Solutions de sécurité mobile
Les appareils mobiles occupent une place délicate dans la plupart des programmes de sécurité. Ils contiennent les e-mails de l’entreprise, des applications de messagerie instantanée, parfois un accès direct aux systèmes d’entreprise, et ils appartiennent souvent à leurs utilisateurs à titre personnel, ce qui signifie que vous ne pouvez pas les gérer comme vous le feriez avec un ordinateur portable d’entreprise. De nombreuses organisations réagissent à cette tension en choisissant tout simplement de ne pas s’en occuper, dans l’espoir que l’exposition reste limitée. Or, celle-ci ne reste pas limitée ; elle est généralement déjà plus importante que ce que l’on imagine.
Le risque n’a rien d’exotique. Il s’agit d’un téléphone perdu ou volé équipé d’un client de messagerie non verrouillé, d’un appareil personnel doté d’un logiciel obsolète et dépourvu de verrouillage d’écran qui se connecte à Slack de l’entreprise, ou encore d’un employé installant une application douteuse qui, à l’insu de tous, dispose d’autorisations étendues sur un appareil ayant également accès aux ressources professionnelles. Aucune de ces situations ne nécessite un attaquant sophistiqué ; il suffit d’un appareil non géré et d’un coup de malchance.
Mon approche de la sécurité mobile
Je commence par déterminer ce qui est réellement réaliste pour votre organisation. Si les appareils appartiennent à l’entreprise, une gestion complète des appareils mobiles s’impose : chiffrement obligatoire, effacement à distance, restrictions d’applications, exigences en matière de mises à jour du système d’exploitation. S’il s’agit d’un modèle BYOD (Bring Your Own Device), ce qui est le cas de la plupart des organisations, l’approche la plus réaliste consiste à mettre en place une couche de gestion des applications mobiles qui sécurise spécifiquement les données et les applications de l’entreprise (e-mails, documents, applications professionnelles), sans chercher à contrôler l’ensemble de l’appareil personnel, ce à quoi les employés s’opposeront et qu’ils ne peuvent souvent pas être contraints d’accepter d’un point de vue juridique.
À partir de là, il s’agit d’appliquer systématiquement les principes de base : exiger un code d’accès ou un verrouillage biométrique pour accéder aux ressources de l’entreprise, imposer le chiffrement au niveau des applications pour les données professionnelles, et disposer d’un processus clair et rapide permettant d’effacer à distance les données de l’entreprise d’un appareil perdu ou volé sans toucher aux photos personnelles de l’utilisateur. Je m’intéresse également à ce qui se passe lorsqu’une personne quitte l’entreprise, car l’accès mobile est l’un des aspects les plus souvent négligés lors de la gestion des départs.
À qui s'adresse ce document ?
Si votre politique en matière d’appareils mobiles repose essentiellement sur le principe « nous faisons confiance aux gens », si vous ne disposez d’aucun moyen de supprimer les données de l’entreprise d’un appareil perdu, ou si le BYOD s’est développé sans qu’aucune véritable couche de sécurité ne vienne l’étayer, il convient de combler cette lacune.
Contactez-moi et déterminons ensemble à quoi ressemble une configuration de sécurité mobile réaliste, adaptée au mode de fonctionnement concret de votre équipe.