BYOD (Bring Your Own Device)

Le BYOD recouvre un large éventail de situations. À une extrémité, un salarié lit sa messagerie professionnelle sur son téléphone personnel. À l'autre, tout le travail se fait sur un ordinateur appartenant au domicile. Toutes les variantes ont un point commun : l'appareil appartient au salarié, si bien que l'autorité de l'organisation sur lui repose sur des contrats et des politiques, et non sur un contrôle administratif.

Le cas le plus courant est un smartphone personnel qui contient la messagerie, les messageries instantanées et les documents professionnels, à côté des photos de famille et des comptes privés. Le plus difficile est un ordinateur domestique, dont le système, les mises à jour et les logiciels échappent à la DSI. Les tablettes et les appareils secondaires, utilisés pour la lecture, les déplacements et les astreintes, sont souvent absents de la politique, et les outils non gérés qui comblent ce vide relèvent du shadow IT.

De nombreuses organisations n'autorisent les appareils personnels qu'en partie : messagerie et agenda sur le téléphone personnel, mais aucun accès aux données de production. Où se situe cette limite relève d'une décision de politique, généralement appliquée par des règles d'accès plutôt que par la confiance.

Les risques découlent directement de la propriété. Une fois les données sorties du parc géré, les contrôles qui reposent sur la gestion du poste ne fonctionnent plus.

La perte est le risque le plus grave. Un téléphone non chiffré avec une boîte mail synchronisée peut transformer un appareil égaré en violation de données qui doit peut-être être notifiée selon les règles applicables.

Le BYOD joue dans les deux sens. L'organisation ne peut pas contrôler entièrement l'appareil, et les salariés redoutent l'extrême inverse : un outil de l'employeur sur un téléphone qui contient aussi leur vie privée. La surveillance d'un appareil personnel touche aux photos de famille, aux messages privés et à la localisation, c'est pourquoi la surveillance généralisée du matériel BYOD est limitée dans de nombreuses juridictions. Au titre du RGPD, la surveillance doit être proportionnée et transparente. Dans plusieurs pays européens, notamment en Allemagne, les représentants du personnel doivent approuver ces systèmes avant leur déploiement.

La solution pratique est la séparation. Un conteneur ou un profil professionnel géré contient la messagerie, les fichiers et les applications de l'entreprise, et le contrôle de l'organisation s'arrête à sa frontière. La partie personnelle reste privée, et l'effacement à distance, lorsqu'il est convenu, se limite au conteneur. Des outils comme la surveillance de l'activité des utilisateurs ne doivent viser que les ordinateurs appartenant à l'organisation, et leur finalité doit être écrite avant le déploiement.

Le BYOD n'est qu'un point sur un spectre de propriété, et de nombreuses organisations adoptent une solution intermédiaire après un premier incident lié au BYOD. Les modèles diffèrent par qui achète l'appareil, qui porte la charge du contrôle et où se situe la frontière de la vie privée.

Les programmes matures associent la politique à des couches techniques, appliquées en proportion de ce à quoi l'appareil peut accéder :

• Politique d'usage acceptable : ce à quoi un appareil personnel peut accéder, les contrôles de base exigés, comme le verrouillage d'écran et le chiffrement, et ce qui se passe au départ du salarié.
• MDM et MAM : la gestion des appareils mobiles impose une sécurité de base sur les appareils enrôlés, tandis que la gestion des applications mobiles ne couvre que les applications professionnelles.
• Conteneurs et profils professionnels : un espace séparé contient les données de l'entreprise, est chiffré à part du contenu personnel et peut être effacé sans y toucher.
• Accès conditionnel : les services de l'entreprise n'acceptent un appareil que s'il est enrôlé, chiffré et à jour.
• Contrôle des périphériques sur le poste : sur les postes de l'entreprise, des règles décident de ce qui se passe lorsqu'un téléphone ou une clé USB personnelle est branché : audit, liste d'autorisation, accès en lecture seule ou blocage. Voir le contrôle des périphériques USB.

Anexet couvre le côté professionnel du point de contact. Les agents tournent sur les ordinateurs de l'organisation, et le DLP sur les postes vérifie le contenu de ces machines, quelle que soit la destination. L'appareil personnel lui-même reste hors du produit, comme le montre le tableau.

Lorsqu'un téléphone ou une clé USB personnelle est branché sur un poste de l'entreprise, les règles de contrôle des périphériques décident de la suite. La première capture montre comment l'audit des périphériques, l'accès au stockage et le contrôle d'écriture selon le contenu s'activent pour un profil d'agent. La seconde montre ce que la console affiche pour un seul ordinateur.

1 / 2

• 
• 

Commencez par les données dont la fuite ferait le plus de dégâts, puis par les canaux réellement utilisés, y compris les supports amovibles et les appareils personnels connectés aux ordinateurs de l'entreprise. Des politiques écrites pour tous les appareils à la fois finissent par bloquer le travail et sont désactivées.

Un programme BYOD fonctionne lorsque l'organisation peut dire quel appareil contient quelles données. Notez-le avant de choisir des outils, puis vérifiez-le régulièrement avec l'inventaire des appareils.

Pour aller plus loin : Sécurité de l'information au bureau; Comment prévenir l'accès non autorisé à votre ordinateur.