Maîtriser le BYOD et le télétravail en entreprise

Aujourd’hui, il n’est pas rare de voir un employé refuser un téléphone ou un ordinateur de fonction. La multiplicité des périphériques, des outils et des systèmes d’exploitation disponibles sont autant d’éléments qui font naître, chez le salarié, l’envie d’utiliser son matériel personnel dans le cadre du travail. Ce phénomène porte le nom de Bring Your Own Device (BYOD). Il touche toutes les entreprises et toutes les générations de salariés.

 

 

 

 

par Wilfried Ollivier
Laboratoire (C+V)O , Axe Confiance Numérique et Sécurité/Laboratoire de cryptologie et virologie opérationnelles. ESIEA

 

 

  

Face à ce phénomène, l’entreprise se positionne d’une manière générale sur l’un des trois comportements suivants :

1. Interdire la connexion d’équipements privés sur son Système d’Information (SI). Cette attitude est recommandée par Patrick Pailloux, ancien directeur de l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI).
2. Accepter le BYOD et limiter le risque en minimisant la surface du SI. Elle en profite pour s’inscrire dans la démarche « Platform As A Service » (PASS) qui vise à externaliser les services et le matériel informatique en dehors de ses locaux (serveurs, stockage, machines clientes, etc.), dans ce que l’on appelle aujourd’hui le « cloud ». Ainsi, elle réduit les coûts liés à l’achat et à la maintenance de matériel informatique.
3. Accepter le BYOD alors qu’il est nécessaire, pour des raisons de sécurité ou d’investissement à rentabiliser, de garder l’infrastructure informatique à l’intérieur des locaux de l’entreprise.
Si le Responsable de la Sécurité des Systèmes d’Information (RSSI), aidé par le Directeur des Systèmes d’Information (DSI), choisit les postures autorisant les pratiques présentées ci-dessus (posture 2 et 3), des problématiques liées à la sécurité apparaissent.

 

Problématiques liées à l’adoption d’un tel phénomène

1-Des équipements instables
Un des problèmes les plus importants est la gestion des données de l’entreprise. Quelles actions l’administrateur doit-il exécuter en cas de départ d’un employé ? D’un vol ou d’une perte ? Il est difficile de concevoir un SI stable au regard de la multiplicité des systèmes (Windows, MacOSX, GNU/Linux, iOS, Android…) et des terminaux disponibles (PC, smartphones, tablettes). La durée de vie de ces équipements est de plus en plus courte tant l’état d’obsolescence est prématuré. La tâche du DSI et des administrateurs du parc informatique devient complexe devant le nombre de possibilités différentes.

 

2-Des équipements incompatibles avec le SI
Ces équipements sont par nature incompatibles avec le SI de l’entreprise. L’utilisateur est libre d’exécuter et d’installer ce qu’il souhaite sur son terminal. Comment être certain qu’aucune application malsaine n’est installée ? C’est une menace potentielle pour les données de l’entreprise si jamais un virus peut avoir accès à celles-ci. Comment appliquer une politique de sécurité sur un appareil pour lequel les paramètres de sécurité sont facilement contournables (jailbreak, firmware modifié) ? L’utilisation d’une solution BYOD implique souvent un contrôle partiel ou total de l’équipement par l’entreprise qui n’est pas propriétaire du terminal, donc une intrusion très forte dans la vie privée du salarié.

 

3-Une intégration difficile
Pour le RSSI, l’intégration du BYOD et du télétravail impose une extension de la surface à sécuriser. Pour maintenir un niveau de sécurité suffisant sur l’ensemble de l’infrastructure, il faut maintenir l’ensemble des outils déjà présents (parefeu, détecteurs d’intrusion (IDS), Virtual Private Network (VPN), anti-virus, gestionnaire de parc) tout en intégrant le nouvel outil de gestion de flotte proposé par la solution choisie, l’idéal pour les administrateurs étant une solution adaptable aux outils connus, maîtrisés, stables et déjà présents sur le réseau de l’entreprise.

 

Vie privée de l’employé
Les contraintes engendrées via les solutions proposées par les éditeurs de logiciels de sécurité sont fortes :

• modification des paramètres du système
• installation d’applications tierces
• acceptation d’une charte
• hypervision/supervision par l’entreprise
• accès à distance au terminal.

Comment un employé peut-il considérer qu’il reste le propriétaire d’un terminal si son entreprise lui retire l’intégralité de l’espace privatif associé ? [BYODD] En autorisant l’entreprise à avoir un accès et les droits nécessaires pour exécuter des actions, le salarié acceptant le BYOD ou le télétravail donne à son employeur des outils de surveillance et de contrôle sur ses actions en tout lieu et en tout temps. Les dérives existent et les exemples sont nombreux. [BYODD1]

 

 

Les solutions actuelles dans leur globalité

 

Des pistes de réflexion permettant de répondre à ces problématiques sont actuellement élaborées par les étudiants de l’ESIEA, encadré par l’Axe Confiance Numérique et Sécurité – Laboratoire de cryptologie et virologie opérationnelles montre que l’ensemble des solutions actuelles ne permet pas de répondre à tous les problèmes soulevés par le phénomène BYOD. En effet dans la majorité des cas, l’absence de cloisonnement entre vie privée et vie professionnelle est le principal défaut. Les solutions BYOD sont souvent trop intrusives pour être considérées comme saines en terme de respect de la vie privée.
Des applications comme la solution de 2X Mobile Device Managment (MDM) [2XMDM] ont un contrôle total sur le terminal de l’employé. Les possibilités de surveillance, via la puce GPS du smartphone, ou encore les possibilités de suppression de données sont autant d’arguments qui poussent à réfléchir avant l’adoption d’un tel produit. La possibilité pour l’entreprise d’insérer une liste noire empêchant l’installation de certaines applications est une privation de liberté.
Le propriétaire doit être en capacité d’installer et d’utiliser son équipement comme il le souhaite quand celui-ci est utilisé dans un cadre privé et personnel. L’ajout d’un nouvel outil de supervision à ceux déjà en place est un autre élément gênant pour les administrateurs. Une grande partie des solutions utilise son propre outil de gestion de flotte. Il faut alors former le personnel à l’utilisation, l’installation et la maintenance d’un tel système. L’idéal pour ne pas perturber l’infrastructure déjà en place serait d’intégrer ces solutions aux outils déjà en place sur le réseau de l’entreprise. Pour trouver une solution convenable, il est nécessaire de répondre à la question suivante : comment peut-on concilier sécurité et maîtrise de l’équipement essentiel à l’entreprise, tout en laissant à l’utilisateur une totale liberté d’utilisation de celui-ci ?

 

 

Nouvelle approche

L’Axe Confiance Numérique et Sécurité – Laboratoire de cryptologie et virologie opérationnelles de l’ESIEA étudie actuellement les solutions qui pourraient répondre au besoin des entreprises et des salariés. La plus convaincante consiste à considérer l’équipement BYOD ou de télétravail comme incompatible avec le SI de l’entreprise. Pourquoi vouloir sécuriser un équipement qui, par sa nature instable, est une menace pour la sécurité du SI ? L’idéal serait d’utiliser au sein cet équipement un conteneur logiciel étanche. Celui-ci serait une extension logique de l’entreprise au sein du terminal de l’employé. Relié au réseau local via un tunnel chiffré (Virtual Private Network (VPN)) lui aussi étanche, le conteneur aurait accès aux applications métiers et aux ressources de l’entreprise de manière sécurisée. L’utilisation d’un conteneur apporte une séparation forte entre une utilisation personnelle et une utilisation professionnelle.

 

 

Avec cette approche, la seule contrainte imposée au collaborateur est la présence d’un conteneur sur son terminal. Il reste le maître total de l’intégralité de son équipement. Il peut installer, désinstaller et utiliser les applications et logiciels dont il a besoin. Le conteneur, lui, est une extension directe de l’entreprise, maîtrisée par celle-ci grâce à des outils connus. La politique de sécurité de l’entreprise est respectée et les habitudes de travail du collaborateur sont les mêmes puisqu’il peut exploiter les applications métiers de son entreprise (courriel, ERP, client lourd, accès aux données, etc.). La sécurité du système ne repose maintenant plus que sur deux piliers :

• l’étanchéité du conteneur, ou sa capacité à ne pas permettre la fuite de données
• la qualité du VPN ce qui induit :

 

1. l’implémentation serveur
2. l’implémentation client
3. la qualité des algorithmes de chiffrement utilisés.

 

 

Le système d’exploitation installé dans le conteneur est visible sur le réseau local de l’entreprise via le tunnel chiffré. Il est administrable comme n’importe quel autre présent sur le réseau local. L’outil de gestion de parc informatique déjà présent au sein de l’entreprise ne subit aucune modification et préserve l’unicité et la simplicité de fonctionnement du SI.

Cette nouvelle approche est un moyen de répondre efficacement aux problématiques de séparation des utilisations privées et professionnelles actuellement posées par le BYOD et le télétravail.

 

Bibliographie
ANSSI: Olivier Robillart, Patrick Pailloux, ANSSI : BYOD, réseaux sociaux, pour la sécurité, « il est autorisé d’interdire », 2012.
BYODD: Nil Sanyas, BYOD : la surveillance de l’employé peut mener à un licenciement, 2014.
BYODD1: Mathieu M., Licencié pour avoir perdu son téléphone : les dérives du BYOD, 2014.
2XMDM: 2X, 2X MDM – Mobile Device Management, 2015.