Charte informatique d’entreprise : contenu, plan type et mise en place au Maroc

La réponse courte : une charte informatique est le document qui dit aux salariés ce qu’ils peuvent faire et ne pas faire avec les outils de l’entreprise (poste, messagerie, internet, téléphone, cloud, IA), et ce que l’entreprise contrôle. Au Maroc, aucune loi ne l’impose à toutes les entreprises privées, mais elle est la pièce qui relie trois obligations : le règlement intérieur du Code du travail, l’information des salariés exigée par la loi 09-08, et les bonnes pratiques de sécurité de la DGSSI. Pour qu’elle serve vraiment, quatre conditions : courte et lisible, rattachée au règlement intérieur, signée par chaque utilisateur, et appliquée par des réglages techniques.

Chez ALLSAFE SOLUTIONS, nous aidons les PME de Casablanca et de tout le Maroc à écrire leur charte informatique et surtout à la rendre réelle dans les outils, dans le cadre de nos missions de cybersécurité des entreprises au Maroc. Ce guide n’est pas un avis juridique : faites valider le texte final par votre conseil.

Charte, politique de sécurité, procédures : ne pas tout mélanger

Beaucoup d’entreprises ont un document de trente pages que personne n’a lu, qui mélange règles pour les salariés et consignes pour les administrateurs. Il vaut mieux séparer trois niveaux :

Document	Destinataires	Contenu	Signature
Politique de sécurité (PSSI)	Direction, service informatique	Objectifs, organisation, responsabilités, règles de sécurité de l’entreprise	Validée par la direction
Charte informatique	Tous les utilisateurs, y compris stagiaires et prestataires	Règles d’usage au quotidien, contrôles, sanctions	Signée par chaque utilisateur
Procédures techniques	Équipe informatique ou infogérant	Création des comptes, sauvegardes, mises à jour, réponse aux incidents	Internes

La charte est donc le seul des trois qui s’adresse à tout le monde. C’est aussi celui qui engage le salarié.

Ce que dit le cadre marocain

Pas de loi spécifique sur internet au travail. Interrogé par La Vie éco, un avocat du barreau de Casablanca rappelait qu’aucune législation ne régit spécifiquement l’usage d’internet au bureau, et que les tribunaux apprécient les litiges au cas par cas. D’où l’intérêt d’écrire les règles noir sur blanc avant qu’un conflit n’arrive.

Le règlement intérieur. Le Code du travail (loi 65-99, article 138) impose un règlement intérieur aux employeurs qui occupent habituellement au moins 10 salariés. Le projet est soumis pour avis aux délégués du personnel puis transmis pour approbation à l’autorité gouvernementale chargée du travail. Rattacher la charte informatique au règlement intérieur, comme le recommandent les juristes, permet de qualifier certains manquements de faute professionnelle. Pour une entreprise plus petite, la charte signée reste l’outil d’information et d’engagement.

La loi 09-08. Contrôler la messagerie, les journaux de navigation ou la géolocalisation, c’est traiter des données personnelles des salariés. L’entreprise doit donc les informer au préalable (l’article 5 détaille les mentions), déclarer le traitement à la CNDP et rester proportionnée. Nous détaillons ces obligations dans notre guide loi 09-08 et CNDP. La charte est l’endroit naturel pour décrire ces contrôles.

La DNSSI de la DGSSI. La Directive nationale de la sécurité des systèmes d’information, publiée par la DGSSI en décembre 2013 et révisée par la circulaire du Chef du gouvernement n° 2/2023, s’applique aux administrations, organismes publics et infrastructures d’importance vitale. Sa mesure « Charte d’utilisation SI » demande une charte destinée au personnel, validée par la hiérarchie, signée par les utilisateurs et qui « constitue un élément opposable en cas de manquement grave ». Elle doit contenir au minimum les règles générales d’utilisation, des éléments de sensibilisation, les réflexes en cas d’incident, et le statut des données et dispositifs privés (supports amovibles, postes nomades, smartphones). Même si votre PME n’y est pas soumise, c’est une excellente grille de départ. Pour le cadre légal plus large, voir notre article sur la loi 05-20 relative à la cybersécurité.

Le plan type d’une charte informatique

Voici le plan que nous utilisons avec nos clients. Pour chaque chapitre, la troisième colonne indique le réglage qui transforme la règle en réalité ; une règle sans contrôle technique est vite oubliée.

Chapitre	Ce qu’on y écrit	Ce qui la rend réelle
1. Objet et champ d’application	Qui est concerné (salariés, stagiaires, prestataires), quels outils	Liste des comptes à jour
2. Comptes et mots de passe	Compte personnel non partagé, mot de passe robuste, double authentification	Politique de mot de passe, MFA imposée
3. Poste de travail	Verrouillage en cas d’absence, pas d’installation de logiciel, mises à jour acceptées	Droits utilisateur standard, verrouillage automatique
4. Messagerie	Usage professionnel, prudence sur les pièces jointes et les liens, pas de transfert automatique vers une adresse personnelle	Filtrage antispam, blocage du transfert externe
5. Internet et outils cloud	Usage personnel raisonnable, catégories interdites, outils de partage autorisés	Filtrage web ou DNS
6. IA générative	Outils validés, données interdites (clients, salariés, contrats)	Outil sous contrat professionnel, blocage des autres
7. Supports amovibles et appareils personnels	Clés USB fournies par l’entreprise, règles pour le smartphone personnel	Contrôle des périphériques, MDM
8. Télétravail et mobilité	Connexion par VPN, réseau domestique, confidentialité dans les lieux publics	VPN avec MFA, chiffrement des portables
9. Incident de sécurité	Qui prévenir, comment, sans délai, ne rien effacer	Contact unique connu de tous
10. Contrôles de l’entreprise	Ce qui est journalisé, pourquoi, par qui, combien de temps	Journaux du pare-feu et de la messagerie, déclaration CNDP
11. Départ du salarié	Restitution du matériel, fin des accès, sort des données personnelles	Procédure de départ avec désactivation le jour même
12. Sanctions et entrée en vigueur	Renvoi au règlement intérieur, date, signature	Accusé de lecture archivé

Plusieurs chapitres renvoient à nos guides détaillés : politique de mots de passe et gestionnaire, déploiement de la double authentification, sécurité des clés USB et supports amovibles, encadrer l’IA générative et le shadow IT et gestion des smartphones avec un MDM.

Ce qu’il ne faut pas écrire

Les chartes qui posent problème ont souvent les mêmes défauts :

• Des interdictions irréalistes. « Aucun usage personnel d’internet » n’est respecté par personne et affaiblit tout le reste du texte. Un usage personnel raisonnable, qui ne gêne ni le travail ni la sécurité, est plus crédible.
• Une surveillance non annoncée. Un contrôle découvert par hasard par un salarié détruit la confiance et fragilise l’entreprise en cas de litige. Tout ce qui est journalisé doit être décrit.
• Des règles que l’informatique n’applique pas. Interdire les clés USB tout en laissant tous les ports ouverts, ou exiger la double authentification sans l’imposer dans Microsoft 365 ou Google Workspace.
• Un texte juridique illisible. La charte s’adresse à l’assistante comme au commercial. Phrases courtes, exemples concrets, vocabulaire simple.
• Oublier les prestataires et stagiaires. Ce sont souvent eux qui ont les comptes les moins surveillés.
• Une charte figée. Écrite avant le télétravail, avant l’IA générative, jamais relue depuis.

Mettre en place la charte en 7 étapes

1. Faire l’inventaire de l’existant : outils utilisés, comptes, appareils personnels, accès distants, règles déjà appliquées. Un audit informatique donne ce point de départ.
2. Rédiger une première version courte à partir du plan type, avec la direction, les RH et l’informatique.
3. Vérifier la cohérence technique : chaque règle a-t-elle un réglage correspondant ? Sinon, la planifier ou la retirer.
4. Faire valider juridiquement le texte, l’articulation avec le règlement intérieur et la déclaration des traitements de contrôle à la CNDP.
5. Consulter les représentants du personnel quand la charte est rattachée au règlement intérieur, selon la procédure du Code du travail.
6. Présenter la charte en séance, pas seulement par e-mail, puis recueillir la signature ou l’accusé de lecture de chaque utilisateur. Intégrez-la au parcours d’arrivée des nouveaux.
7. Relire la charte régulièrement, à chaque nouvel outil ou nouvel usage, et l’accompagner d’un programme de sensibilisation au phishing.

Le chapitre incident : le plus utile de tous

Si vos salariés ne retiennent qu’une page, que ce soit celle-ci. Elle doit dire, en quelques lignes : à qui signaler un clic douteux, une pièce jointe ouverte, un ordinateur perdu ou un message suspect ; comment (un numéro et une adresse, toujours les mêmes) ; et ce qu’il ne faut pas faire (éteindre le poste et tout effacer, ou attendre le lendemain par peur d’être sanctionné). Précisez explicitement qu’un signalement rapide n’est jamais sanctionné : c’est ce qui fait gagner du temps face à un rançongiciel. Notre guide réponse à incident : la première heure détaille la suite côté informatique.

Checklist de votre charte informatique

• Le texte se lit en entier sans effort et utilise des exemples concrets.
• Il couvre salariés, stagiaires et prestataires.
• Mots de passe, double authentification, messagerie, internet, cloud et IA générative sont traités.
• Le statut des appareils personnels et des supports amovibles est clair.
• Les contrôles réalisés par l’entreprise sont décrits, avec leur finalité.
• Les traitements de contrôle sont déclarés à la CNDP.
• La conduite à tenir en cas d’incident tient sur une page.
• La procédure de départ prévoit la fin des accès le jour même.
• La charte est rattachée au règlement intérieur et signée par chaque utilisateur.
• Chaque règle correspond à un réglage technique en place.

Comment nous procédons

Nous partons d’un audit initial offert de vos outils et de vos pratiques réelles, puis nous rédigeons avec vous une charte adaptée à votre taille et à votre activité. Surtout, nous appliquons les réglages qui la rendent effective : double authentification, droits limités sur les postes, filtrage web, blocage du transfert de messagerie externe, gestion des smartphones, chiffrement des portables, procédure d’arrivée et de départ. Dans le cadre de notre infogérance au Maroc, ces réglages restent supervisés 24/7, et un incident critique est pris en charge en moins de 15 minutes.

Consultez notre offre cybersécurité, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.