Blog

La menace est d’autant plus grande que, selon une récente étude de Trend Micro, un peu plus d’un tiers des télétravailleurs (38%) utilisent leur propre équipement. Des smartphones, tablettes et autres ordinateurs personnels dont le niveau de protection est disparate en termes de patching ou de mise à jour du système d’exploitation et qui sont autant de portes d’entrée vers le réseau d’entreprise. À défaut d’enrayer ce phénomène du BYOD (Bring Your Own Device), le DSI peut le limiter en privilégiant, lors du renouvellement de son parc informatique, l’acquisition d’ordinateurs portables utilisables au bureau comme au domicile. Elle peut ensuite sécuriser une flotte de terminaux mobiles en passant par une solution d’EMM (Enterprise Mobility Management). Celle-ci comprend différents modules : le MDM (Mobile Device Management) prend en charge la partie matériel, le MAM (Mobile Application Management) gère les applications installées et le MCM (Mobile Content Management) contrôle l’accès aux données sensibles. 

La période est propice pour rappeler aux utilisateurs les règles élémentaires de sécurité comme choisir un mot de passe robuste et en changer régulièrement ou ne pas transférer de fichiers sur une clé USB. Une approche plus ludique à base de mises en situation, de vidéos, de jeu-questionnaire ou de « serious games » offre un surplus d’engagement. Une simulation de cyberattaque permet, elle, d’évaluer le pourcentage d’utilisateurs qui, sans information préalable, se sont laissé piéger par une fausse campagne d’hameçonnage à base de courriel avec pièce jointe infectée ou de lien invitant à saisir ses identifiants en ligne. Le message auprès de ces salariés peu vigilants passera d’autant mieux. La campagne doit être aussi personnalisée afin de répondre aux menaces spécifiques du télétravail comme l’hameçonnage sur mobile ou l’installation d’applications grand public sur un terminal à usage professionnel. Un guide des bonnes pratiques du télétravail rappellera comment paramétrer correctement la sécurité d’un réseau wifi domestique ou une solution de visioconférence. 

Basculant du jour au lendemain dans le travail à distance, les équipes métiers ont recouru à un ensemble hétérogène de solutions de collaboration à distance pour poursuivre leur activité. Certaines solutions payantes ou gratuites n’offraient pas toutes les garanties de sécurité attendues. Le DSI doit aujourd’hui imposer les outils qu’il a référencés en communiquant sur leur existence. Des tutoriels vidéo ou des guides d’utilisation peuvent faciliter leur appropriation. Il s’agit aussi de cartographier les applications installées sous le radar de la DSI, d’évaluer leur criticité puis d’engager un dialogue avec les utilisateurs afin d’envisager des solutions alternatives plus sécures. 

La collaboration à distance suppose un échange permanent d’informations entre collègues, pour certains en télétravail, d’autres basés en entreprise. Ce mode d’organisation hybride suppose de repenser le circuit d’information, l’utilisation massive de tunnels VPN ayant montré ses limites. Le COVID 19 a aussi mis en évidence de mauvaises pratiques. Des télétravailleurs ont stocké des fichiers sensibles en local puis les ont partagés en pièces jointes dans leurs courriels, à partir de leurs espaces personnels de stockage en ligne ou directement depuis les plateformes de visioconférence. Autant de méthodes qui ne garantissent pas le contrôle des accès ou le chiffrement des données. L’entreprise doit aujourd’hui rappeler quels sont les outils de collaboration à distance référencés par le DSI et quel canal – chat, courriel, visioconférence… – utiliser pour quel usage. Le concept de digital workplace qui réunit dans un espace unifié et sécurisé l’ensemble de ces briques est à privilégier. 

Avec la généralisation de la collaboration à distance, le modèle de sécurité périmétrique dit du château fort où l’entreprise se retranche derrière ses murs, vole en éclats. La dissémination de l’information à la fois dans le cloud et dans les terminaux physiques invite à repenser différemment la sécurisation et l’accès au réseau et aux applications. Comme son nom l’indique, le concept de « Zero Trust  » consiste à exercer un contrôle strict et continu de l’utilisateur. Toujours dans le domaine de la gestion des identités se pose la question de l’authentification multifacteurs. Soit un mot de passe couplé à un SMS à usage unique, une carte à puce ou une clé cryptographique. Enfin, la « cloudification » du SI incite à recourir à une solution de CASB (Cloud Access Security Broker) qui permet à une entreprise d’étendre sa politique de sécurité aux services cloud.