Le terme BYOD désigne la politique permettant aux employés d'utiliser leurs appareils mobiles personnels pour accéder aux réseaux et systèmes de l'entreprise. Certains employés privilégient cette pratique, ce qui expose l'organisation à des risques d'atteinte à sa réputation et de poursuites judiciaires.
Les entreprises doivent se doter d'une politique formelle concernant l'utilisation des appareils personnels au travail.
L’expression « Apportez votre propre appareil » (BYOD) désigne ce type de politique qui définit quels appareils mobiles (le cas échéant) les employés peuvent utiliser pour accéder aux réseaux/systèmes de l’entreprise.
Que doit couvrir une politique BYOD ?
Les entreprises doivent se doter d'une politique définissant les appareils autorisés ou non à se connecter à leur réseau. Elles doivent également mettre en place des procédures garantissant qu'aucun appareil non autorisé ne puisse être connecté accidentellement. Enfin, des mécanismes appropriés doivent être instaurés pour assurer la sécurité des données personnelles susceptibles d'être stockées sur les appareils mobiles.
Audit des appareils existants et des droits d'accès
La première étape consiste à réaliser un audit de la situation actuelle. Quels appareils utilisent le réseau et dans quel but ?
Que dit la loi ?
En tant qu'employeur (qui est le responsable du traitement des données), vous avez l'obligation, en vertu du RGPD, de prendre les mesures techniques et organisationnelles appropriées pour protéger vos données personnelles contre tout traitement non autorisé ou illicite et contre toute perte, destruction ou altération accidentelle de ces données.
Il existe un risque élevé que des données confidentielles d'entreprise et de clients se retrouvent sur des appareils personnels, qui sont généralement peu sécurisés et peuvent facilement être perdus, égarés ou volés.
Les risques d'atteinte à la réputation
Imaginez ce scénario : un employé reçoit un courriel contenant une pièce jointe avec une liste de diffusion de tous les clients et leurs coordonnées. Il ouvre ce courriel et l’enregistre sur son appareil mobile. Si cet appareil est ensuite perdu, les données qu’il contenait pourraient se retrouver dans le domaine public, être utilisées à mauvais escient ou vendues à un concurrent. Pire encore, la CNIL devra être informée de la perte de données, ainsi que chaque personne figurant sur la liste de diffusion. Cela peut entraîner un préjudice considérable à la réputation de l’entreprise, ainsi qu’une lourde amende.
Quels appareils sont acceptables ?
Après avoir effectué un audit, la deuxième étape consiste à décider ce qui doit être inclus ou exclu d'une politique BYOD, et cela se fait généralement au niveau de l'appareil.
- Niveau un – tolérance zéro
- Il s'agit peut-être de la solution la plus rapide, la plus facile et la plus simple, mais ce n'est pas forcément la plus pragmatique ou la plus pratique.
- Cela peut aussi, au lieu d'aider, certains employés à accomplir certaines tâches, ce qui peut entraîner une insatisfaction au travail et une baisse du moral.
- Une interdiction pure et simple pourrait donc s'avérer contre-productive.
- Il peut également être assez difficile (et donc coûteux) de contrôler et de faire respecter une politique de tolérance zéro sans contrôles de sécurité réseau robustes.
- Niveau deux – appareils approuvés
- Cela permet de définir une liste d'appareils, ou des appareils dotés d'un système d'exploitation particulier (par exemple, uniquement des appareils iOS ou uniquement des appareils Android et Windows).
- L'approche basée sur l'approbation des appareils peut simplifier la gestion et le contrôle des accès, mais elle peut désavantager certains employés si leur appareil n'est pas couvert. De plus, sa gestion peut s'avérer complexe, compte tenu de l'apparition quotidienne de nouveaux modèles et appareils.
- Niveau trois – tout appareil
- Cela permet de « brancher » n'importe quel appareil.
- Cette approche est diamétralement opposée à la tolérance zéro et permet de connecter n'importe quel appareil à tout moment. Ses avantages sont les suivants : a) pour l'employé, qui n'est pas limité par l'appareil utilisé ; et b) pour l'entreprise, qui n'a plus à gérer une liste d'appareils autorisés.
Toutefois, ce type d'approche nécessite la mise en place de contrôles rigoureux, tels que des systèmes de gestion des appareils mobiles.
Une autre option !
De plus en plus d'entreprises décident d'abandonner le BYOD et une politique de tolérance zéro, au profit de la fourniture d'appareils à leurs employés.
Quelles applications sont acceptables ?
L'entreprise peut souhaiter limiter l'accès à certaines applications, le plus souvent à la messagerie électronique et à Internet. L'accès complet aux réseaux et aux applications doit être évité autant que possible, sauf depuis des ordinateurs de bureau ou portables et uniquement via des réseaux de confiance ou des outils d'accès à distance sécurisés.
usage professionnel versus usage privé
Les appareils personnels (BYOD) appartenant à un employé sont susceptibles d'être utilisés à la fois à des fins professionnelles et privées.
D'une part, l'employé doit avoir la certitude que l'entreprise n'accédera pas aux données personnelles stockées sur l'appareil ni n'utilisera d'outils de surveillance de l'appareil ; d'autre part, l'entreprise souhaitera protéger les informations confidentielles de l'entreprise et des clients qui peuvent également être stockées (ou visibles) sur l'appareil.
Les employeurs doivent également savoir que ces appareils peuvent être utilisés (à des fins personnelles) non seulement par l'employé, mais aussi par d'autres membres de sa famille.
Sécurité sans fil
Le moyen le plus simple et le plus rapide de connecter des appareils à un réseau est que les employés utilisent leur appareil pour se connecter sans fil. Certaines entreprises communiquent leur clé de connexion sans fil à leurs employés sans se rendre compte qu'ils l'utilisent sur tous leurs appareils, y compris leurs appareils personnels.
Une méthode courante pour sécuriser les appareils consiste à créer une clé sans fil très complexe (c'est-à-dire difficile à mémoriser) et à la faire saisir uniquement par un membre de l'équipe de support informatique ou une autre personne désignée. Le contrôle au niveau de l'appareil est ainsi relativement facile à maintenir. Cependant, cette approche peut s'avérer très chronophage, selon la taille et la complexité de l'organisation.
Des approches plus robustes utiliseront le matériel réseau pour créer des listes de contrôle d'accès ciblant des appareils spécifiques qui doivent être enregistrés et donc approuvés par l'entreprise avant de pouvoir se connecter. Cette méthode présente l'avantage de permettre l'audit et le contrôle des fuseaux horaires, par exemple en limitant l'accès sans fil aux heures de bureau.
Enregistrement de l'appareil
La plupart des versions actuelles des systèmes d'exploitation réseau (Windows et Mac) disposent d'outils de sécurité intégrés permettant de gérer une liste de périphériques « approuvés ».
Cela se fait par le biais d'un processus d'enregistrement similaire à celui utilisé pour l'enregistrement du matériel réseau, au cours duquel le périphérique est présenté et enregistré sur le réseau.
Si un appareil est égaré ou si un employé quitte l'entreprise, l'appareil peut être bloqué/supprimé de la liste des appareils enregistrés.
Bien que cette approche soit utile pour bloquer les invités indésirables et contrôler l'accès aux ressources réseau, son inconvénient réside dans le manque de contrôle lorsqu'un périphérique de connexion est perdu ou volé.
Gestion des appareils mobiles (MDM) / Gestion des applications mobiles (MAM)
Une approche plus robuste pour assurer la sécurité des appareils consiste à utiliser des services MDM – ceux-ci peuvent être fournis dans le cadre du logiciel d'exploitation du réseau ou par un tiers.
Il existe différents niveaux de ce type de service, allant de la simple inscription et de la réinitialisation de l'appareil à la mise en sandbox des données personnelles et professionnelles, qui permet l'effacement séparé des seules données professionnelles.
Les employés devront donner leur accord/consentir au système de gestion des appareils mobiles utilisé s'ils souhaitent adopter le BYOD.
Les employés doivent également donner leur accord/consentir à l'utilisation d'un logiciel MDM pour surveiller l'appareil, aux activités surveillées et à l'utilisation ou non de la géolocalisation.
Enfin, les employés devront comprendre ce qu'il adviendra de leurs données personnelles stockées sur l'appareil, si celui-ci doit être désactivé.
Cette méthode présente tous les avantages d'une grande simplicité d'utilisation pour l'utilisateur final, tout en garantissant une sécurité optimale pour l'entreprise. Celle-ci peut également effectuer des opérations telles que la localisation d'appareils en cas de perte ou de vol, ou encore leur blocage et leur effacement à distance.
Chiffrement des données
Une politique BYOD ne suffit pas à elle seule à garantir une protection optimale. Toutes les données confidentielles et personnelles doivent être chiffrées. Le simple fait de définir un document ou une feuille de calcul en lecture seule, ou de créer un mot de passe pour y accéder, ne remplace pas le chiffrement des données.
Les entreprises doivent évaluer quelles données personnelles sont transférées depuis et vers quels appareils. Elles doivent ensuite procéder à une évaluation des risques liés à la divulgation de ces données et utiliser des méthodes de chiffrement appropriées pour les protéger.
Autres points à considérer
- Protection par mot de passe des appareils – Chaque appareil BYOD doit être protégé par un mot de passe/code PIN au démarrage et se verrouiller s'il reste inactif pendant un certain nombre de minutes, ou après plusieurs tentatives de saisie d'un mot de passe/code PIN incorrect
- Appareils perdus – Dans le cadre de la politique BYOD, l’employé devra savoir qui contacter et ce qui arrivera à l’appareil en cas de perte (c’est-à-dire quelles données pourraient être effacées de l’appareil)
- Coût – l’entreprise peut accepter ou non de prendre en charge certains frais liés aux appareils mobiles ou le coût de remplacement des appareils perdus, volés ou endommagés lorsqu’ils sont utilisés à des fins professionnelles
- Politique d'utilisation acceptable – l'entreprise veillera à ce que toute politique d'utilisation acceptable s'applique également aux appareils personnels (BYOD)
- Les appareils rootés/jailbreakés ne devraient pas être autorisés et une politique stricte devrait être mise en place afin qu'aucun appareil configuré pour le BYOD ne soit ensuite rooté/jailbreaké
- Supports de stockage – l’entreprise pourrait souhaiter préciser son approche concernant les cartes mémoire/SD, notamment si elles sont cryptées ou si des données peuvent y être stockées
Mise en œuvre de la politique BYOD
Le BYOD peut soit être formulé comme une politique distincte, soit ajouté à une politique d'utilisation acceptable existante, soit ajouté à une politique existante relative à Internet et au courrier électronique ou aux médias sociaux.
Les appareils de l'entreprise relèvent, par défaut, du champ d'application du BYOD.
Les employés possédant leurs propres appareils personnels devraient avoir la possibilité de choisir d'adhérer ou non à la politique BYOD :
- Refus de s'inscrire à la politique BYOD – dans ce cas, l'employé ne pourra pas utiliser ses appareils personnels à des fins professionnelles
- adhésion – Accepter de s’inscrire à la politique BYOD – auquel cas leur appareil devra être enregistré sur le réseau et également, le cas échéant, auprès d’un service de gestion des appareils mobiles.
Consultez notre résumé pour découvrir nos quatre étapes simples pour définir et mettre en œuvre une politique BYOD.
Résumé
Il est essentiel que l'employeur (responsable du traitement des données) respecte le RGPD en matière de traitement des données personnelles. En cas de faille de sécurité, il doit pouvoir démontrer que toutes les données personnelles stockées sur un appareil donné sont sécurisées, contrôlées ou supprimées. La mise en place d'une politique BYOD (Apportez votre propre appareil) contribue largement à atteindre cet objectif.
Quatre étapes pour définir et mettre en œuvre un programme BYOD
- Étape 1 – auditer les appareils et leur utilisation
-
- Quels appareils sont actuellement autorisés sur le réseau ?
- Quels sont leurs droits d'accès ?
- Quelles applications utilisent-ils ?
- Quelles données doivent-ils stocker ?
- Deuxième étape – Niveau de BYOD
-
- aucun appareil
- liste approuvée
- tous/n'importe quel appareil
- définir quelles applications sont accessibles sur les appareils mobiles.
- Troisième étape – Politique BYOD
-
- Élaborer et rédiger la politique BYOD.
- Apportez les modifications nécessaires à la sécurité de l'infrastructure réseau et procurez-vous les services supplémentaires (tels que la gestion des appareils mobiles)
- Déterminez si des mesures de sécurité supplémentaires sont nécessaires, telles que des outils de chiffrement des données
- Définir et communiquer une date pour la mise en œuvre de la politique
- Étape quatre – date de mise en œuvre
-
- Retirez tous les périphériques actuels et assurez-vous qu'ils ne contiennent aucune donnée.
- Enregistrement des appareils approuvés
- Les employés qui possèdent de tels appareils signent une déclaration BYOD.
