Vous ne pouvez pas interdire d'apporter: comment mettre en œuvre le concept BYOD et ne pas nuire à la sécurité des informations

Chaque année, de plus en plus d'entreprises sous une forme ou une autre présentent le concept BYOD. Selon une étude Global Market Insights, d' ici 2022, le volume du marché BYOD dépassera 366 milliards de dollars , et Cisco rapporte que 95% des organisations sous une forme ou une autre autorisent l'utilisation d'appareils personnels sur le lieu de travail , et cette approche vous permet d'économiser 350 $ par an par employé. Dans le même temps, le BYOD crée de nombreuses difficultés pour le service informatique et de nombreux risques divers pour l'entreprise.

La capacité à effectuer des tâches professionnelles à l'aide de leurs propres gadgets est perçue par beaucoup comme un élément de liberté, une approche progressive des relations entreprise-employés et généralement un exemple typique d'une stratégie gagnant-gagnant. En général, il n'y a aucune raison de douter: l'employé est heureux d'utiliser l'équipement qu'il a choisi pour résoudre les problèmes, et l'entreprise reçoit un employé qui est toujours en contact et fait le travail même après les heures de travail. Selon Frost & Sullivan, BYOD ajoute jusqu'à 58 minutes par jour aux employés et augmente la productivité de 34% .

Malgré tous les avantages, le BYOD pose des problèmes - problèmes d'incompatibilité et d'installation rapide des mises à jour de sécurité, vol et panne des appareils personnels. Et ce n'est qu'une petite partie du mal de tête que vous devez endurer au nom de la commodité. Nous parlerons de la façon de résoudre ces problèmes, en maintenant un équilibre entre sécurité et efficacité, dans ce post.

BYOD

Il signifie Bring Your Own Device, ou «apportez votre appareil». En 2004, le fournisseur de VoIP BroadVoice a proposé de connecter l'équipement client à son réseau et a désigné une méthode telle que BYOD. En 2009, Intel a «mis à jour» le concept de BYOD, élargissant quelque peu sa signification. Avec une main légère, Intel a commencé à signifier l'utilisation par les employés d'entreprises de dispositifs personnels pour résoudre des problèmes commerciaux.

Puisqu'il n'y a pas de définition stricte du BYOD, différentes organisations peuvent comprendre ce concept de différentes manières. Par exemple, certaines entreprises autorisent les employés à utiliser des appareils personnels pour résoudre des problèmes de travail, mais l'employé engage tous les frais de communication et de réparation. D'autres entreprises compensent ces coûts ou connectent les employés à un contrat d'entreprise.

Étant donné que dans le cas du BYOD, l'entreprise ne choisit pas les appareils utilisés par les employés, le problème de compatibilité est porté à son plein potentiel. CYOD, un autre concept BYOD similaire, permet de l'éliminer, tout en résolvant les problèmes financiers et juridiques.

CYOD

L'abréviation CYOD signifie Choose Your Own Device - «choisissez votre appareil». Selon ce concept, un employé peut choisir dans la liste des appareils typiques celui qui lui permettra le mieux de résoudre ses tâches. Selon les politiques de l'entreprise, CYOD peut autoriser ou interdire l'utilisation d'appareils d'entreprise pour un usage personnel.

COPE

Ce terme signifie Corporate-Owned, Personally Enabled et signifie que les appareils sélectionnés par l'employé sont achetés par l'entreprise, mais c'est à eux de les configurer et de les entretenir. En règle générale, COPE implique également la possibilité d'utiliser l'appareil à des fins personnelles.

ROSE

POCE - Propriété personnelle, entreprise activée, "achetée par un employé, autorisée par l'entreprise." Essentiellement, ce n'est qu'un autre nom pour BYOD.

Avantages du BYOD

Pour les employés

• un appareil pour les tâches personnelles et professionnelles (si cela ne contredit pas la politique de l'entreprise),
• la possibilité d'utiliser les derniers modèles d'appareils,
• la mobilité
• horaire flexible
• travail à distance.

Pour entreprise

• réduction des coûts - l'entreprise n'a pas à acheter d'appareils pour les employés,
• accroître la motivation des employés,
• Disponibilité des employés après les heures
• une plus grande efficacité dans la résolution des problèmes urgents,
• besoin réduit d'espace de bureau.

Risques et menaces BYOD

Les risques associés au BYOD sont une conséquence naturelle des avantages du concept. Plus les employés qui utilisent des appareils personnels pour interagir avec le réseau de l'entreprise ont plus de liberté, plus les dommages potentiels qu'ils peuvent causer sont importants.

Appareil perdu ou volé

Si un employé perd l'ordinateur portable sur lequel il a travaillé pour l'entreprise, cela créera beaucoup de problèmes. Au fil du temps, les documents d'entreprise, y compris les documents confidentiels, ainsi que les documents contenant des données personnelles s'accumulent inévitablement sur l'appareil. La fuite de ces informations est susceptible d'entraîner des amendes, les concurrents ou les attaquants peuvent les utiliser pour faire chanter ou simplement vendre sur le marché noir à des cybercriminels qui organisent des attaques ciblées ou de phishing.
Mais en plus des documents, l'appareil stocke les informations d'identification pour l'accès au réseau d'entreprise et / ou les clés de chiffrement enregistrées dans le registre afin de ne pas jouer avec les jetons. À l'aide de ces informations, un attaquant peut pénétrer le réseau, voler tout ce qu'il peut atteindre, installer des logiciels malveillants.

Un autre problème est qu'un employé privé de son outil de travail ne peut pas faire ce pour quoi il est payé. Et ce problème doit être résolu le plus rapidement possible. Si une grande entreprise est susceptible de pouvoir récupérer du matériel dans la réserve, on ne peut pas compter sur un tel luxe dans une startup.

Vulnérabilités et logiciels malveillants

De toute évidence, les employés travaillant selon le schéma BYOD utiliseront leurs appareils pour résoudre non seulement le travail, mais aussi les tâches personnelles. Après avoir terminé le travail, ils regarderont des vidéos en ligne, rechercheront des essais pour les enfants et joueront à des jeux téléchargés à partir de trackers torrent. Et avec une probabilité non nulle, leurs enfants feront de même.

Le résultat d'une telle frivolité, en règle générale, n'est pas trop inspirant: des logiciels malveillants apparaissent sur l'appareil - logiciels espions, rançongiciels et portes dérobées. Lorsqu'il est connecté à un réseau d'entreprise, l'ensemble des malwares recherchent de nouvelles victimes. Et il est possible qu'il le trouve. Mais même sans cela, les identifiants, mots de passe et détails des cartes bancaires d'entreprise volés n'apporteront aucun avantage.

Même si l'employé se comporte de manière responsable, ne visite pas de sites suspects et ne télécharge pas de logiciels piratés, le problème des e-mails de phishing persiste, ainsi que la mise à jour du système d'exploitation et des programmes. En utilisant des vulnérabilités connues, les logiciels malveillants peuvent infiltrer l'appareil seul ou avec une implication minimale de l'utilisateur qui a cliqué sur le lien dans la lettre, très similaire à la lettre habituelle de la contrepartie.

La mobilité comme problème

Le caractère itinérant de l'utilisation des équipements au sein du BYOD signifie non seulement un risque accru de perdre votre gadget préféré, mais également des risques liés à la confidentialité. Les amateurs de travail dans les cafés et autres lieux publics ne prennent pas en compte le fait que:

• ils sont dans le champ de vision des étrangers et des caméras de vidéosurveillance, ce qui signifie que les mots de passe qu'ils saisissent et les documents avec lesquels ils travaillent sont rendus publics par des étrangers;
• l'utilisation de réseaux Wi-Fi publics dans les aéroports et les hôtels comporte le risque que les informations transmises soient interceptées ou qu'un script malveillant pénètre dans l'appareil;
• l'utilisation active de l'Internet mobile en itinérance peut entraîner des pertes financières.

Comment se protéger?

Les risques posés par le BYOD ne peuvent pas être complètement éliminés. Mais en combinant les mesures organisationnelles et techniques, les dommages peuvent être minimisés, voire complètement éliminés. Les principaux moyens d'assurer la sécurité BYOD sont la virtualisation, la gestion des appareils mobiles, des applications et des données, ainsi que les systèmes de protection des terminaux intelligents.

Virtualisation

La beauté de cette technologie est que l'appareil de l'utilisateur est utilisé exclusivement pour accéder au poste de travail virtuel. Tous les documents et programmes s'y trouvent également et ne sont pas copiés sur l'appareil. Le service des postes de travail virtuels est assuré par des informaticiens de l'entreprise, de sorte que tout ce qui est exigé d'un employé est de garder secrets les détails d'accès au réseau d'entreprise. Cela n'aidera pas si un logiciel espion pénètre dans l'appareil, mais élimine les fuites de données pendant le vol.

MDM, MCM, MAM et autres systèmes de gestion d'appareils mobiles

Les systèmes de gestion des appareils mobiles vous permettent de gérer de manière centralisée l'intégralité du zoo BYOD, de définir des restrictions sur les documents, sur les ressources auxquelles l'utilisateur a accès et sur les opérations qu'il peut effectuer lorsqu'il est connecté à un réseau d'entreprise.

Par exemple, l'outil Microsoft Intune prend en charge les appareils basés sur Windows, macOS, iOS, Android et permet aux administrateurs de:

• supprimer automatiquement les données d'entreprise si l'appareil ne se connecte pas au service dans un délai spécifié;
• interdire le stockage des informations d'entreprise dans tout lieu autre que "OneDrive Entreprise";
• Demander un code PIN ou une empreinte digitale pour accéder aux applications Office
• Empêchez la copie des données d'entreprise d'Office vers des applications personnelles.

Des solutions similaires pour la gestion des appareils mobiles sont proposées par Apple (Apple MDM), Citrix - XenMobile, Cisco - Meraki, Trend Micro - Enterprise Mobile Security et plusieurs fabricants tiers.

Protection BYOD

Même les contrôles les plus avancés n'aideront pas si l'appareil pénètre dans l'appareil.Par conséquent, dans le cas du BYOD, il vaut la peine d'utiliser des solutions de sécurité de classe XDR (X Détection et réponse, où X correspond à divers environnements d'entreprise). Ces systèmes peuvent détecter et aider à stopper les menaces inconnues, en assurant la surveillance de tous les systèmes d'information de l'entreprise. L'approche du XDR de Trend Micro comprend le sous-système EDR (Trend Micro Apex One), qui fournit une protection à plusieurs niveaux pour les terminaux, ainsi que la famille Deep Discovery de produits réseau qui peuvent détecter les menaces sur les nœuds sans agents de sécurité.

Quel est le résultat

L'utilisation incontrôlée du BYOD peut créer d'énormes problèmes pour les entreprises. Afin de ressentir pleinement tous les avantages de l'utilisation d'appareils personnels pour résoudre des problèmes commerciaux, il est nécessaire de prendre en compte les risques et de protéger le périmètre du réseau et les appareils utilisateurs. Un niveau de protection supplémentaire sera assuré par l'élaboration et la mise en œuvre dans la pratique quotidienne d'une politique de sécurité sur laquelle les utilisateurs pourront se concentrer pendant leur travail.