôle d'accès au réseau du bureau.

Oui, surtout parce que personne ne sait ce qu'il contient. Un portable personnel peut n'avoir aucune protection, des logiciels obsolètes, des programmes piratés ou un logiciel malveillant attrapé à la maison, et sur un réseau de bureau à plat il se retrouve à côté de la paie et des données clients. Il échappe aussi à votre contrôle quand la personne part. Plus sûr : remettre le portable de l'entreprise dès le premier jour ; sinon, donner un accès temporaire via un réseau invité séparé et le navigateur vers les services cloud, pas vers les partages de fichiers internes ; et inscrire la règle dans l'accueil des nouveaux. Si des appareils personnels se connectent malgré tout, observez ce qu'ils font : NetSenX montre les nouveaux appareils sur la carte réseau dans toutes les offres et lève une alerte quand un appareil balaie le réseau ou contacte sans cesse un serveur externe inconnu.

Oui, pour les segments que NetSenX surveille. Dans toutes les offres, la carte réseau liste chaque appareil vu, avec le nom qu'il annonce et ses première et dernière apparitions : les appareils apparus ce mois-ci se repèrent facilement et se comparent aux dossiers d'arrivée et à l'inventaire. La liste ne couvre que les segments équipés d'un capteur : un agent sur le port miroir d'un commutateur (SPAN) ou sur un TAP réseau voit tout un segment, tandis qu'un Wi-Fi invités ou une agence sans capteur restent hors de vue. Les noms sont ceux que les appareils annoncent, pas des identités vérifiées, et ils peuvent être modifiés. Un appareil connecté brièvement, sans rien envoyer de notable, peut apparaître avec très peu de détails. Pour un inventaire complet, combinez cette vue avec votre outil de gestion des appareils et les journaux DHCP.

Seulement là où vous voyez le trafic du portable : quand l'agent NetSenX y tourne, ou quand son trafic atteint un segment surveillé, par exemple via le VPN de l'entreprise. Un VPN commercial ou le réseau Tor apparaît comme une connexion chiffrée longue vers une adresse externe, au lieu du mélange habituel de destinations ; NetSenX montre les destinations et les volumes, et c'est à partir de l'adresse et des noms de serveurs que vous jugez si elle appartient à un tel service. Il ne voit pas l'intérieur du tunnel. Un VPN privé est souvent anodin : commencez par une question, pas par une accusation, et vérifiez votre politique de télétravail. Les outils de gestion des appareils qui imposent le VPN de l'entreprise, et les journaux d'identité qui montrent d'où viennent les connexions, couvrent ce qu'un capteur réseau ne voit pas.

Surtout que la personne ne soit pas celle qu'elle prétend être, ou que son matériel échappe à votre contrôle. Des candidats aux identités empruntées ou inventées ont déjà servi à obtenir un accès légitime au code, aux données et aux systèmes internes, et un portable qui se connecte toujours depuis l'étranger via un tunnel privé est difficile à superviser. Réduisez le risque au recrutement et à l'arrivée : vérifiez l'identité lors d'un appel vidéo en direct et sur pièces officielles, contactez directement les références, envoyez un portable géré par l'entreprise plutôt que d'accepter un appareil personnel, ouvrez les accès progressivement et seulement à ce que le poste exige, et imposez l'authentification multifacteur. La vérification d'identité relève des RH. Quand l'agent NetSenX tourne sur le portable, des tunnels inhabituels, du beaconing ou de gros envois apparaissent comme indices ou alertes à examiner par l'informatique.

Non : surveillez les appareils de l'entreprise et ce qui arrive à l'entreprise, pas le domicile du salarié. Un réseau domestique transporte les téléphones de la famille, les jeux et le trafic privé ; l'observer reviendrait à collecter des données personnelles que vous n'avez aucune raison de détenir, ce qui se justifie mal au regard du RGPD et du droit du travail. Ce que vous pouvez raisonnablement protéger, c'est le portable de l'entreprise et le réseau de l'entreprise : protection et gestion de l'appareil sur le portable, VPN de l'entreprise obligatoire pour les ressources internes, et surveillance là où ce trafic arrive. Avec NetSenX, un portable d'entreprise peut lui-même faire tourner l'agent, qui observe les connexions de ce seul appareil où qu'il soit ; il ne surveille pas les autres appareils du foyer. Dites précisément aux salariés ce qui est surveillé sur leur appareil professionnel, et pourquoi.

En observant quels appareils lui parlent et en signalant les nouveaux. Un serveur de paie ou RH a d'ordinaire un petit cercle stable de clients : quelques ordinateurs aux RH et à la finance, un système de sauvegarde, peut-être le prestataire de paie. Quand un poste qui ne s'y est jamais connecté le fait soudain, surtout à une heure inhabituelle ou après avoir balayé d'autres machines, il faut vérifier tout de suite. Dans toutes les offres, NetSenX apprend les connexions habituelles de chaque hôte et lève une alerte de mouvement latéral quand des sessions entre appareils ne correspondent pas à ce schéma, en indiquant l'appareil source, la destination et l'heure. Il ne gère pas les droits d'accès et ne sait pas qui était au clavier : limitez l'accès par les comptes et les règles de pare-feu, et consultez les journaux de connexion du serveur pour savoir quel compte a été utilisé.

En général les systèmes de paie et de RH, les dossiers partagés avec contrats et arrêts maladie, le serveur d'annuaire qui contient tous les comptes, le serveur de sauvegarde qui contient une copie de tout, et les boîtes mail des RH et de la direction. Commencez par les lister, avec le responsable de chacun, les ordinateurs et fournisseurs qui doivent y accéder et s'ils sont internes ou en cloud. Protégez-les ensuite par couches : authentification multifacteur, accès réservé à ceux qui en ont besoin, chiffrement des données stockées, journaux de connexion et sauvegardes que le réseau ne peut pas effacer. Pour les systèmes de votre propre réseau, NetSenX aide sur une couche : dans toutes les offres, il lève une alerte quand un appareil qui ne s'y connecte pas d'habitude commence à le faire, ou quand l'un d'eux envoie des volumes inhabituels vers l'extérieur. Les services RH en cloud ont besoin de leurs propres journaux d'audit.

D'abord comme un événement de sécurité sur un appareil, pas comme une preuve contre une personne. Une alerte dit qu'un appareil s'est comporté de façon inhabituelle : il peut être infecté, utilisé par quelqu'un d'autre, ou faire quelque chose de légitime qui semble étrange. L'informatique établit d'abord les faits : ce que l'appareil a fait, quand, s'il contient un logiciel malveillant et si un compte a été détourné. Les RH n'interviennent que si les faits indiquent un problème de comportement, et alors selon votre règlement, le droit du travail et les règles de protection des données, idéalement après avis du DPO. Gardez le cercle restreint, consignez chaque étape et ne citez aucun nom avant que les faits soient établis. NetSenX soutient cette séparation : ses alertes décrivent des appareils, des connexions et des destinations, et son journal d'audit enregistre qui a traité une alerte et ce qui a été décidé.

Seulement dans des limites étroites, et ce n'est pas l'usage pour lequel NetSenX est conçu. La surveillance de sécurité sert à détecter des attaques sur des appareils ; utiliser ses traces pour enquêter sur une personne est une autre finalité, que le droit de la protection des données traite comme une question distincte de compatibilité, de base légale et de proportionnalité, et que le droit du travail et les règles relatives aux représentants du personnel restreignent souvent davantage. Dans certains cas, comme un soupçon documenté d'infraction grave, un usage limité peut être licite après avis juridique. Ne menez jamais de votre propre initiative une enquête cachée au moyen d'un outil de sécurité. NetSenX est centré sur les appareils : ses alertes décrivent ce qu'un appareil a fait sur le réseau, pas l'historique de navigation d'une personne, et il ne lit jamais le contenu. Fixez à l'avance, par écrit, qui peut demander des traces de sécurité pour une enquête et qui l'autorise.

Parfois, mais cela dépend du droit national et de la façon dont les journaux ont été recueillis et annoncés. Selon le RGPD, des données personnelles recueillies pour une finalité, comme la sécurité du réseau, ne peuvent servir à une autre que si la nouvelle finalité est compatible ou qu'une autre base légale s'applique, et les salariés doivent avoir été informés de la surveillance. Le droit du travail national ajoute ses propres conditions : certains pays exigent une information préalable ou un accord collectif, et des juridictions de plusieurs États membres ont écarté des preuves issues d'une surveillance cachée ou disproportionnée. Avant d'utiliser un journal contre quelqu'un, prenez un avis juridique, associez le DPO et vérifiez ce qui a été dit aux salariés. Les journaux NetSenX décrivent l'activité des appareils et sont conservés pendant la durée prévue par votre offre ; leur recevabilité est une question juridique.

En fixant avant de commencer la finalité, les données et les personnes ayant accès, et en l'écrivant. Formulez la finalité comme la détection d'attaques sur les appareils et les systèmes, en excluant explicitement le contrôle de la performance ou du comportement. Ne collectez que des métadonnées, conservez-les pour une durée définie et limitez l'accès aux quelques personnes chargées de la sécurité, avec une trace de leurs actions. Dites aux salariés ce qui est surveillé et pourquoi, associez les représentants du personnel là où ils existent et menez une analyse d'impact relative à la protection des données si le traitement est susceptible d'engendrer un risque élevé. Revoyez le dispositif chaque année. NetSenX va dans ce sens par conception : il observe des appareils et des connexions, ne déchiffre jamais le trafic, rend compte de l'usage de l'IA par appareil et par programme plutôt que par personne, et tient un journal d'audit de qui a fait quoi dans le compte.

Oui, et c'est souvent une bonne cachette. Un ordinateur que personne n'utilise mais qui reste allumé et connecté, comme le poste d'une personne en congé long, un PC de réserve en salle de réunion ou une vieille machine gardée pour un seul logiciel, reçoit rarement des mises à jour, et personne ne remarque s'il se comporte bizarrement. Les attaquants s'en servent comme base discrète pour balayer le réseau, atteindre des serveurs ou faire sortir des données. Éteignez et débranchez ce qui ne sert pas, tenez le reste à jour et donnez un responsable à chaque machine. Dans toutes les offres, NetSenX lève des alertes quand un appareil surveillé se met à contacter régulièrement un serveur externe, à balayer le réseau, à se connecter à des hôtes jamais utilisés ou à envoyer des volumes inhabituels, ce qui se voit d'autant plus sur une machine censée ne rien faire.

En comparant ce qu'il fait maintenant à ce qu'il fait d'habitude. Un ordinateur censé être inactif, parce que son utilisateur est absent ou qu'il n'est allumé que pour les mises à jour, a un schéma normal très réduit : quelques serveurs de mise à jour, peut-être le système de sauvegarde. Tout le reste, comme des connexions régulières vers un serveur externe inconnu, des connexions à d'autres machines internes, des balayages ou de gros envois la nuit, est un signal fort. Dans toutes les offres, NetSenX apprend les destinations, volumes et horaires habituels de chaque appareil et lève des alertes de beaconing C2, de balayage, de mouvement latéral et de volume inhabituel de données sortantes, avec l'appareil, la destination et l'heure. Il ne voit pas ce qui se passe dans la machine sans trafic réseau ; la protection des postes couvre ce terrain. Notez quelles machines doivent rester inactives, pour qu'un remplaçant le sache.

En général les éteindre ou les récupérer, et veiller à ce que leurs comptes ne puissent pas être détournés entre-temps. Convenez avec les RH d'une routine simple pour les absences de plus de quelques semaines, comme un congé parental, un arrêt maladie long ou un congé sabbatique : le portable est rangé ou reste éteint, les postes fixes sont arrêtés, et le compte est suspendu ou reste actif uniquement avec l'authentification multifacteur, selon que la personne a encore besoin d'un accès à distance. À son retour, mettez la machine à jour avant qu'elle ne rejoigne le réseau. Présentez cela comme une mesure de sécurité, pas comme un jugement sur la personne, et écrivez-le ainsi dans la politique. Si une machine doit rester allumée, par exemple pour une tâche partagée, donnez-lui un responsable. NetSenX lève une alerte dans toutes les offres si un tel appareil se met à faire du beaconing, à balayer le réseau ou à envoyer des données alors qu'il devrait être silencieux.

Surtout en contrôlant où ils peuvent se connecter, puis en observant ce qu'ils y font. Les prestataires apportent souvent leur propre portable, que vous ne gérez pas et ne pouvez pas inspecter. Donnez-leur un réseau ou un VLAN séparé avec accès aux seuls systèmes dont leur mission a besoin, des comptes limités dans le temps avec authentification multifacteur et une clause contractuelle sur la sécurité et la notification d'incident. Surveillez ensuite ce segment. Dans toutes les offres, NetSenX liste les appareils qui y sont vus, avec le nom que chacun annonce et ses première et dernière apparitions, et lève des alertes si le portable d'un prestataire balaie le réseau, contacte sans cesse un serveur externe inconnu ou se connecte à des machines internes hors de son schéma habituel. Il ne voit ni l'intérieur du portable ni l'intérieur des sessions chiffrées. Dites aux prestataires ce qui est surveillé, comme vous le diriez aux salariés.

Oui, quand c'est possible, car cela limite ce qu'un portable non géré peut atteindre. Sur un réseau à plat, le portable d'un prestataire côtoie la paie, les serveurs de fichiers et les systèmes de production, si bien qu'un logiciel malveillant qu'il transporte peut tenter de les atteindre tous. Un Wi-Fi ou un VLAN séparé qui n'autorise, via un pare-feu, qu'internet et les systèmes précis dont la mission a besoin transforme cela en une courte liste de connexions permises, facile à vérifier. Retirez l'accès à la fin de la mission. La segmentation se fait dans vos commutateurs, votre pare-feu et votre contrôleur Wi-Fi ; NetSenX ne modifie pas les réglages réseau et ne bloque pas le trafic. Il ajoute une vérification que la séparation fonctionne : si la surveillance montre qu'un appareil de prestataire atteint des hôtes internes hors de la liste permise, ou balaie le réseau, il lève une alerte.

Oui, sur les segments que NetSenX surveille : la carte réseau indique, dans toutes les offres, la dernière apparition de chaque appareil. À la fin d'une mission, vérifiez que les appareils des prestataires n'apparaissent plus, puis regardez à nouveau quelques semaines plus tard ; un portable qui revient après la date de fin signifie que l'accès n'a pas été entièrement retiré, que ce soit par un mot de passe Wi-Fi enregistré, un profil VPN ou un outil d'accès à distance oublié. Associez cela aux étapes administratives : désactiver les comptes des prestataires à la date de fin, changer les identifiants partagés qui leur avaient été donnés, supprimer leurs profils VPN et certificats, et récupérer badges et matériel. La vue réseau ne connaît ni contrats ni dates de fin : tenez une liste simple des appareils des prestataires avec la date de fin prévue et comparez-la à la carte.

Non. Copier des fichiers sur une clé USB, un disque externe ou un téléphone branché par câble se passe à l'intérieur de l'ordinateur et ne traverse jamais le réseau : aucun capteur réseau, NetSenX compris, ne peut le voir. Ce manque se comble sur le poste : les réglages de contrôle des périphériques de votre protection des postes ou du système d'exploitation peuvent bloquer ou journaliser les supports amovibles, des outils de prévention des fuites de données (DLP) peuvent suivre les fichiers copiés, et le chiffrement du disque protège les portables de l'entreprise en cas de perte. La surveillance réseau n'aide qu'à une étape ultérieure : si les données copiées sont ensuite envoyées depuis un appareil de l'entreprise sur un réseau surveillé, un volume sortant inhabituel de cet appareil peut lever une alerte. Choisissez la mesure adaptée, expliquez-la aux salariés et vérifiez les règles nationales sur la surveillance au travail avant d'activer une journalisation au niveau des fichiers.

Un contrôle sur le poste, pas un outil réseau. La plupart des suites de protection des postes, et les fonctions de gestion intégrées aux systèmes d'exploitation actuels, comprennent un contrôle des périphériques : vous pouvez bloquer entièrement le stockage amovible, n'autoriser que des clés chiffrées fournies par l'entreprise ou un accès en lecture seule, et journaliser les tentatives. Les logiciels de prévention des fuites de données (DLP) vont plus loin et peuvent bloquer la copie de documents marqués confidentiels. Commencez par la règle la plus simple adaptée au travail, car une interdiction totale pousse souvent à s'envoyer les fichiers par e-mail, et associez-la au chiffrement des disques des portables. Inscrivez la règle dans la politique informatique et informez les salariés, car journaliser ce qu'ils copient constitue une surveillance au sens du droit des données et du droit du travail. NetSenX ne fait pas cela ; il ne voit que les données qui traversent ensuite le réseau.

L'envoi lui-même, s'il part d'un appareil ou d'un segment surveillé : l'appareil, la destination, le volume et l'heure, mais pas les fichiers. Si quelqu'un copie des données sur une clé USB au bureau et les envoie depuis chez lui, le réseau du bureau ne voit jamais l'envoi. Si l'envoi part d'un portable d'entreprise équipé de l'agent NetSenX, ou d'un ordinateur sur un segment surveillé, NetSenX compare, dans toutes les offres, ce trafic sortant au schéma normal de l'appareil et lève une alerte s'il est inhabituel, par exemple plusieurs gigaoctets la nuit vers un stockage en ligne personnel. Le contenu reste non lu, car NetSenX ne déchiffre jamais le trafic. Pour savoir ce qui a été envoyé, il faut les journaux du service cloud ou des outils sur les postes, utilisés dans le respect du droit du travail et de la protection des données.

Vous pouvez limiter qui a accès au compte de sécurité tout court, et c'est la première étape. Les alertes peuvent nommer les appareils des RH, de la direction ou de la finance, et ces noms désignent parfois des personnes. Dès l'offre Starter, NetSenX permet la gestion d'équipe avec des rôles : vous n'ajoutez que les quelques personnes chargées de la sécurité et donnez à chacune le rôle nécessaire ; l'offre Free a un seul utilisateur. Toute personne ayant accès doit savoir que les alertes sont confidentielles. S'il vous faut une séparation plus fine, par exemple pour que l'équipe informatique ne voie pas les alertes sur le portable de la DRH, vérifiez avec nous ce que le modèle de rôles actuel permet avant de vous y fier, et envisagez de confier ces alertes à un petit groupe ou à un prestataire externe. Chaque action dans le compte est enregistrée dans le journal d'audit, dans toutes les offres.

Il enregistre les actions. Dans toutes les offres, le journal d'audit de NetSenX consigne ce que les utilisateurs font dans le compte : qui a changé le statut d'une alerte ou l'a clôturée, qui a saisi une décision, qui a modifié un réglage ou ajouté un membre d'équipe, et quand. Cela donne une trace pour les revues internes, les auditeurs et les questions des représentants du personnel sur qui a traité des alertes sensibles. Le journal d'audit a sa propre durée de conservation, qui augmente avec l'offre ; la page des tarifs l'indique. Ne supposez pas que le simple fait d'ouvrir ou de lire une alerte est enregistré : si vous avez besoin d'une trace de qui a consulté quoi, demandez-nous ce que la version actuelle journalise avant de le promettre à qui que ce soit. Associez le journal d'audit à une courte règle écrite sur qui peut accéder aux alertes de sécurité et pourquoi.

Oui : l'authentification à deux facteurs est disponible dans toutes les offres, Free comprise. Elle ajoute une seconde étape à la connexion, en général un code d'une application d'authentification, si bien qu'un mot de passe volé ou deviné ne suffit pas à ouvrir le compte. Activez-la pour chaque personne qui utilise NetSenX et intégrez-la à votre liste d'accueil des nouveaux, car un compte de sécurité montre comment votre réseau est construit et quels appareils ont déclenché des alertes, exactement ce qu'un attaquant aimerait lire. Le même raisonnement vaut pour tous vos autres comptes d'administration : messagerie, services cloud, pare-feu, système de sauvegarde et outils d'accès à distance. NetSenX enregistre aussi les actions et modifications du compte dans son journal d'audit, pour que toute activité inattendue puisse être examinée. Retirez rapidement les utilisateurs qui quittent l'équipe.

Ce qui est surveillé, pourquoi, ce qui ne l'est pas, qui le voit et combien de temps c'est conservé, en mots simples et avant le début de la surveillance. Le RGPD impose aux responsables du traitement de fournir une information claire sur le traitement des données personnelles, et le droit du travail de nombreux pays ajoute des obligations d'information ou de consultation. Une bonne information dit : nous surveillons les appareils et les connexions réseau de l'entreprise pour détecter des attaques ; nous enregistrons des métadonnées de connexion, comme les adresses, heures, volumes et noms de serveurs, pas le contenu des messages ou des fichiers ; une petite équipe nommée voit les alertes ; les traces sont gardées pendant une durée fixée ; voici à qui poser vos questions. Placez-la dans la charte informatique et la notice de confidentialité destinée au personnel, et mettez-la à jour à chaque changement. La description de ce que lit NetSenX aide à la rédiger avec précision.

Non. NetSenX rend compte de l'usage de l'IA par appareil et par programme, pas par personne. Dès l'offre Pro, il montre quels appareils ont atteint quels services d'IA externes ou environnements de modèles locaux, quand et avec quel volume ; là où l'agent tourne sur l'ordinateur lui-même, il peut aussi nommer le programme à l'origine de la connexion. Il ne déchiffre jamais le trafic et ne peut donc pas montrer ce qui a été tapé, collé ou envoyé. Relier un appareil à une personne est une étape distincte, que les RH ne devraient franchir que pour une raison claire et licite, comme une suspicion de violation de données, et avec les garanties exigées par votre politique et le droit national. La plupart du temps, les noms sont inutiles : savoir que les appareils de la comptabilité envoient des données à un service non approuvé suffit pour corriger la politique, valider un outil adapté ou proposer une formation.

Le risque interne est un dommage causé par quelqu'un qui dispose d'un accès légitime : un salarié, un prestataire ou un fournisseur qui détourne volontairement des données ou des systèmes, commet une erreur coûteuse ou se fait voler son compte. La différence avec une attaque extérieure tient au point de départ : la personne de l'intérieur a déjà franchi la porte, avec des identifiants valides et une activité d'apparence normale, si bien que des protections construites seulement autour du périmètre ne la voient pas. La plupart des incidents internes sont des erreurs plutôt que des malveillances ; les meilleures mesures sont donc simples : n'accorder que les accès nécessaires au poste, les retirer quand le poste change, l'authentification multifacteur, des sauvegardes et la formation. NetSenX voit une partie de cela : le comportement inhabituel d'un appareil, comme des connexions à des serveurs jamais utilisés ou de gros envois. Il ne juge pas des intentions et ne surveille pas les personnes.

Oui, ils peuvent le demander, car le RGPD donne à chacun un droit d'accès aux données personnelles qui le concernent. Si des traces réseau peuvent être reliées à un salarié, par exemple via un portable portant son nom ou une adresse attribuée à son ordinateur, il peut en demander une copie et des informations sur les finalités, les destinataires et la durée de conservation, dans les limites que le RGPD et le droit national permettent, comme la protection des droits d'autrui ou une enquête en cours. En tant qu'employeur, vous êtes responsable du traitement et répondez à la demande dans le délai fixé par l'article 12 du RGPD. Préparez-vous : sachez où sont les traces de sécurité, qui peut les exporter et comment retirer les données concernant d'autres personnes. NetSenX, en tant que sous-traitant, aide à traiter ces demandes selon son accord de traitement des données ; ses traces portent sur les connexions des appareils, pas sur le contenu des messages.

Elle doit dire clairement que les appareils et réseaux de l'entreprise sont surveillés pour la sécurité, ce que cela signifie et où sont les limites. Une section utile couvre : la finalité (détecter les attaques et protéger les données, pas mesurer la performance) ; ce qui est enregistré (métadonnées de connexion des appareils et réseaux de l'entreprise, pas le contenu des messages) ; si l'usage privé des appareils professionnels est permis et comment le trafic privé est traité ; les règles sur les appareils personnels, les clés USB, les outils d'accès à distance et les services d'IA ; qui voit les alertes et combien de temps les traces sont gardées ; ce qui se passe quand une alerte concerne l'appareil d'un salarié ; et à qui s'adresser. Gardez-la assez courte pour être lue, faites-la relire par un juriste et, lorsque c'est requis, présentez-la aux représentants du personnel. Décrivez NetSenX par ce qu'il fait : surveillance des appareils et des connexions, sans déchiffrement.

Aussi longtemps qu'ils sont nécessaires à la sécurité et à d'éventuelles obligations légales, et pas plus : le principe de limitation de la conservation du RGPD exige une durée définie, pas une conservation « au cas où ». Il n'existe pas de durée européenne unique pour les journaux de sécurité réseau : fixez-la vous-même et écrivez pourquoi. Plaident pour une durée plus longue les incidents découverts tard, les demandes d'auditeurs, d'assureurs et d'autorités, et les règles sectorielles ou nationales qui exigent des traces ; pour une durée plus courte, le fait que les journaux concernent des salariés identifiables et que moins de données signifie moins à protéger. Beaucoup d'entreprises retiennent quelques mois pour les alertes et davantage pour les dossiers d'incident et les décisions. La conservation de l'historique des alertes et du journal d'audit dans NetSenX dépend de l'offre ; la page des tarifs indique les deux.

La reconnaissance des émotions au travail est interdite, et l'IA qui surveille ou évalue les travailleurs est considérée à haut risque. L'article 5 du règlement sur l'intelligence artificielle (AI Act) interdit les systèmes d'IA qui infèrent les émotions des personnes sur le lieu de travail, sauf pour des raisons médicales ou de sécurité, et l'annexe III classe à haut risque l'IA utilisée pour surveiller et évaluer la performance et le comportement des personnes dans une relation de travail, avec des obligations strictes pour les fournisseurs et les déployeurs. Le RGPD et le droit du travail national s'appliquent en plus, et les représentants du personnel ont souvent leur mot à dire. Méfiez-vous donc des outils qui notent la productivité, enregistrent les frappes ou analysent visages et voix. NetSenX est conçu autrement : il observe des appareils et des connexions réseau pour détecter des attaques, rend compte de l'usage de l'IA par appareil et par programme, jamais par personne, et n'évalue pas les salariés.