Réponse courte : une politique de sécurité documentaire pour le fax tient en deux pages : qui a le droit d'envoyer et de recevoir, où vivent les fichiers et combien de temps, ce que contient le journal des transmissions, comment le papier est protégé, et comment les nouveaux collaborateurs sont formés. Huit points suffisent, à faire valider par la direction et à relire chaque année. Voici le modèle, pensé pour une organisation où le fax reste obligatoire.
Pourquoi le fax revient dans les politiques de sécurité
Santé, juridique, assurance, logistique, marchés publics : dans ces métiers, le fax reste un canal qu'exigent les partenaires, parfois la réglementation elle-même. Les équipes sécurité y voient un avantage rarement remarqué : le fax ne traverse pas la messagerie. Un document transmis par télécopie ne peut porter ni pièce jointe piégée, ni lien frauduleux à cliquer — les deux vecteurs par lesquels les rançongiciels entrent dans les organisations. Le canal esquive aussi les filtres antispam, qui bloquent en silence des messages légitimes bien plus souvent que les tableaux de bord ne le suggèrent.
Ce répit numérique ne dispense de rien : le fax a ses risques propres, physiques ceux-là. Une page de santé oubliée sur le bac d'un multifonction en accès libre, un numéro composé deux fois de travers, un brouillon jeté à la corbeille ordinaire : voilà des fautes que ni le chiffrement ni l'antivirus ne corrigeront jamais. C'est précisément ce qu'une politique de sécurité documentaire vient encadrer — le fax y est traité comme n'importe quel autre canal de l'organisation, avec des règles qui sont les siennes.
Les règles concrètes : poste, papier, brouillons
Un poste dédié, pas une machine dans le couloir
La machine vit dans une zone à accès maîtrisé : un local de secrétariat, pas le hall d'accueil ni la salle de pause. Qui n'y est pas autorisé n'y entre pas ; mieux vaut un multifonction réservé au fax qu'une imprimante partagée dont le premier venu relève les pages. Sans machine, via un service en ligne, la règle se déplace vers le poste de travail : on envoie depuis un compte nominatif, jamais depuis une session partagée sans identification individuelle.
Le bac papier se relève, pas ne se remplit
Un fax reçu dort au plus une heure sur le bac : notez qui relève, à quelle fréquence, et où les documents partent ensuite. Une télécopie qui arrive par erreur chez vous n'est ni lue ni photocopiée : elle repart vers l'expéditeur, ou elle est détruite en suivant votre procédure d'incident.
Les brouillons se détruisent le jour même
Brouillons de saisie, pages de test, copies dupliquées, listings d'envoi obsolètes : tout cela quitte le bureau par le destructeur à coupe transversale posé près du poste — jamais par la corbeille ordinaire, jamais par le bac de récupération du couloir. Le papier sorti du circuit ne redevient jamais du brouillon.
Le volet numérique du service en ligne
La plupart des organisations remplacent la machine par un service d'envoi en ligne ; la politique doit alors décrire la chaîne numérique, avec quatre exigences :
- transport chiffré : la transmission passe par HTTPS, du navigateur au serveur ;
- stockage chiffré : les fichiers envoyés reposent chiffrés sur les disques du prestataire ;
- durée de rétention : combien de jours le fichier reste disponible après l'envoi — et qui peut le supprimer plus tôt ;
- emplacement des serveurs : une organisation européenne préfère un hébergement dans l'Union, documenté par le prestataire.
Ajoutez la règle des comptes : nominatifs, mot de passe propre, double authentification quand le service l'offre. Les mesures techniques attendues de la transmission elle-même sont détaillées dans notre guide de sécurité des télécopies ; les obligations du responsable de traitement — base légale, registre, sous-traitants — sont passées en revue dans notre article sur la télécopie et la protection des données.
Journaliser : qui a envoyé quoi, et conserver la trace
Le journal des transmissions est la colonne vertébrale de la politique. Chaque envoi y figure avec son horodatage, le destinataire joint, le volume transmis et son issue — remise ou échec ; le bordereau correspondant est archivé avec le document qu'il prouve et suit la même durée de conservation. Le responsable désigné relit le journal chaque mois : un envoi passé hors des heures d'ouverture, un numéro hors annuaire des partenaires, un volume inhabituel — chaque anomalie appelle une question simple, posée vite.
Le journal se protège à son tour : accès restreint, export mensuel archivé, aucune suppression par celui qui manipule le poste.
Un modèle de politique en huit points
Recopiez, adaptez, faites signer :
- Périmètre — flux concernés, sites, machines et services en ligne couverts.
- Autorisations — qui peut envoyer, qui peut recevoir ; liste nominative tenue à jour.
- Poste et accès — où se trouve la machine, qui entre dans la zone, comment on accède au service en ligne.
- Papier — fréquence de relevage du bac, devenir des originaux, destruction des brouillons le jour même.
- Fichiers — dossier d'archivage unique, nommage, durées de rétention par famille, suppression après envoi.
- Journalisation — contenu du journal des transmissions, conservation des bordereaux, qui relit et à quel rythme.
- Formation — module d'accueil des nouveaux collaborateurs, rappel à chaque modification de la politique.
- Revue — lecture annuelle par la direction, mise à jour des durées, des accès et de la liste des autorisés.
Former les nouveaux collaborateurs
La formation se joue à l'arrivée, pas après le premier incident. Trente minutes au poste suffisent : où se trouve la machine, qui a le droit d'envoyer, comment vérifier le numéro deux fois, que faire d'un fax reçu par erreur, où partent les brouillons. Laissez une page mémo affichée au poste — les règles tiennent dessus, sinon elles ne tiendront nulle part. Le responsable vérifie les premiers envois du nouveau, puis consigne la session dans le registre : qui, quand, quelle version de la politique. À chaque revue annuelle, la liste des personnes formées repasse sur la table.
Deux pages, huit points, une signature en bas : c'est ce qui sépare une organisation qui subit ses fax d'une organisation qui les maîtrise.
Étiquettessecuritergpdorganisationdocumentsfax
