Données des mobiles professionnels : les quatre catégories de risques de perte ou de vol
Tandis que les collaborateurs utilisent leurs périphériques mobiles pour se connecter aux réseaux des entreprises, la sécurité des données mobiles est devenue l’une des priorités des professionnels de la sécurité IT.
Des millions de personnes utilisent aujourd’hui leurs appareils personnels et professionnels, ordinateurs portables, smartphones, tablettes et autres terminaux mobiles, aussi bien pour travailler que pour leurs besoins privés. Selon l’étude mondiale Evolving Workforce de Dell et Intel, 45% des dirigeants emportent les appareils de l’entreprise à leur domicile pour leurs besoins personnels et plus de la moitié des salariés utilisent leurs terminaux personnels pour travailler ou l’envisagent.
Avec autant de périphériques mobiles qui se
connectent aux réseaux des entreprises, la sécurité des données mobiles est
devenue l’une des priorités des professionnels de la sécurité IT : les
données de l’entreprise se disséminent partout, et sans politiques de gestion
ni réel suivi, il devient très difficile de les protéger !
Les données des mobiles professionnels exposées aux risques de perte ou de vol peuvent être classées dans quatre catégories :
- Les données dormantes sur les systèmes en
back-end
- Les données en transit entre l’utilisateur
mobile et les services ou systèmes en back-end
- Les données résidant sur l’appareil mobile
lui-même
- Les données envoyées dans des applications et
dans le Cloud
Les
applications et données en back-end
Elles représentent des « tonnes » de données qu’il
faut protéger, avec une dimension Big Data, les joyaux de la couronne de
l’organisation en quelque sorte. Il est donc impératif d’instaurer des
mécanismes d’authentification forte et contextuelle pour que les utilisateurs
mobiles n’aient accès qu’aux seules données et applications qu’ils sont
autorisés à consulter, selon leur identité et le type d’appareil qu’ils
utilisent alors. Il est d’ailleurs essentiel que les entreprises comprennent la
nature des données en leur possession de façon à pouvoir les classer
judicieusement. Les serveurs et l’infrastructure de stockage doivent aussi être
correctement protégés sur tout leur périmètre avec une technologie de pare-feu
de nouvelle génération.
Les données en
transit entre les serveurs internes et les appareils mobiles puis à destination
d’applications et au final du Cloud
Les données en mouvement sont le pouls de
l’entreprise, elles peuvent être très sensibles ou soumises à des obligations
légales ou réglementaires. Des utilisateurs malveillants pourraient très bien
intercepter ou « écouter » les données transmises en clair sur un
réseau non chiffré et s’y infiltrer sans autorisation, mettant à mal la
confidentialité des données sensibles. Par conséquent, il est impératif de
chiffrer les données en transit sur les réseaux afin de se prémunir du risque
d’écoute du trafic réseau par des utilisateurs mal intentionnés. Le niveau de
risque devient plus important encore dans le cas d’une connexion Wi-Fi à
Internet.
Les données
dormantes enregistrées sur les appareils mobiles
En cas de perte ou de vol d’un ordinateur portable,
d’un smartphone ou d’une tablette, ce qui se produit très fréquemment, le
risque que les données confidentielles d’entreprises tombent entre de mauvaises
mains devient très élevé. Bien sûr, les données exposées le sont en moindres
quantités que pour celles stockées dans un datacenter, la capacité de stockage
des terminaux mobiles étant tout simplement limitée. Pour protéger les données
résidant sur des terminaux mobiles, les entreprises doivent faire appliquer des
règles de protection par mot de passe, le chiffrement des données mobiles, la
conteneurisation et la possibilité d’effacer les données à distance.
Les données professionnelles coexistant
avec les données et applications privées sur un même terminal
Enfin, dernier risque associé aux pratiques de
mobilité, mais non des moindres, le fait de faire coexister sur le même
appareil des données professionnelles et des données et applications privées.
Ce faisant, l’utilisateur s’expose au risque d’une fuite de ses données
professionnelles, accidentellement ou délibérément, via ses applications
personnelles. Pour se prémunir des risques liés à cette coexistence
d’informations, il est possible de déployer des conteneurs sécurisés sur les terminaux
mobiles ; le service IT peut créer et délimiter une zone dédiée sur
l’appareil du salarié où ce dernier pourra conserver des applications et
données professionnelles. Ainsi, les contrôles de conformité ne s’appliqueront
qu’à ce que contient le conteneur, et non à l’ensemble du terminal, et les applications
personnelles ne risquent plus d’avoir accès à celles professionnelles et donc à
des données confidentielles potentiellement sensibles.
Au vu des différentes
catégories de vulnérabilités évoquées précédemment, ce sont les données
stockées dans l’entrepôt de données qui semblent exposées aux plus grands
risques de violation. Les organisations doivent donc prioriser le déploiement
de mécanismes d’authentification forte et contextuelle pour contrôler les accès
mobiles aux données et applications de l’entreprise. En cas de perte ou de vol
d’un terminal, l’authentification forte bloquera aussi les accès d’utilisateurs
non autorisés. Le chiffrement au moyen d’une technologie de type VPN SSL aide également
à protéger les données en cours de transmission. C’est très important : un réseau Wi-Fi
public non chiffré représente une cible facile pour des hackers qui
souhaiteraient intercepter des données en transit. Enfin, la nécessité de
protéger les données dormantes résidant sur des terminaux mobiles varie
beaucoup selon le degré de sensibilité des données. Pour des données
confidentielles critiques, il est vivement recommandé d’adopter le chiffrement,
la conteneurisation et les fonctionnalités VPN par application.