Encadrer le BYOD
10 décembre 2012 A l’occasion d’une formation récente donnée sur le thème de la sécurité, l’un de mes stagiaires m’expliqua que les débits de son réseau interne s’étaient effondrés à la suite de la connexion en masse de smartphones sur les bornes Wifi de l’entreprise. C’est à cette occasion qu’il prit conscience du phénomène BYOD. Les utilisateurs amènent leurs propres matériels (mobiles, smartphones, tablettes et portables) sans que leur entreprise leur ait véritablement demandé de le faire. Ce phénomène n’est pas choisi : il est subi.
Or, cette consumérisation de l’IT au travers du BYOD (Bring Your On Device) est en train de chambouler la vision périmétrique de l’organisation de la sécurité de nos réseaux ! Elle implique une réflexion très sérieuse autour du bruit fait dans les réseaux, du DHCP, de l’inventaire des nœuds Ethernet, des pare-feux embarqués dans les systèmes d’exploitation des serveurs, de l’utilisation des ports USB. La croyance d’une sécurité construite autour du pare-feu global et des anti-virus n’est pas sans nous rappeler toute l’illusion que fut la ligne Maginot, construite après la 1ère guerre mondiale !!!
Aux origines du BYOD
L’explosion du BYOD, c’est aussi le constat d’une informatique en panne d’imagination, dont les réponses restent centrées autour de solutions propriétaires de plus en plus coûteuses qui épuisent la totalité des budgets. Selon une étude réalisée par Forrester, 68% des cadres « mobiles » jugent aujourd’hui leurs outils informatiques personnels – bientôt leurs applications ? – plus productifs que ceux qui leur sont mis à disposition par l’employeur. Dans de nombreuses entreprises, du fait des problèmes récurrents rencontrés au niveau de la messagerie, les salariés se créent des comptes Gmail pour gérer leurs correspondances professionnelles.
Encadrer le BYOD, oui… mais comment ?
A défaut de fournir des réponses techniques satisfaisantes, les entreprises seraient bien avisées de réfléchir à l’accompagnement du phénomène en formant les utilisateurs et aussi de mettre en œuvre des connexions Internet dédiées au BYOD. L’intérêt de la mise en place d’un réseau parallèle, c’est aussi la garantie d‘isoler le trafic et d’empêcher la possibilité de la propagation de vers sur le réseau interne à partir des systèmes Android ou iOS. Par la mise en place d’un proxy tel que Squid et SquidGuard sur un système Linux, vous pourrez de surcroît garantir un filtrage offrant un accès rapide et sécurisé !
Il n’est pas toujours aisé d’expliquer à son patron qu’il aurait intérêt à investir dans des bornes Wifi, un accès Internet et un proxy pour permettre à ses salariés un usage personnel de l’Internet sur le temps de travail. Et pourtant, aurons-nous vraiment le choix ? Ne soyons pas dupes. L’utilisation personnelle des outils de l’informatique ne date pas d’aujourd’hui. La fusion en cours des vies privée et professionnelle n’a pas attendu le BYOD pour se faire ! Il n’en est que la conséquence.
Questions juridiques
En dehors de s’inscrire dans le déni de réalité, l’interdiction de l’usage d’un smartphone personnel sur le lieu de travail est juridiquement impossible, contrairement à ce qu’affirmait très imprudemment Patrick Pailloux, directeur de l’ANSSI. La jurisprudence reconnaît un droit à la correspondance privée sur le temps de travail. L’entreprise n’a en outre aucun droit de brouiller ou d’interdire l’usage des téléphones mobiles et des smartphones, sauf dans des cas dérogatoires imposés par la nature même de l’activité. Nous n’avons donc pas d’autre choix que de l’encadrer.
Autres éclairages
- Bring your own device : dix questions pour respecter la réglementation
- Bring Your Own Device : attention au télétravail informel !
- Le Byod pousse les salariés à faire des heures sup
- Chronique d’une fusion annoncée de la vie professionnelle et privée
- Un tiers des entreprises interdisent le BYOD
- Assises de la sécurité : face au BYOD, il faut apprendre à dire non
- Favoriser la mobilité sans céder au BYOD