La sécurité en question autour des problématiques liées au BYOD et à la mobilité
Les besoins des entreprises en sécurité des terminaux mobiles sont plus nombreux que ce que proposent les solutions actuelles d’administration des terminaux (MDM) et des applications mobiles. (MAM)
Les pratiques du BYOD (Bring Your Own Device) qui visent à utiliser de manière professionnelle des technologies grand public gagnent rapidement du terrain. En 2016, 38 % des entreprises ne fourniront plus de terminaux à leurs employés selon le Gartner. Mais si la pratique présente des avantages indéniables, financiers notamment, elle soulève aussi de nouvelles problématiques, de sécurité en particulier, pour ceux qui sont chargés de l’administration des terminaux.Car en accédant aux données et aux applications professionnelles depuis leurs terminaux mobiles personnels (smartphones, tablettes ou encore ordinateurs portables), les salariés exposent leur entreprise à plus de risques de perte de données, d’infection par des virus et d’intrusion. La perte de données pour cause d’appareil égaré, volé ou non déclassé, arrive d’ailleurs en tête des problèmes de sécurité des appareils mobiles, craints par les entreprises. Les terminaux mobiles peuvent également devenir des vecteurs de programmes malveillants via des applications trompeuses et à moins que les données ne soient cryptées, elles ont des risques d’être interceptées en cours de transmission, encore plus sur les réseaux Wi-Fi publics.
Le BYOD pose également des questions de conformité, à commencer par l’appartenance des données créées et stockées sur un terminal mobile. Certains défendent l’idée que toute donnée professionnelle en possession d’un salarié, y compris sur ses téléphones ou tablettes personnels, appartient à l’entreprise qui l’emploie, laquelle doit pouvoir les sauvegarder et les archiver conformément aux lois et réglementations en vigueur.
Vient ensuite la question de savoir comment sauvegarder, archiver et stocker les données provenant des terminaux mobiles personnels, sachant que la tâche n’est déjà pas aisée avec les terminaux professionnels. Sans compter que les salariés ne verrouillent pas forcément leurs appareils. Les données de l’entreprise peuvent alors se retrouver dans un Cloud, être aspirées par une régie publicitaire ou des cybercriminels.
Enfin, l’intégration de terminaux personnels à l’infrastructure en place peut s’avérer complexe pour les entreprises qui optent pour une stratégie de BYOD. Même celles qui investissent dans leurs propres terminaux mobiles ont parfois du mal à trouver le bon logiciel pour les sécuriser et les administrer dans le contexte de leur environnement réseau et de leur datacenter.
Les actuels outils d’administration des terminaux et des applications mobiles ne sont pas à la hauteur des garanties de sécurité mobile attendues par les entreprises. Voici cinq précautions à prendre pour compenser :
- protéger les données dans le datacenter, sur le réseau et sur les terminaux;
- contrôler rigoureusement les accès des utilisateurs de terminaux mobiles;
- mettre en place un système de contrôle et de blocage d’accès des mobiles;
- unifier les règles;
- cloisonner les données et les applications pour définir précisément la limite entre les données et les applications personnelles et professionnelles.
Les salariés devraient également pouvoir accéder en un clic aux seules applications et ressources qu’ils sont autorisés à utiliser pour travailler. Il existe des solutions de gestion des identités et des accès qui aident les entreprises à offrir à leurs employés, partenaires et clients un accès simple, mais également sécurisé et contrôlé, à leurs données. Assorties d’un pare-feu de nouvelle génération, elles permettent d’établir un « Clean VPN », comprenez une couche supplémentaire de protection qui décrypte, analyse et bloque le trafic suspect au niveau du VPN SSL, avant qu’il n’atteigne le réseau.
Tout terminal mobile (professionnel ou personnel) se connectant au réseau d’une entreprise devrait pouvoir être minutieusement inspecté avant de pouvoir accéder au réseau, depuis le statut du jailbreak et du root (essentiel pour limiter les risques d’infection) jusqu’à la version du système d’exploitation, en passant par l’ID et la validité du certificat. Or seules de très rares solutions d’accès mobile sécurisé effectuent ces vérifications, pourtant simples.
Nous recommandons aux entreprises de vérifier auprès de leur fournisseur IT que la solution d’accès mobile sélectionnée permet de contrôler l’ensemble des ressources Web, des dossiers partagés et des serveurs client depuis une même interface, en appliquant les mêmes règles à toutes les ressources et méthodes d’accès. Certaines solutions de contrôle des accès permettent aux administrateurs IT de configurer des règles basées sur les rôles pour les terminaux mobiles et portables ou pour les utilisateurs, selon une même politique applicable à tous, dont la gestion ne prend que quelques minutes et non plusieurs heures.
Selon IDC, le nombre de travailleurs mobiles dans le monde atteindra 1,3 milliard en 2015 (soit près d’1/3 de la population mondiale). Il s’agit d’un phénomène de masse auquel les administrateurs IT doivent se préparer. Il existe désormais des solutions consolidant provisioning et support des accès mobiles au sein d’une même interface simple, permettant le déploiement des règles et des logiciels selon les besoins de l’entreprise; avec l’administration unifiée des règles, on obtient une solution de bout-en-bout.
Parallèlement, les administrateurs IT peuvent décider d’instaurer une politique de sécurisation BYOD pour protéger le réseau contre les tentatives d’accès non autorisé et les programmes malveillants. Une telle expérience intégrée et sécurisée promet d’améliorer la productivité du personnel IT et des utilisateurs, tout en réduisant les risques pour l’entreprise et en simplifiant les procédures.
Tout le monde y gagne !