Protéger l'intégrité des données et des postes clients

Les vulnérabilités de l'informatique mobile – au coeur de nombreux débats ce mois-ci – mettent en exergue les infrastructures, applications et données sensibles, à protéger en priorité.

Notre façon de travailler a évolué. Dorénavant, nous recevons fréquemment des messages professionnels à toute heure du jour comme de la nuit. Des collaborateurs et des partenaires nous sollicitent où que l’on soit. La téléphonie mobile, les réseaux sans fil, les tablettes personnelles utilisées au bureau forment autant de vecteurs de changement. Avec l’externalisation croissante des services hébergés dans le nuage, et l’acceptation progressive du télétravail, les vulnérabilités informatiques, les failles systèmes et les parades de sécurité évoluent tour à tour. Le phénomène BYOD (bring your own device) force l’entreprise à ouvrir son système d’informations aux smartphones et aux terminaux des salariés. La question se pose de gérer leurs accès distants et de contrôler en partie leur configuration sans dissuader les utilisateurs. En pratique, il faut filtrer certains accès, voire certaines applications, donc tracer les flux et, pour le moins, être en mesure d’alerter lorsqu’un comportement anormal est détecté ou lorsqu’un utilisateur contrevient au bon usage des ressources internes. Bref, l’entreprise est confrontée à deux points de vue à concilier : celui de l’utilisateur prône une liberté d’utilisation totale sur son propre équipement tandis que celui du responsable d’exploitation – du RSSI (responsable sécurité du système d’information) ou de l’administrateur garant des niveaux de sécurité – souhaite plutôt encadrer tous les usages et maîtriser chaque noeud du réseau. “Les schémas directeur en sécurité incluent maintenant le phénomène BYOD”, note Mathieu Gorge, le PDG de VigiTrust, une société de conseil aidant ses clients à rester en conformité avec les règles de protection des données et avec le standard PCI DSS en particulier pour l’eCommerce. Il rencontre souvent deux réactions opposées. Lorsque le RSSI n’est pas sûr de pouvoir tout contrôler, il préfère interdire l’entrée de terminaux personnels dans le cadre professionnel. Par contre, certains DSI profitent des demandes de VIP pour laisser entrer quelques iPad puis vérifier les usages réels et leur régularité. Encore plus opportunistes, quelques dirigeants – confrontés à un climat économique incertain – voient dans ces terminaux un investissement librement consenti par l’utilisateur lui-même. Dans ce cas, “il reste un seul coût à prendre en compte : celui de la sécurité, recommande Mathieu Gorge. Les premiers pilotes montrent que l’entreprise laisse, dans un premier temps, toutes les libertés au salarié mobile. Puis elle dresse progressivement sa propre grille de sécurité”. L’approche BYOD, lorsqu’elle est admise, semble donc encore très empirique.