Intranet sécurisé : comment protéger votre intranet selon son type

Qu’est-ce qu’un intranet sécurisé ?

Un intranet sécurisé, c’est un intranet où chaque personne accède seulement à ce qu’elle doit voir, depuis un appareil de confiance, et où l’on peut retracer qui a fait quoi. Ce n’est pas un label ni un produit : c’est un ensemble de règles et de réglages qui tiennent dans le temps.

Concrètement, il repose sur cinq piliers :

• L’identité : chaque collaborateur a un compte unique, protégé par une authentification forte.
• Les droits d’accès : un salarié en usine ne voit pas les mêmes contenus qu’un membre du comité de direction, et c’est voulu.
• La protection des données : chiffrement, classification des documents sensibles, sauvegardes.
• Les appareils : l’intranet est de plus en plus consulté sur mobile ou depuis le domicile, il faut donc savoir depuis quoi on s’y connecte.
• La traçabilité : des journaux d’activité qui permettent de détecter un incident et d’y répondre.

Ces cinq piliers recoupent les recommandations du guide de la sécurité des données personnelles de la CNIL : identifiant unique, authentification multifacteur, profils d’habilitation, revue annuelle des accès, journalisation. Un intranet contenant des données de salariés, la sécurité de votre intranet fait aussi partie de vos obligations RGPD.

BYOD : enquète de Gartner montrant que deux tiers des employés utilisent au moins un appareil personnel pour accéder au réseau de leur employeur

Ce qui menace vraiment un intranet aujourd’hui

On imagine souvent le pirate qui force la porte. En réalité, la plupart des incidents commencent de façon beaucoup plus banale.

• Les erreurs humaines : L’humain est impliqué dans environ 60 % des violations de données, selon le Verizon Data Breach Investigations Report 2025. Un clic sur un lien piégé, un document partagé avec le mauvais groupe, et le mal est fait.
• Les identifiants volés : C’est le premier point d’entrée des attaquants, d’après le même rapport Verizon (22 % des violations). Sans authentification forte, un mot de passe suffit pour entrer dans l’intranet.
• Les partages trop larges : Un site ouvert à “tout le monde” par facilité, un dossier RH hérité d’un ancien projet : sur un intranet qui vit depuis des années, les droits dérivent.
• Les outils tiers et l’IA non encadrée : Plugins, connecteurs, assistants IA : chaque outil branché à l’intranet est une porte de plus. Une organisation sur cinq a déjà subi une violation liée au “shadow AI”, ces outils d’IA utilisés sans validation de l’IT, selon IBM.

Et la France n’est pas épargnée : l’ANSSI a traité 1 366 incidents en 2025, d’après son Panorama de la cybermenace.

4 types d’intranet, 4 modèles de sécurité

La vraie question n’est pas “quel intranet est le plus sécurisé ?” mais “qui s’occupe de quoi ?”. Selon le type d’intranet, la répartition des rôles entre vous et votre fournisseur change complètement. Voici la comparaison en un coup d’œil.

1 – Intranet on-premise ou auto-hébergé

C’est l’intranet installé sur vos propres serveurs, ou sur ceux d’un hébergeur que vous avez choisi.

Les avantages. Vous gardez la main sur tout : l’emplacement des données, les règles d’accès, le calendrier des mises à jour. Si votre hébergeur est européen, vos données échappent aux lois extraterritoriales. Pour certaines organisations très réglementées, c’est un argument décisif.

Les inconvénients. La maîtrise a un prix : toute la sécurité repose sur votre équipe. Correctifs de sécurité, tests d’intrusion, sauvegardes, plan de reprise, authentification multifacteur, supervision des journaux : rien n’est fait à votre place. Un intranet on-premise mal entretenu est souvent moins sûr qu’un intranet cloud bien configuré. Pour aller plus loin, voici notre comparatif on-premise vs cloud.

Pour qui ? Les organisations qui ont une équipe sécurité solide et des contraintes de souveraineté fortes : défense, certaines administrations, opérateurs d’importance vitale.

2 – Intranet SaaS indépendant

C’est un intranet hébergé et maintenu par son éditeur, en dehors de vos outils bureautiques.

Les avantages. Le déploiement est rapide, et l’éditeur s’occupe de l’infrastructure, des mises à jour et d’une bonne partie de la sécurité. Certains éditeurs hébergent leurs données en France, ce qui rassure sur la souveraineté.

Les inconvénients. Vous ajoutez un outil, donc un annuaire, des droits et des comptes à gérer en plus. Si la connexion unique (SSO) n’est pas bien branchée, vos collaborateurs se retrouvent avec un mot de passe de plus, et vos RH avec un compte de plus à fermer au départ d’un salarié. Votre niveau de sécurité dépend aussi entièrement de celui de l’éditeur.

Ce qu’il faut vérifier. Les certifications (ISO 27001, et HDS pour les données de santé), le lieu d’hébergement, la compatibilité SSO, et la réversibilité : pouvez-vous récupérer vos contenus si vous partez ? Notre sélection de logiciels intranet peut vous aider à comparer.

3 – Intranet sur Microsoft 365

C’est un intranet construit sur SharePoint Online, seul ou avec une solution d’intranet qui s’appuie dessus.

Les avantages. Votre intranet hérite de toute la sécurité de votre environnement Microsoft : le même compte, les mêmes règles. Avec l’accès conditionnel, votre DSI peut par exemple exiger une authentification forte depuis un appareil personnel (avec une licence Microsoft Entra ID P1). Les étiquettes de confidentialité permettent de classer et chiffrer des documents, mais aussi de protéger des sites SharePoint et des équipes Teams entiers. Et vos données Microsoft 365 peuvent être hébergées dans les datacenters français de Paris et Marseille.

Les inconvénients. Ces outils sont puissants, mais il faut les configurer, et c’est là que beaucoup d’entreprises pêchent. Le risque numéro un sur SharePoint, ce sont les partages trop larges, que les assistants IA rendent encore plus visibles : ils retrouvent tout ce à quoi un utilisateur a accès, y compris ce qu’il n’aurait pas dû voir. Enfin, Microsoft reste une entreprise américaine, soumise au Cloud Act (on y revient juste après).

Pour qui ? Les entreprises déjà sur Microsoft 365, qui veulent un seul environnement à sécuriser. Pour créer le vôtre, voici notre guide sur l’intranet Microsoft 365.

4 – Intranet sur Google Workspace

C’est un intranet construit avec Google Sites ou avec une solution d’intranet connectée à Google Workspace.

Les avantages. Comme pour Microsoft, vous profitez d’un seul compte et des règles de sécurité déjà en place. Google permet de stocker vos données au repos dans une région de données Union européenne. Et le chiffrement côté client empêche Google lui-même de lire vos contenus les plus sensibles.

Les inconvénients. Ces options avancées sont réservées aux éditions haut de gamme (Enterprise Plus notamment). Les régions de données se limitent à l’Europe ou aux États-Unis, sans option France. Et comme Microsoft, Google est soumis au Cloud Act.

Pour qui ? Les organisations déjà sur Google Workspace, qui ont les éditions nécessaires pour activer ces protections.

Souveraineté et Cloud Act : ce qu’il faut savoir avant de choisir

C’est le sujet qui revient dans toutes les discussions sur l’intranet sécurisé, et il mérite qu’on le pose calmement.

Ce que dit le Cloud Act. Cette loi américaine permet aux autorités des États-Unis de demander l’accès à des données stockées par une entreprise américaine, y compris quand ces données sont hébergées hors des États-Unis par une filiale, comme le rappelle un rapport du Sénat de 2025. Héberger ses données en France chez un fournisseur américain ne suffit donc pas à les y soustraire.

Ce que font les fournisseurs. Microsoft a par exemple finalisé en février 2025 son EU Data Boundary, qui garantit que les données de Microsoft 365 sont stockées et traitées dans l’Union européenne. C’est une vraie avancée pour le RGPD, mais elle ne change pas la nationalité du fournisseur.

Ce que change SecNumCloud. La qualification SecNumCloud de l’ANSSI impose notamment une protection contre les lois extra-européennes. Des offres de “cloud de confiance” se construisent sur ce modèle, y compris pour faire tourner des services Microsoft opérés par une entité française. Powell a par exemple rejoint en 2025 le programme éditeurs de Bleu, le cloud de confiance fondé par Capgemini et Orange.

Alors, est-ce bloquant pour vous ? Pour la plupart des entreprises, le Cloud Act est un risque à connaître, pas un motif d’exclusion : l’essentiel des menaces vient des identifiants volés et des erreurs humaines, pas des demandes d’autorités étrangères. En revanche, si vous travaillez dans la défense, la santé ou le secteur public, ou si vous manipulez des données très sensibles, la souveraineté devient un critère de choix à part entière.

La sécurité de l’intranet n’est pas que l’affaire de la DSI

La DSI pose le cadre technique. Mais au quotidien, la sécurité intranet se joue aussi chez ceux qui publient, qui recrutent et qui organisent les espaces. Voici ce que chacun peut faire.

DSI et RSSI

Vous êtes garants du socle : authentification multifacteur pour tous, règles d’accès selon l’appareil et le lieu, journalisation activée et surveillée, revue régulière des comptes à privilèges. Le guide d’hygiène informatique de l’ANSSI et ses 42 mesures restent une excellente base. Si votre intranet vit dans Microsoft 365, pensez aussi à sécuriser Microsoft Teams, souvent la porte d’entrée de vos collaborateurs.

Communication interne

Vous décidez qui voit quoi. Utilisez le ciblage par audience plutôt que des publications ouvertes à tous, et posez une règle simple : une information confidentielle n’a pas sa place dans une actualité. En cas de doute, le lien vers un document protégé vaut mieux que la pièce jointe.

RH

Vous tenez les clés des arrivées et des départs. Un compte ouvert trop tôt ou fermé trop tard, c’est une porte laissée ouverte. Formalisez avec la DSI un processus d’arrivée et de départ, avec des délais clairs : c’est tout l’intérêt du binôme DRH-DSI. Et rappelez que les données des salariés sont des données personnelles au sens du RGPD.

Digital workplace manager

Vous veillez à ce que l’intranet ne dérive pas. Chaque site doit avoir un propriétaire identifié, les espaces inactifs doivent être archivés, et les droits revus au moins une fois par an. Des outils de gouvernance Microsoft 365 peuvent automatiser une bonne partie de ce travail.

Checklist : 10 questions à poser avant de choisir ou d’auditer votre intranet

Que vous choisissiez un nouvel intranet ou que vous fassiez le point sur l’actuel, ces dix questions couvrent l’essentiel. Posez-les à votre DSI, à votre éditeur, ou aux deux.

• L’authentification multifacteur est-elle obligatoire pour tous ? C’est la mesure la plus rentable : elle réduit le risque de compromission d’un compte de 99,22 %, selon une étude de Microsoft Research.
• La connexion passe-t-elle par votre annuaire d’entreprise (SSO) ? Un seul compte, c’est un seul compte à fermer au départ d’un salarié.
• Où sont hébergées les données, et par qui ? Le pays de l’hébergement et la nationalité de l’hébergeur sont deux questions différentes.
• Quelles certifications le fournisseur peut-il prouver ? Demandez les certificats, pas seulement les logos : ISO 27001, HDS si vous traitez des données de santé, SecNumCloud si la souveraineté est un critère.
• Qui peut voir quoi, et qui le décide ? Les droits doivent suivre des profils clairs, pas des exceptions accumulées. Sur Microsoft 365, cela passe aussi par une bonne gestion des autorisations dans Teams.
• Quand les accès ont-ils été revus pour la dernière fois ? Une revue au moins annuelle permet de repérer les partages trop larges et les comptes oubliés.
• Les documents sensibles sont-ils classifiés ? Un document RH ou financier doit être identifié comme tel, et protégé en conséquence.
• Les journaux d’activité sont-ils conservés et analysés ? Sans trace, impossible de comprendre un incident après coup.
• Que se passe-t-il si vous changez de solution ? La réversibilité fait partie de la sécurité : vos contenus doivent rester récupérables, dans un format standard.
• Quels outils tiers et quelles IA sont connectés à l’intranet ? Chaque connecteur doit être validé par l’IT, avec des droits limités au strict nécessaire.

FAQ sur l’intranet sécurisé

En résumé

Un intranet sécurisé, ce n’est pas une technologie, c’est une répartition claire des responsabilités. Choisissez le type d’intranet qui correspond à vos contraintes de souveraineté et aux moyens de votre équipe, puis faites vivre la sécurité avec la DSI, la com et les RH.