À quoi ressemble réellement le risque de sécurité mondial aujourd’hui et comment le gérer
La relation d’un travailleur contractuel avec une entreprise ressemble rarement à celle d’un employé à temps plein. Les mandats commencent et se terminent selon leur propre horaire. Un travailleur peut travailler avec un client pendant trois mois, puis passer à autre chose, ou gérer deux mandats en même temps. Ce changement constant est ce qui rend le travail temporaire flexible et précieux. Il crée aussi un type différent de risque de données et d’accès, que la plupart des conseils de sécurité ne traitent pas.
La plupart des conseils pour sécuriser une main-d’œuvre supposent une équipe stable qui se connecte aux mêmes systèmes chaque jour. Le travail contingent et contractuel ne suit pas ce schéma. Chaque mission a son propre début et sa fin, et chacune est un moment où l’accès doit être correctement configuré et complètement fermé. Ce n’est pas simplement une tâche TI. C’est une question de conformité, étroitement liée au travail de classification et de paie qu’un partenaire de conformité gère déjà.
Pourquoi les engagements contingents créent un schéma de risque différent
L’embauche à temps plein est surtout un événement ponctuel. Une nouvelle recrue a accès à ce dont elle a besoin dès le départ, et cet accès peut rester assez stable pendant des années. Le travail temporaire ne suit pas ce schéma. Selon l’American Staffing Association, les entreprises de placement ont embauché 12,7 millions d’employés temporaires et contractuels au cours de 2023, alors qu’environ seulement 2,2 millions travaillaient dans une semaine donnée en 2024. Cet écart illustre clairement ce point. Une grande partie des placements conditionnels commencent et se terminent dans la même année, parfois en quelques semaines.
Chacun de ces placements est un événement d’accès. Chacun commence par le provisionnement, les systèmes, les identifiants, et parfois l’équipement physique, et tout doit être complètement fermé à la fin. Multipliez cela par la fréquence à laquelle les mandats contingents sont renouvelés, et il devient facile de voir comment des lacunes peuvent se former. Un compte qui aurait dû être fermé reste parfois ouvert par erreur. Un certificat survit à l’engagement pour lequel il a été créé. Le schéma se résume à un rythme inégalé : les processus d’accès sont généralement conçus pour un emploi stable et à long terme, tandis que les mandats contingents avancent beaucoup plus vite.
Il y a aussi un risque plus récent qui mérite d’être mentionné ici. Les reportages industriels ont documenté une augmentation du nombre de candidats frauduleux qui utilisent des identités fabriquées pour être embauchés dans des postes contractuels à distance, puis utilisent cet accès pour accéder aux systèmes du client. Le département de la Justice des États-Unis a poursuivi des affaires impliquant des travailleurs ayant utilisé des identités volées pour obtenir des postes de contractuels à distance dans plus de 100 entreprises. Cela rappelle que le risque d’accès à l’événement ne commence pas toujours à l’intégration. Parfois, il commence avant même que l’engagement ne commence, avec la question de savoir qui est embauché.
Les enjeux d’Access
Le coût de cette erreur continue d’augmenter. Le rapport 2026 sur le coût d’une violation de données d’IBM a révélé que le coût moyen mondial d’une violation a atteint 4,99 millions de dollars, un sommet record et une augmentation de 12% par rapport à l’année précédente.
Le rapport Verizon 2026 sur les enquêtes sur les violations de données ajoute des détails utiles. L’élément humain était présent dans 62% des violations étudiées par Verizon, et pour la première fois depuis le début du rapport, les vulnérabilités logicielles exploitées ont dépassé les identifiants volés comme principal moyen d’accès des attaquants.
Les deux résultats appuient la même conclusion. Les attaquants n’ont pas besoin d’un piratage sophistiqué lorsqu’un compte n’a jamais été fermé, qu’une accréditation n’a jamais survécu à son engagement, ou que l’accès a été accordé à quelqu’un qui n’était pas celui qu’il prétendait être. Dans une main-d’œuvre avec un tel roulement de personnel, ces petits écarts ne sont pas des exceptions rares. Ils sont un résultat prévisible d’un processus qui n’est pas conçu pour la fréquence à laquelle les engagements commencent et cessent.
Le flux de données derrière un engagement contingent
Les données d’un employé à temps plein résident principalement au même endroit : les propres systèmes de l’employeur. Le travail temporaire paraît rarement aussi simple. Les renseignements personnels et de paie d’un employé passent souvent du travailleur à une agence de placement, à un partenaire EOR ou AOR, puis au client final, parfois à travers une frontière en chemin.
Chaque transfert dans cette chaîne est un point où les données doivent être traitées correctement. Qui est responsable de protéger les informations d’un employé pendant qu’elles sont confiées au partenaire de placement? Que se passe-t-il une fois qu’elles atteignent le client? Ce sont les mêmes questions qui reviennent dans la classification et la conformité à la paie, appliquées aux données plutôt qu’aux dollars.
C’est là que beaucoup de conseils généraux en matière de sécurité ne vont pas assez loin pour le travail contingent. Le risque ne concerne pas principalement l’ordinateur portable ou le réseau domestique d’un travailleur. Il s’agit du nombre de parties qui touchent aux données de ce travailleur au cours d’une seule mission, et si chacune gère correctement sa part de cette relation.
Là où la classification et la conformité se chevauchent
La loi sur la protection des données multi-juridictions ajoute une couche supplémentaire à cela. En vertu du Règlement général sur la protection des données, les organisations qui gèrent les données personnelles sont traitées différemment selon qu’elles agissent comme un responsable des données ou un traitement de données, une distinction qui ressemble beaucoup à la relation travaille-agence-client. La Loi californienne sur la protection de la vie privée des consommateurs établit une distinction similaire, accordant aux résidents des droits sur leurs renseignements personnels et fixant des attentes quant à la manière dont les fournisseurs de services dans une chaîne comme celle-ci sont censés les gérer.
Les entreprises qui communiquent aussi par courriel avec les travailleurs stagiaires doivent rester conformes à la loi anti-pourriel, que ce soit la loi CAN-SPAM aux États-Unis ou la législation anti-pourriel au Canada. Ce sont une partie plus petite du tableau ici, mais il vaut la peine de la connaître si une main-d’œuvre temporaire couvre les deux pays.
Ces lois n’ont pas été rédigées spécifiquement pour les arrangements de personnel, mais elles s’appliquent tout de même. Une entreprise comptant sur des talents conditionnels dans plusieurs pays gère souvent plusieurs de ces cadres simultanément, en plus des exigences de classification et de paie déjà applicables. Coordonner tout cela sans un partenaire expérimenté ajoute une réelle complexité.
À quoi ressemble une gestion responsable de l’accès
Une bonne gestion des accès pour une main-d’œuvre temporaire ne consiste pas à verrouiller chaque appareil ou à imposer un outil de sécurité spécifique. Il s’agit de construire le cycle de vie de l’engagement autour de points de contrôle clairs.
Cela commence par confirmer qui est réellement embauché, puisque la vérification au début d’un engagement compte autant que ce qui se passe après le début de l’embauche. À partir de là, l’accès devrait être accordé selon ce que requiert un engagement spécifique, revu si la portée du mandat change, et complètement révoqué dès la fin de l’engagement, pas quelques semaines plus tard quand quelqu’un s’en rend compte.
Rien de tout cela n’est compliqué en principe. Ce qui rend cela difficile, c’est de le faire de façon constante au sein d’une main-d’œuvre contingente où les missions commencent et se terminent constamment, parfois entre plusieurs clients et pays à la fois. Cette constance exige un effort réel et continu, et c’est le même type de discipline opérationnelle que la classification et la conformité à la paie exigent déjà.
Réunir conformité et accès
Les risques décrits ici proviennent de la structure d’un engagement : quand l’accès doit commencer, quand il doit se terminer, et comment les données d’un employé circulent entre le partenaire de placement et le client. Cette structure est la même que celle qui régit la classification et la conformité de la paie.
People2.0 s’occupe de la classification et de la paie des missions contingentes entre juridictions, un travail qui exige déjà de respecter les lois sur la protection des données régissant la paie et les renseignements personnels impliqués. Avoir cette base adéquate permet à une entreprise de disposer d’un compte rendu précis et à jour du début et de la fin de chaque mandat, les mêmes informations qui devraient guider les décisions d’accès du côté client.
Si les missions contingentes constituent une part significative de votre personnel, surtout dans plusieurs pays, il vaut la peine de se demander si votre classification, votre paie et vos dossiers d’engagement sont aussi actuels qu’ils devraient l’être. C’est la conversation que nous avons avec les entreprises chaque jour.
Vous voulez en savoir plus? Contactez People2.0 pour découvrir comment nous aidons des entreprises comme la vôtre à gérer les talents contingents de façon conforme, peu importe où votre personnel opère.
FAQ
Qu’est-ce qui différencie les risques liés aux données et à l’accès pour une main-d’œuvre temporaire comparativement aux employés à temps plein?
L’embauche à temps plein est surtout un événement unique, avec un accès établi une seule fois et largement inchangé pendant des années. Le travail temporaire ne suit pas ce schéma. Les engagements commencent et se terminent constamment, donc l’accès doit être accordé et fermé correctement à chaque fois, pas une seule fois.
Quel est le plus grand risque lorsqu’on donne accès aux travailleurs contractuels aux systèmes de l’entreprise?
Le plus grand risque n’est généralement pas une attaque sophistiquée. C’est un processus d’accès qui n’a pas été conçu pour la rapidité avec laquelle les engagements contingents sont transférés, donc les comptes et les identifiants survivent aux engagements pour lesquels ils ont été créés.
Qui est responsable des données d’un travailleur conditionnel lorsqu’il passe d’un partenaire de recrutement à un client?
La responsabilité dépend du rôle de chaque partie dans la relation. Les lois sur la protection des données telles que le RGPD et le CCPA distinguent les organisations qui contrôlent les données de celles qui les traitent au nom d’une autre partie, une distinction qui s’applique directement à la façon dont les données des travailleurs passent du travailleur à un partenaire de dotation ou d’EOR/AOR, puis au client final.
Les lois sur la protection des données s’appliquent-elles différemment aux travailleurs stagiaires selon les pays?
Oui. Une entreprise travaillant avec des talents potentiels dans plusieurs pays est souvent soumise à plusieurs cadres de protection des données en même temps, puisque ces lois n’ont pas été rédigées spécifiquement en pensant aux arrangements de personnel, mais s’appliquent tout de même. Cela ajoute une couche de complexité en plus de la classification standard et de la conformité à la paie.
Comment un partenaire en conformité peut-il aider à gérer ce risque?
Un partenaire de conformité comme People2.0 gère la classification et la paie d’un engagement contingent entre juridictions, ce qui exige de respecter les lois sur la protection des données qui régissent la paie et les informations personnelles. Ce travail maintient les dossiers d’engagement précis et à jour, ce qui correspond à l’information dont une entreprise a besoin pour prendre des décisions d’accès éclairées.
Supervision éditoriale par Jeremiah Akin, directeur principal, Marque mondiale et contenu
