5 erreurs de cybersécurité dans la téléphonie d’une PME

Si vous ne savez pas qui peut modifier un renvoi d’appel ou appeler certaines destinations, vous ne maîtrisez pas les risques liés à votre téléphonie. La cybersécurité de la téléphonie d’entreprise passe par le contrôle des accès, des appels sortants, des renvois d’appel, de la continuité du service et des enregistrements. Changer les mots de passe ne suffit pas.

En bref :

• Partager un compte administrateur empêche de savoir facilement qui a modifié un poste ou un renvoi d’appel.
• Vérifier les droits d’appel sortant et les destinations autorisées permet de repérer les autorisations inutiles.
• En cas de panne de connexion, le plan doit préciser où les appels seront reçus et comment le renvoi sera testé.
• Pour protéger les enregistrements, définissez qui peut les écouter et vérifiez les règles applicables à leur conservation.

Commencez par vérifier ce que vous pouvez modifier et qui peut le faire. Consultez les fonctionnalités du standard téléphonique virtuel et demandez à votre fournisseur quels contrôles il propose avant de supposer qu’ils existent.

Que se passe-t-il quand plusieurs personnes utilisent le même compte du standard téléphonique ?

Quand plusieurs personnes partagent le compte d’administration du standard téléphonique, il devient difficile de savoir qui a modifié un numéro de poste, une file d’attente ou un renvoi d’appel. Et si un ancien salarié connaît le mot de passe, lui retirer l’accès impose de le changer pour tous les autres utilisateurs du compte.

Commencez par identifier qui se connecte au standard et pourquoi. Vérifiez ensuite les droits nécessaires à chaque personne : quelqu’un qui répond aux appels n’a pas forcément besoin de modifier la configuration. Attribuez des accès individuels si le fournisseur le permet, puis vérifiez ce qui se passe lorsqu’une personne quitte l’entreprise ou change de poste.

Si le standard n’accepte qu’un compte partagé, demandez au fournisseur comment en limiter l’usage et vérifier les modifications. Consignez qui autorise chaque changement. Pour étendre ce contrôle au reste du service, consultez comment vérifier la téléphonie d’une PME.

Pourquoi vérifier les autorisations d’appels sortants ?

Les autorisations d’appels sortants déterminent quels utilisateurs ou postes peuvent appeler, et vers quelles destinations. Si elles sont trop larges, l’entreprise risque de tarder à repérer des appels qu’elle ne reconnaît pas. Elle ne saura pas non plus quels accès limiter ni à qui demander de l’aide pour les arrêter.

Définissez les destinations dont chaque équipe a besoin. Vérifiez aussi si certains postes conservent des autorisations qu’ils n’utilisent plus. Un canal SIP permet d’acheminer un appel par la connexion entre le standard téléphonique et le fournisseur. Si vous disposez de votre propre standard, consultez le fonctionnement du SIP Trunk pour connecter votre propre standard téléphonique avant de choisir les contrôles à mettre en place.

Demandez au fournisseur s’il permet de restreindre les destinations par poste, de consulter l’activité des appels sortants et de bloquer les appels en cas d’usage non reconnu. Demandez aussi quelle procédure suivre pour signaler le problème et bloquer les appels : le détecter ne sert pas à grand-chose si personne ne sait qui doit agir.

Quels risques courez-vous si vous ne vérifiez pas les renvois d’appel ?

Un renvoi que personne ne vérifie peut envoyer des appels vers un ancien numéro, le mobile d’une personne qui ne répond plus ou une destination extérieure à l’entreprise. Si les changements ne sont pas contrôlés, il devient difficile de savoir quand le parcours de l’appel a changé et qui l’a autorisé.

Vérifiez régulièrement ces parcours en passant des appels de test :

• Numéros principaux : vérifiez quel poste, quelle file d’attente ou quel numéro reçoit chaque appel.
• Files d’attente : vérifiez où va l’appel lorsque personne ne répond.
• Appels hors des heures d’ouverture : confirmez qu’ils arrivent à la destination prévue lorsque le bureau est fermé.

Notez la destination réelle de chaque appel de test et la personne qui autorise les changements. Si un appel n’arrive pas là où vous l’attendiez, corrigez le renvoi et refaites le test.

Que se passe-t-il si la connexion dont dépend la téléphonie tombe en panne ?

Si cette connexion tombe en panne, une PME peut cesser de recevoir les appels sur ses postes habituels. Elle doit donc savoir à l’avance où ces appels arriveront, qui activera le dispositif de secours et comment vérifier qu’il fonctionne.

Empêcher les accès non autorisés protège le standard téléphonique. Continuer à répondre aux appels pendant une panne demande un autre plan. Repérez les numéros qui dépendent de la connexion du bureau et convenez avec votre fournisseur des moyens de recevoir les appels si elle ne fonctionne plus. Lorsque vous examinez la connectivité fibre et mobile, demandez ce qui dépend de chaque connexion et ce que l’équipe devra faire.

Désignez ensuite une personne pour activer la procédure et une autre pour la vérifier. Faites un test : appelez le numéro principal depuis l’extérieur, vérifiez qui répond et confirmez comment revenir au fonctionnement habituel. Un plan que personne n’a testé reste une hypothèse.

Pourquoi ne suffit-il pas d’activer l’enregistrement des appels ?

Activer l’enregistrement des appels ne suffit pas. Si vous conservez les fichiers audio sans définir leur usage, les personnes autorisées à les écouter et leur date de suppression, les conversations peuvent rester accessibles plus longtemps que nécessaire. Avant d’enregistrer, définissez une finalité, limitez l’accès et vérifiez quelles informations communiquer à la personne qui appelle.

Distinguez la configuration technique de l’examen juridique. Demandez au fournisseur où sont stockés les fichiers, comment l’accès est limité et comment il est retiré lorsqu’une personne n’en a plus besoin. Ne supposez pas que le standard téléphonique dispose de contrôles que vous n’avez pas vérifiés.

Avant d’activer l’enregistrement, examinez les informations que recevra la personne qui appelle et les critères de conservation des fichiers. Ne partez pas du principe que le consentement est toujours nécessaire et ne fixez pas de durée de conservation au hasard. Utilisez le guide sur l’enregistrement des appels pour préparer vos questions, puis confrontez les réponses à un conseil juridique à jour.

Questions fréquentes

Les appels par internet sont-ils moins sûrs que ceux d’une ligne téléphonique classique ?

Pas nécessairement. Le risque dépend de la gestion des accès, de la connexion et de la configuration du service. Changer de technologie ne fait pas disparaître les erreurs d’administration. Lorsque vous comparez des fournisseurs, demandez quels contrôles vous pouvez gérer, lesquels relèvent du fournisseur et comment signaler un incident. Exigez des réponses écrites.

Comment reconnaître un appel qui usurpe le numéro de mon entreprise ?

Vous ne pouvez pas confirmer une usurpation au seul motif qu’une personne dit avoir reçu un appel affichant votre numéro. Demandez-lui l’heure, le numéro appelé et une description de ce qui s’est passé. Vérifiez si votre entreprise a passé cet appel, puis transmettez ces informations à votre fournisseur pour qu’il examine ce qu’il peut vérifier.

Quelles informations préparer avant de signaler un incident au fournisseur ?

Décrivez précisément ce qui s’est passé, quand le problème a commencé et quels numéros, postes ou collaborateurs semblent concernés. Conservez les alertes reçues et notez les changements effectués par votre équipe depuis la découverte du problème. Précisez aussi si vous pouvez encore recevoir et passer des appels : cela aidera le fournisseur à déterminer quoi vérifier en premier.

Quelles questions poser sur la sécurité avant de choisir la téléphonie de mon entreprise ?

Demandez qui administre les comptes, comment les modifications sont autorisées et quelles options permettent de contrôler les appels sortants. Clarifiez aussi ce qu’il advient des appels si la connexion tombe en panne, comment signaler un incident et quelles tâches incombent à votre entreprise. Ne présumez pas qu’une fonction est incluse si le fournisseur ne l’a pas confirmé.

Demandez une vérification des accès, des renvois d’appel et de la continuité de votre téléphonie.

Demandez une vérification des accès, des renvois d’appel et de la continuité de votre téléphonie.

---

Rédigé par Mehdi Chouikh, CEO.