BYOD : Mesures de sécurité pour les appareils personnels sur le lieu de travail

Meilleures pratiques en matière de sécurité du BYOD

Toute politique BYOD digne de ce nom doit couvrir les points suivants :

• Types d’appareils autorisés
• Utilisation acceptable : à quelles applications et à quelles ressources les employés peuvent-ils accéder à partir de leurs appareils ?
• Exigences minimales pour les contrôles de sécurité des appareils : quelles mesures de sécurité l’entreprise exigera-t-elle pour les appareils BYOD ?
• Composants fournis par l’entreprise : par exemple, certificats SSL pour l’authentification des appareils
• Droits de l’entreprise concernant la modification de l’appareil : par exemple, effacement à distance en cas de vol ou de perte de l’appareil
• Qu’advient-il des données de l’entreprise sur les appareils des employés qui quittent l’entreprise ?
• Qui est propriétaire des applications et des données présentes sur l’appareil ? Le personnel sera-t-il remboursé par l’entreprise pour les applications ou les frais mensuels ?
• Quelle assistance le service informatique apportera-t-il aux propriétaires des appareils ?

Les dispositions suivantes devront être prises en compte par les décideurs afin que les meilleures options puissent être mises en œuvre dans leurs politiques :

• Des règles basées sur le bon sens : limitation des appels personnels et des vidéos au travail, interdiction d’utiliser l’appareil au volant.
• Maintenance et mises à niveau : toute politique finalisée doit garantir que les employés maintiennent leurs appareils et applications à jour.
• Dispositions relatives au transfert de données : les données de l’entreprise doivent être chiffrées, protégées par un mot de passe et transférées uniquement sur des applications mandatées par l’entreprise.
• Dispositions relatives aux mots de passe : l’utilisation d’un mot de passe n’est évidemment pas négociable pour protéger les informations sensibles ; une authentification à deux facteurs peut également être exigée.

Dispositions relatives à la protection de la vie privée : comment les entreprises peuvent-elles trouver un équilibre entre protection des données et protection la vie privée des employés dans le cadre du BYOD ?

Politique de sécurité du BYOD

Comment concevoir des pratiques BYOD cohérentes et sécurisées ? L’élaboration d’une politique de cette ampleur doit impliquer à la fois les employés et les parties prenantes. L’avis des employés peut être recueilli au moyen d’un sondage, ce qui constitue une excellente base pour la planification d’une politique. Les responsables, les RH, le service informatique, le service financier et le service de sécurité doivent tous être impliqués et représentés dans l’équipe de gestion du projet BYOD. Leur contribution sera des plus utiles.

Une fois le sondage envoyée et les réponses reçues, il est utile d’analyser les données et les applications qui sont nécessaires sur les appareils des employés. Une fois la politique mise en place, la formation est une étape essentielle du processus. Les employés à tous les niveaux doivent recevoir des instructions sur le protocole de traitement des données, le dépannage des appareils, la procédure à suivre en cas de perte ou de vol d’un appareil, les applications à utiliser et les mesures anti-phishing, ainsi que des instructions plus générales sur la vigilance à l’égard des cybermenaces.

Il est largement admis que les employés non formés à la cybersécurité représentent le plus grand danger pour l’intégrité des données de l’entreprise. En 2014, 87 % des responsables informatiques estimaient que les appareils mobiles utilisés par des employés négligents constituaient la plus grande menace pour les entreprises. En 2020, 96 % des attaques contre les appareils mobiles ont utilisé des applications comme vecteur. Cela s’explique par le fait qu’une très grande majorité d’applications (près de 4 sur 5) intègrent des bibliothèques tierces susceptibles de créer des vulnérabilités.

Quelles sont les applications qu’une entreprise mettant en œuvre une politique BYOD rigoureuse devrait utiliser ? Une étude a montré que les employés utilisent au moins cinq applications chaque jour. Les entreprises devraient inclure une plateforme de messagerie, une messagerie électronique et un système de gestion de la relation client (CRM) dédiés et sécurisés, et toute autre application dont elles pensent que leurs employés auront besoin. Veillez à ce que les applications à risque soient explicitement interdites.

Les entreprises doivent également mettre en place des procédures spécifiques pour les employés qui quittent l’entreprise, quelle qu’en soit la raison. Lorsqu’un employé quitte l’entreprise, l’entreprise doit s’assurer que toutes les données sont supprimées de ses appareils, et que son accès aux applications de l’entreprise soit bloqué. Toutefois, cette obligation présente de nombreuses difficultés, et constitue souvent un obstacle à la mise en place de politiques BYOD et à l’utilisation des appareils personnels des employés.

La force d’une politique dépend de la capacité de l’entreprise à la faire respecter, ce qui implique malheureusement des conséquences pour ceux qui ne peuvent pas s’y conformer. Toute politique doit contenir des détails spécifiques concernant le suivi, la mesure et l’application de la responsabilité « distribuée » afin que tous les membres de l’équipe en soient conscients. Le manque de supervision est l’un des principaux problèmes liés à la mise en œuvre du BYOD. Les entreprises ont besoin d’un personnel d’assistance informatique en nombre suffisant pour permettre aux employés de s’équiper, avec une assistance et un suivi continus.

Une fois les systèmes et les protocoles sécurisés, la priorité doit être donnée à la formation des employés. Pour que le BYOD soit une réussite, il est essentiel de faire comprendre aux employés l’importance d’une utilisation acceptable et d’une hygiène de base en matière de sécurité des données.