Le télétravail sur Mac sans angoisse de sécurité ni guerre froide avec vos équipes

📎Sécuriser un parc Mac hybride tient en 5 mesures concrètes. Le piège, c’est de croire qu’il faut surveiller ses équipes pour ça : non seulement c’est inutile, mais la CNIL sanctionne. On voit les 5 mesures, la ligne rouge à ne pas franchir, et qui doit faire quoi chez vous.

Imaginez. L’un de vos collaborateurs descend d’un Uber. Son MacBook Air reste sur la banquette arrière. Le chauffeur file. Et là, en fonction de la façon dont vous avez préparé le terrain, 2 scénarios totalement différents s’enclenchent : soit vous bloquez son disque à distance et changez ses mots de passe en 3 mn, soit vous passez le week-end à vous demander quelles données viennent de partir avec la voiture.

Le télétravail n’est plus une exception. D’après l’INSEE (graph ci-dessous) 22 % des salariés du privé télétravaillent, à raison de presque deux jours par semaine en moyenne. L’hybride est devenu la norme. Avec lui s’impose une nouvelle équation pour les dirigeants de PME équipées en Mac : comment garder le contrôle sans tomber dans la surveillance qui rendrait vos équipes paranoïaques (et illégale, d’ailleurs) ?

Au programme : les 5 mesures à mettre sur votre parc, le piège CNIL, et la répartition des rôles. Pour creuser, notre approche de la sécurité Apple.

Pourquoi le Mac en télétravail change la donne

Le Mac est-il plus sûr que le PC ?

Réponse courte : Oui (en toute objectivité ofc^^). Le sandboxing applicatif, Gatekeeper, le chiffrement FileVault disponible nativement, le Secure Enclave des puces Apple Silicon (on décrypte ces termes ici si jamais)… : la fondation est solide et c’est l’une des raisons pour lesquelles tant de dirigeants ont basculé leur parc informatique vers le Mac. Sauf que la technique ne couvre qu’une moitié du risque. L’autre moitié, c’est l’humain. Et là, le Mac est logé à la même enseigne que tout le monde : un mot de passe partagé reste un mot de passe partagé, un Mac perdu sans chiffrement livre ses fichiers en quelques minutes, Mac ou PC.

Le mythe du « Mac invincible » a vécu. La bonne question, en 2026, ne porte plus sur la sécurité du Mac en général. Elle porte sur la vôtre : votre parc Mac est-il configuré pour rester sûr quand il quitte le bureau ?

Le vrai coût d’un Mac perdu ou volé

Quand un dirigeant lit dans la presse qu’un portable volé coûte des dizaines de milliers d’euros, il a raison de tiquer : un MacBook Air, c’est 1 200 €. Mais c’est parce que la machine n’est qu’une fraction de l’addition. Le vrai coût se loge ailleurs :

La fuite de données d’un disque non chiffré, les identifiants cloud du trousseau (Microsoft 365, Google) qui ouvrent le reste du SI, la notification CNIL sous 72 h, la perte de confiance client, le temps de reconfiguration…

Selon SBE Direct, seuls 4 % des ordinateurs perdus ou volés sont retrouvés. Une fois la machine partie, elle est partie. Toute la valeur récupérable réside dans la configuration que vous aviez mise en place AVANT la perte.

Mais il y a parfois pire. Histoire vécue : un de mes confrères m’appelle un jour, car un de ses clients, dirigeant d’une entreprise, a un accident et tombe malheureusement dans le coma. Et certaines données indispensables n’étaient que sur son Mac, protégé par FileVault… mais non géré par MDM. Personne n’a la clé de secours, le Mac reste protégé. Et c’est alors l’entreprise elle-même qui est en danger… car non, un Mac protégé par FileVault ne peut pas être déchiffré par magie avec quelques fichiers sur une clé USB (contrairement à d’autres systèmes…).

Coucou NIS2

La directive NIS2 s’applique en France via la loi Résilience. Échéance : le 17 octobre 2026. Concernées : les entreprises de plus de 50 salariés ou 10 M€ de CA dans l’un des 18 secteurs critiques (détail ici).

La nouveauté qui va faire réfléchir les dirigeants : les membres des organes de direction peuvent être tenus personnellement responsables du non-respect. Oui oui, personnellement responsable ! Et les amendes peuvent atteindre 10 M€ !

Les 5 fondamentaux pour sécuriser un Mac hors du bureau

1. Mettre en place un MDM Apple

Le MDM (Mobile Device Management), c’est l’outil central qui déploie un Mac à distance, applique des règles de sécurité uniformes et donne une vue d’ensemble du parc. Sur Apple, la référence est Jamf Pro.

💡Sans MDM, votre parc Mac en télétravail est une boîte noire : vous ne savez ni qui chiffre son disque, ni qui a installé la dernière mise à jour de sécurité, ni qui télécharge n’importe quoi. Walou.

2. Activer FileVault sur 100 % du parc

FileVault, c’est le chiffrement de disque intégré à macOS, gratuit depuis 2011. Sans lui, un Mac volé livre ses fichiers en quelques minutes. Avec lui, ils sont illisibles sans le mot de passe.

La vraie question : combien de Mac dans votre parc l’ont vraiment activé ? Sans un outil de gestion centralisée pour le vérifier (et le forcer), vous ne le savez pas. Et l’expérience montre qu’on trouve toujours des trous. Et si vous avez des Mac verrouillés par FileVault, mais dont vous n’avez pas la clé de secours correctement sécurisée, vous risquez de ne plus avoir accès aux données de la machine en cas de problème humain.

3. Unifier l’identité avec un SSO

Le SSO (Single Sign-On), c’est un seul mot de passe pour tout : la session Mac devient identique au mot de passe Microsoft 365 ou Google. Le jour où un collaborateur part, vous coupez son accès Microsoft et son Mac devient inutilisable dans la foulée. On vous en parle ici : SSO Mac en Entreprise : Guide complet et solutions

Côté Apple, Jamf Connect fait ça nativement, intégré à votre fournisseur d’identité (Entra ID, Google, Okta…). Et si vous n’avez pas de fournisseur d’identité, on vous aide à en mettre un en place.

4. Verrouiller ou effacer un Mac à distance

C’est exactement ce qu’un MDM sait faire : la commande de verrouillage redémarre le Mac et exige un code PIN. L’effacement à distance efface complètement toutes les données du Mac dès qu’il est connecté à un réseau. En quelques secondes, votre Mac volé devient une brique stérile.

Pré-requis : le Mac doit être enrôlé dans le MDM avant le vol. Si vous découvrez la perte sans rien avoir préparé, il est trop tard.

5. Antivirus : utile ou marketing de la peur ?

Réponse honnête : les antivirus grand public pour Mac, c’est en grande partie du marketing de la peur (et accessoirement, ça rfait ramer la machine). Sauf que le risque endpoint existe bel et bien en entreprise : fichiers infectés téléchargés depuis un partage, attaques ciblées sur des secteurs précis, ransomwares qui apprennent à viser macOS…

Oubliez l’antivirus de Leclerc. La bonne approche, c’est une protection endpoint pensée pour macOS, type Jamf Protect, qui détecte les comportements anormaux (un processus qui chiffre brutalement vos fichiers, par exemple) sans saturer le processeur ni espionner vos collaborateurs.

Sécuriser sans fliquer

Ce que la CNIL interdit explicitement

La Commission nationale de l’informatique et des libertés (CNIL) a posé des limites claires à ce qu’un employeur peut mettre en place sur les postes de ses télétravailleurs (détail des bonnes pratiques sur cnil.fr) :

• keyloggers (enregistrement des frappes au clavier) : ❌ interdits !
• captures d’écran automatiques des postes : ❌ interdites !
• partage permanent de l’écran du salarié : ❌ interdit !
• logiciels de présence qui obligent à cliquer toutes les X minutes pour « prouver » qu’on travaille : ❌ interdits !
• surveillance audio ou vidéo permanente via la webcam ou le micro : ❌ interdite !

La logique est claire : un employeur peut surveiller la machine, pas le comportement du collaborateur.

La sanction : 40 000 €

En décembre 2024, la CNIL a sanctionné une société du secteur immobilier d’une amende de 40 000 € pour un logiciel qui comptait les périodes d’inactivité et prenait des captures d’écran régulières. Disproportionné. ❌ interdit !

Et la facture réelle dépasse l’amende : départs en cascade des salariés qui l’ont découvert, galère à recruter ensuite…

La différence entre supervision technique et surveillance comportementale

⚖️Supervision technique : vérifier que le disque est chiffré, que les mises à jour sont appliquées, que la batterie tient encore, qu’aucun malware n’est détecté… Surveiller la machine : légal et fortement recommandée

Surveillance comportementale : mesurer le temps de travail effectif, regarder le contenu des écrans, enregistrer ce qui est tapé… Surveiller le collaborateur : Interdit ou strictement encadré.

Un MDM Apple bien configuré reste 100 % du côté supervision technique. Aucune donnée comportementale n’est captée. Et c’est cette frontière que vous devez formaliser clairement dans une charte télétravail signée par tous vos collaborateurs.

Du côté de Gete.Net Consulting, notre charte de confidentialité nous engage à respecter à 100% la vie privée des utilisateurs, et on ne fait aucune analyse comportementale de vos ordinateurs, en dehors des informations indispensables à surveiller pour la gestion pro-active du parc (version des logiciels, taux de remplissage du disque dur…).

Qui fait quoi dans votre PME

Ce que vous gérez en interne (sans déléguer)

Votre rôle de dirigeant : définir la politique d’usage du télétravail, faire signer une charte qui dit clairement ce qui est supervisé et pourquoi (transparence totale envers les équipes), communiquer en amont avant tout déploiement d’outil, et choisir les applications métiers que vos collaborateurs utilisent. Le « quoi » et le « pourquoi », c’est vous.

Ce qu’un partenaire Apple (comme Gete.net Consulting par exemple) prend en charge

Le « comment ». Concrètement : déploiement Zero Touch (le Mac arrive, le collaborateur l’ouvre, tout se configure seul), instance Jamf Pro dédiée (une par client, zéro mutualisation !), supervision proactive, support illimité par un humain qui connaît votre parc, mises à jour, interventions sur incident…

Si vous voulez voir où vous en êtes vraiment avant d’engager quoi que ce soit, on peut commencer par un état des lieux de votre parc actuel : 👉 demander un audit de votre parc Apple. Ou regarder dans le détail notre offre d’infogérance MSP.

On nous a déjà posé ces questions

Faut-il un VPN pour les collaborateurs en télétravail ?

Si vos collaborateurs accèdent à des ressources internes (serveur de fichiers local, NAS, application métier hébergée chez vous), oui. C’est même une recommandation explicite de l’ANSSI sur le nomadisme numérique.

Pour un usage 100 % cloud (Microsoft 365, Google Workspace…), un SSO bien fait couplé à l’authentification multifacteur suffit dans la grande majorité des cas.

Le BYOD (Mac perso utilisé pour le travail) est-il recommandé ?

Non, il n’y a pas d’échappatoire technique miracle : le cloisonnement pro/perso étanche d’Apple (User Enrollment) n’existe que sur iPhone et iPad. Sur Mac, ça n’existe pas. Un Mac perso utilisé pour le travail, vous ne pourrez ni le chiffrer ni le superviser correctement*.*

Pour 99,9 % des PME, fournir une machine pro dédiée n’est plus un débat budgétaire. Surtout depuis la sortie du MacBook Neo à 699 € TTC. Comparé au risque cyber et au cauchemar RGPD d’un BYOD mal cadré, la machine pro dédiée s’impose comme un no brainer.

Et les freelances et prestataires externes qui bossent sur leur propre Mac ? C’est l’angle mort des milieux créatifs, où les freelances vont et viennent en permanence. Le freelance arrive avec son Mac : vous n’en êtes pas propriétaire, donc impossible de le chiffrer, de l’enrôler ou de vérifier quoi que ce soit. Du BYOD que vous subissez sans l’avoir décidé.

La parade ne touche pas à leur machine : tout passe par des espaces cloud cloisonnés (rien en local), avec un accès SSO coupé d’un clic le dernier jour. Et pour les missions longues, le plus simple reste de prêter un Mac enrôlé dans votre parc. Et attention aux comptes génériques, désormais proscrits en informatique ! On évitera les comptes Freelance 1, Freelance 2, Freelance 3… et on préfèrera une solution de gestion d’identité associée à une solution comme Jamf Connect.

Bref…

Le télétravail sur Mac est parfaitement maîtrisable, à condition de ne pas le confier au premier infogérant venu. Les outils existent pour sécuriser un parc distribué sans fliquer personne. Le hic, c’est que la plupart de nos confrères infogérants généralistes ne connaissent pas bien les Mac (désolé les copains mais toi-même tu sais) et ça se voit dans les configs qu’on récupère.

Chez Gete.net Consulting, on a fait du Mac notre spécialité exclusive depuis 1994 (Apple for ever ❤️). Si vous voulez savoir où en est vraiment votre parc et ce qu’il faut faire en priorité avant le 17 octobre 2026, on peut commencer par regarder ça ensemble.

👉 Demander un audit de votre parc Apple

On s’en parle ?