Chapitre 811 minDébutant
Télétravail, nomadisme et BYOD
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- identifier les risques propres au nomadisme ;
- choisir les mesures pour sécuriser un poste nomade ;
- expliquer le rôle d'une solution de MDM ;
- encadrer une demande de BYOD sans empiéter sur la vie privée ;
- traiter la perte d'un portable au regard du RGPD.
3 exercices corrigés
Le nomadisme numérique désigne le fait de travailler avec les outils de l'organisation en dehors de ses locaux : en télétravail, en déplacement, chez un client, dans un train. Le BYOD (Bring Your Own Device, en français AVEC, « apportez votre équipement personnel de communication ») consiste à utiliser son propre ordinateur ou téléphone pour travailler. Dans les deux cas, l'équipement sort du périmètre protégé de l'entreprise. Ce chapitre décrit les risques propres à ces situations et les mesures qui permettent de sécuriser les équipements et les usages, l'une des compétences communes du bloc 3.
Pourquoi le nomadisme change tout
Au bureau, le poste est derrière le pare-feu de l'entreprise, sur un réseau surveillé, dans des locaux fermés. Dehors, presque toutes ces protections disparaissent :
| Risque | Situation | Critère touché |
|---|---|---|
| Perte ou vol de l'appareil | Ordinateur oublié dans le train, téléphone volé, sac dérobé dans une voiture | C (données lisibles), D (outil de travail perdu) |
| Réseau non maîtrisé | Wi-Fi public d'un hôtel ou d'une gare, box familiale jamais mise à jour | C, I (interception, faux point d'accès) |
| Regard indiscret | Écran lu par le voisin de siège, conversation téléphonique entendue | C |
| Mélange des usages | Enfants qui utilisent l'ordinateur professionnel, logiciels personnels installés, documents de travail sur une messagerie personnelle | C, I |
| Informatique fantôme (shadow IT) | Outils non autorisés : stockage en ligne personnel, application de transfert de fichiers, assistant d'intelligence artificielle grand public dans lequel on colle un document confidentiel | C |
| Supports amovibles | Clé USB personnelle, clé trouvée, disque dur partagé | C, I |
| Accès distant mal protégé | Bureau à distance ouvert sur Internet, accès sans MFA | Tous |
Un faux point d'accès Wi-Fi (evil twin) porte le même nom que le réseau de l'hôtel. L'attaquant voit passer tout ce qui n'est pas chiffré et peut présenter de fausses pages de connexion.
Les mesures pour les postes nomades
L'ANSSI consacre un guide entier au sujet (« Recommandations sur le nomadisme numérique »). Les mesures essentielles :
| Mesure | Ce qu'elle protège |
|---|---|
| Chiffrement intégral du disque (BitLocker sous Windows, FileVault sous macOS, LUKS sous Linux) | Un ordinateur volé ne livre aucune donnée sans la clé |
| VPN obligatoire pour accéder aux ressources internes, avec MFA | Les échanges sont chiffrés même sur un Wi-Fi public, et un mot de passe volé ne suffit pas |
| Verrouillage automatique de la session et filtre de confidentialité sur l'écran | Le regard indiscret et l'accès à un poste laissé sans surveillance |
| Compte utilisateur sans droits d'administration | L'installation de logiciels non autorisés ou malveillants |
| Mises à jour et antivirus gérés à distance, même hors du réseau de l'entreprise | Les failles connues et les logiciels malveillants |
| Partage de connexion du téléphone professionnel plutôt que Wi-Fi public | L'interception sur un réseau inconnu |
| Pare-feu local actif, blocage des supports amovibles non autorisés | La propagation et la fuite de données |
| Sauvegarde ou synchronisation des documents sur les serveurs de l'entreprise | La perte des données avec l'appareil |
| Procédure claire en cas de perte ou de vol : appeler le support immédiatement | Le blocage rapide des accès et l'effacement à distance |
Gérer les appareils à distance : le MDM
Une solution de gestion des appareils mobiles (MDM, Mobile Device Management, aujourd'hui souvent intégrée dans une solution plus large appelée UEM) permet à l'équipe informatique de piloter à distance les téléphones, tablettes et ordinateurs : imposer un code de verrouillage et le chiffrement, déployer les applications professionnelles, appliquer les mises à jour, localiser l'appareil et l'effacer à distance en cas de vol. Microsoft Intune, Jamf ou les solutions intégrées à Android Enterprise et à Apple Business Manager en sont des exemples.
Sur un appareil personnel, on n'administre pas tout l'appareil : on crée un espace professionnel séparé (profil professionnel Android, inscription utilisateur sur iPhone) que l'entreprise gère et peut effacer, sans voir ni toucher les photos, messages et applications personnelles.
Le BYOD : avantages, risques et encadrement
On distingue plusieurs modèles d'équipement :
| Modèle | Principe |
|---|---|
| Équipement fourni par l'entreprise | L'organisation achète, configure et gère l'appareil ; l'usage personnel est limité ou interdit |
| COPE (Corporate Owned, Personally Enabled) | Appareil de l'entreprise, avec un usage personnel autorisé |
| CYOD (Choose Your Own Device) | Le salarié choisit son appareil dans une liste proposée et gérée par l'entreprise |
| BYOD (AVEC) | Le salarié utilise son appareil personnel pour travailler |
| Avantages du BYOD | Risques et difficultés |
|---|---|
| Pas d'achat de matériel pour l'entreprise | L'appareil n'est pas maîtrisé : version du système, mises à jour, logiciels installés |
| Le salarié connaît son appareil | Données professionnelles et personnelles mélangées |
| Un seul téléphone à transporter | L'entreprise ne peut pas imposer n'importe quelle mesure sur un bien qui ne lui appartient pas |
| Au départ du salarié, les données professionnelles partent avec l'appareil si rien n'est prévu | |
| Respect de la vie privée : l'employeur ne peut pas accéder aux données personnelles |
Le BYOD n'est pas interdit, mais il doit être encadré : la CNIL publie des recommandations sur ce sujet. En pratique :
- une politique écrite (souvent intégrée à la charte informatique) précise les appareils et les usages autorisés, les mesures exigées et ce que l'entreprise peut ou ne peut pas faire sur l'appareil ;
- l'accès aux ressources passe par des applications gérées ou par un espace professionnel séparé, avec MFA ;
- les données professionnelles restent sur les serveurs de l'entreprise (accès par application web, bureau virtuel) plutôt que d'être copiées sur l'appareil ;
- l'effacement à distance ne porte que sur l'espace professionnel ;
- le salarié n'est jamais obligé d'utiliser son appareil personnel.
Télétravail : sécuriser la connexion à distance
En télétravail, l'enjeu central est la connexion aux ressources internes. Trois solutions courantes :
| Solution | Principe | Point de vigilance |
|---|---|---|
| VPN (IPsec, OpenVPN, WireGuard, VPN SSL) | Un tunnel chiffré relie le poste au réseau de l'entreprise | Le portail VPN est exposé sur Internet : correctifs en urgence et MFA obligatoires |
| Bureau virtuel ou publication d'applications | Le poste n'affiche qu'une image ; les données restent dans le centre de données | Ne jamais exposer directement le bureau à distance (RDP) sur Internet |
| Applications en ligne (SaaS) avec accès conditionnel | L'accès dépend de l'identité, de la MFA et de l'état de l'appareil (à jour, chiffré, géré) | Bien régler les règles d'accès conditionnel |
Le télétravailleur a aussi ses règles : un espace de travail où l'écran n'est pas visible par d'autres, des conversations confidentielles à l'abri des oreilles (y compris des assistants vocaux), pas de documents imprimés laissés à la vue, et une box Internet dont le mot de passe Wi-Fi par défaut a été changé.
Le même raisonnement en SLAM et en SISR
En SLAM, une application utilisée hors des locaux est par définition exposée sur Internet. Elle doit tout contrôler côté serveur (authentification, droits sur chaque requête), ne jamais stocker de secret dans le code d'une application mobile ou d'une page web (une clé d'API dans le JavaScript est lisible par tous), conserver les jetons de session dans le stockage sécurisé du téléphone (trousseau d'iOS, Keystore d'Android), et prévoir la révocation des sessions d'un appareil perdu.
En SISR, le technicien déploie le VPN avec MFA, impose BitLocker (sécuriser un poste de travail) par stratégie de groupe (cours Windows Server) en enregistrant les clés de récupération dans l'annuaire, inscrit les appareils dans le MDM (BYOD et MDM), configure l'accès conditionnel, et surveille les connexions distantes anormales (un même compte connecté depuis deux pays à une heure d'intervalle).
Pour aller plus loin. Le choix et la configuration d'un VPN (IPsec, WireGuard, OpenVPN) sont dans le chapitre VPN du cours Cybersécurité des infrastructures.
Exercices
Exercice 1 sur 3 Équiper un commercial nomade Réussi À revoir
Un commercial de Soléane passe quatre jours par semaine chez les clients. Il travaille sur un portable, consulte l'ERP et l'extranet, et se connecte souvent depuis les Wi-Fi des hôtels.
Propose cinq mesures techniques et deux consignes d'usage pour sécuriser son activité, en précisant pour chacune le risque traité.
Voir la réponseMasquer la réponse de l'exercice 1
Mesures techniques (exemples) :
- Chiffrement du disque (BitLocker) : perte ou vol du portable.
- VPN obligatoire avec MFA pour accéder à l'ERP : interception sur le Wi-Fi de l'hôtel et vol d'identifiants.
- Compte sans droits d'administration : installation de logiciels malveillants.
- Mises à jour et antivirus gérés à distance : failles connues.
- Inscription au MDM avec effacement à distance : vol du portable ou du téléphone.
Consignes d'usage :
- Utiliser le partage de connexion du téléphone professionnel plutôt que le Wi-Fi public.
- Verrouiller la session dès qu'il quitte son poste et utiliser un filtre de confidentialité dans les lieux publics ; signaler immédiatement toute perte au support.
Tu avais trouvé ?
Exercice 2 sur 3 Une demande de BYOD Réussi À revoir
Une responsable de secteur demande à lire sa messagerie professionnelle sur son téléphone personnel. Le responsable informatique hésite.
- Quels risques cette demande présente-t-elle ?
- Quelles conditions poser pour l'accepter ?
- Que peut faire Soléane si la salariée perd son téléphone ? Que ne peut-elle pas faire ?
Voir la réponseMasquer la réponse de l'exercice 2
- Le téléphone n'est pas maîtrisé (mises à jour, applications installées, code de verrouillage) ; les courriels professionnels, qui contiennent des données de clients, se retrouvent sur un appareil personnel ; en cas de perte ou de départ, ils restent sur l'appareil.
- Conditions : accès uniquement via l'application de messagerie gérée par l'entreprise ou dans un profil professionnel séparé ; code de verrouillage et chiffrement exigés ; MFA ; système à jour ; acceptation écrite de la politique BYOD (intégrée à la charte). Le refus doit rester possible sans conséquence pour la salariée.
- Soléane peut révoquer l'accès et effacer l'espace professionnel à distance. Elle ne peut pas effacer tout le téléphone ni accéder aux données personnelles (photos, messages, contacts privés) : ce serait une atteinte à la vie privée.
Tu avais trouvé ?
Exercice 3 sur 3 Perte d'un portable Réussi À revoir
Un technicien de Soléane perd son ordinateur portable dans le train. Il contient un export du fichier clients (noms, adresses, téléphones des pharmaciens).
- Est-ce une violation de données personnelles ?
- Que change le fait que le disque soit chiffré avec BitLocker et un code PIN au démarrage ?
- Quelles actions immédiates l'équipe informatique doit-elle mener ?
Voir la réponseMasquer la réponse de l'exercice 3
- Oui : la perte d'un support contenant des données personnelles est une violation de données (atteinte à la confidentialité, et à la disponibilité si c'était la seule copie).
- Les données sont inintelligibles sans la clé. Le risque pour les personnes est très faible : l'information des personnes n'est pas exigée (article 34 du RGPD) et une notification à la CNIL n'est en général pas nécessaire, mais la violation doit être documentée dans le registre interne. Sans chiffrement, Soléane devrait notifier la CNIL dans les 72 heures.
- Révoquer les accès de l'appareil (certificat VPN, sessions ouvertes), changer le mot de passe du technicien, tenter un verrouillage ou un effacement à distance par le MDM, consigner l'incident, informer le délégué à la protection des données, et fournir un poste de remplacement restauré à partir des sauvegardes.
Tu avais trouvé ?