Industrie Mag - Le journal de l'industrie.

Quelle est la meilleure approche pour protéger les données confidentielles des entreprises stockées sur des appareils mobiles ?

Thierry Karsenti

La loi d’inertie de Newton précise qu’un objet en mouvement persiste dans son mouvement à moins qu’une force n’agisse sur lui. Le même principe semble également s’appliquer aux données confidentielles des entreprises stockées sur les appareils mobiles : une fois que les données sont en mouvement, elles ont pour habitude de rester en mouvement et peuvent potentiellement tomber dans de mauvaises mains, sauf s’il existe des forces pour les protéger.

C’est un problème qui peut rapidement échapper à tout contrôle. En avril 2013, nous avons interrogé près de 800 professionnels de l’informatique à travers le monde, à propos de la mobilité et de l’utilisation des appareils mobiles dans leur entreprise. Parmi ces professionnels, 79% nous ont indiqué avoir eu un incident de sécurité mobile au cours des 12 derniers mois.

Ces incidents se sont révélés très coûteux dans de nombreux cas : 42% des entreprises ont indiqué que les incidents mobiles leur ont coûté plus de 80 000 euros l’année passée en frais de personnel, frais juridiques, amendes et coûts de correction des problèmes. 16% ont déclaré que les incidents leur ont coûté près d’un demi-million d’euros !

Même si le nombre d’incidents et les coûts associés peuvent sembler élevés, notre enquête en fournit l’explication : 88% des professionnels interrogés ont déclaré que le nombre d’appareils mobiles personnels se connectant au réseau de leur entreprise a plus que doublé au cours des deux dernières années. Ces appareils stockent différentes informations confidentielles : les types les plus communs de données stockées sur les tablettes et les smartphones personnels sont la messagerie d’entreprise (88%), les coordonnées des contacts (74%), les calendriers (72%) et les données clients (53%).

Trois risques coûteux de sécurité mobile

Les trois risques de sécurité mobiles les plus coûteux pour les entreprises sont :

- 1. La perte de données clients : Dans notre enquête, 53% des entreprises signalent que des données confidentielles des clients sont stockées sur des appareils mobiles, contre 47% l’an dernier. Il s’agit notamment de données concernant les cartes de paiement, les adresses postales, les adresses électroniques, les numéros de téléphone, voire même les numéros de sécurité sociale. Dans de nombreux cas, les entreprises doivent signaler toute faille de sécurité entraînant la perte de données relatives aux cartes de paiement et autres données financières. Le non-respect de cette réglementation peut entraîner des sanctions financières, et les entreprises peuvent être tenues pour responsables lorsque la perte de données clients confidentielles permettent à des cybercriminels d’attaquer les clients. 94% des entreprises interrogées indiquent que la perte ou le vol de données clients est une préoccupation sérieuse en cas d’incident de sécurité mobile. Cependant, 63% ne managent pas les données d’entreprise stockées sur les appareils personnels.

L’élément crucial de la protection des appareils personnels est la protection des données qui y sont stockées et non des appareils. Les données sont souvent plus importantes que les appareils en eux-mêmes Une approche multicouche de la protection des données est importante pour éliminer les pertes de données. Par exemple, l’installation d’une solution de prévention des fuites de données peut empêcher les transferts inappropriés de données clients hors de l’entreprise. L’utilisation d’une solution VPN est une autre manière de contrôler les flux de données, de sorte que peu importe où les utilisateurs se trouvent, le trafic est envoyé à une passerelle de sécurité et analysé avant de quitter le réseau.

 2. Pertes de données d’entreprise : Recette de cuisine secrète, stratégie de développement pour 2014, rapport financier, base de données commerciale.... le coût pour votre entreprise peut être très élevé lorsque ces informations tombent dans de mauvaises mains. De plus en plus d’entreprises autorisent, et même encouragent, leurs employés à utiliser leurs appareils mobiles personnels sur le réseau de l’entreprise dans le cadre de leur activité professionnelle. Les deux tiers des entreprises interrogées cette année indiquent que la sécurisation des données est de ce fait leur plus grande problématique. Même si vous faites partie des rares entreprises qui managent les données d’entreprise sur les appareils personnels reliés à leur réseau, les employés négligents sont une plus grande préoccupation que les cybercriminels lorsqu’il s’agit d’empêcher les pertes de données. En fait, 66% des professionnels interrogés estiment que les employés négligents posent un plus grand risque pour la sécurité de leur entreprise que les cybercriminels. Il ne suffit pas de mettre en place des technologies de protection. Vous devez également sensibiliser vos employés à l’importance de signaler la perte d’un appareil ou la perte de données mobiles. Nous avons tous entendu parler du nouveau prototype d’iPhone oublié dans un bar ou de l’ordinateur portable d’un banquier volé dans sa voiture. Cependant, vos commerciaux ou votre secrétaire peuvent ne pas réaliser la gravité de ne pas signaler immédiatement la perte de leur smartphone égaré à l’arrière d’un taxi. Les politiques de sécurité doivent imposer le chiffrement et la protection par mot de passe des données stockées dans les smartphones et les tablettes, afin d’empêcher leur accès et leur utilisation en cas de perte ou de vol de ces appareils.

 3. Pertes de données relatives aux employés/à la direction : Les PDG des grandes entreprises ont longtemps été la cible des cybercriminels. Avec la sophistication des techniques de piratage et la consolidation des défenses des grandes entreprises, les voleurs et les usurpateurs d’identité se tournent désormais vers des cibles plus faciles à atteindre. Les appareils mobiles personnels qui contiennent des informations sur les employés et/ou sont reliés au réseau de l’entreprise sont des points d’entrée pour les criminels qui tentent de dérober les données des carte de paiement, les identifiants des comptes bancaires, ou même les numéros de carte SIM. Lorsque le compte bancaire de votre entreprise est piratée parce que votre smartphone a été dérobé ou le numéro de carte de paiement personnel d’un employé est compromis parce qu’il l’a communiqué par email pour réserver un voyage, le coût est potentiellement élevé. Lors de l’envoi de données d’entreprise, le chiffrement de la communication grâce à la technologie VPN est un moyen crucial de protéger les données en mouvement. Quiconque tente d’espionner la transmission ne peut la comprendre car les données en transit sont chiffrées.

L’erreur est humaine, la sécurité est complexe

La problématique de la protection des appareils mobiles s’est développée à un tel point que certains services informatiques sont submergés, tant et si bien que de nombreux appareils personnels ne sont pas managés, malgré les risques évidents de fuites et de pertes de données. Pourquoi les stratégies de sécurité pour protéger les données et les actifs sur les appareils appartenant aux employés ont-elles pris du retard ? Ce retard s’explique en partie par le fait que les équipes informatiques n’ont pas assez de temps et de ressources pour s’investir dans la sécurisation de la mobilité. Elles doivent établir des priorités, et l’afflux des appareils appartenant aux employés dépasse malheureusement les ressources disponibles pour les gérer.

Ces entreprises doivent compter sur les employés pour protéger les données d’entreprise sur leurs appareils personnels, ce que de nombreux employés font. Mais les employés cherchent généralement à travailler plus efficacement pour s’acquitter de leurs tâches, et se soucient moins des actions qui pourraient entraîner des risques pour la sécurité. La plupart du temps, les employés n’ont aucune intention malveillante et les données restent dans de bonnes mains. Mais des pertes accidentelles vont se produire par inadvertance. Les employés transgressent parfois également les règles.

Le contenu est plus important que les appareils

Comment les entreprises devraient-elles alors aborder la protection de leurs données confidentielles contre les risques de perte ou de vol sur les appareils mobiles des employés ? Une partie de la réponse consiste à mettre les utilisateurs au courant des politiques de sécurité des données d’entreprise et des conséquences possibles des pertes de données, par des méthodes pédagogiques.

L’accent doit également être mis sur l’identification, l’isolement et le chiffrement des données d’entreprise, où qu’elles se trouvent. De cette façon, même si un utilisateur bien intentionné copie des données d’entreprise sur son appareil, ou y accède via email ou une autre application, elles restent protégées contre les pertes. Mieux encore, le processus de sécurisation des données peut être automatisé dans le cadre de la politique de sécurité afin qu’elles soient protégées en toute circonstance, en cas de copie de fichiers sur un appareil mobile, de diffusion de fichiers par email et ainsi de suite. Moins les utilisateurs sont conscients de la solution de sécurité - les produits de nouvelle génération sont très discrets - moins cela interfère avec leurs activités, et plus vos données sont sécurisées.

Il est crucial pour les entreprises de ne pas avoir à se préoccuper de la prise en charge de différents appareils personnels, mais seulement des données d’entreprise qui pourraient y être stockées. La protection des appareils peut interférer avec les activités des employés et leur vie privée, ce qui peut les conduire à essayer de contourner les politiques de sécurité de l’entreprise.

Se concentrer uniquement sur la protection des données d’entreprise simplifie la question de l’utilisation des appareils personnels. Les appareils utilisés pour accéder à des données sont de moindre importance, tant que les données sont protégées et que la personne qui utilise ces données dispose des autorisations appropriées pour ce faire. L’application d’une politique de sécurisation des données est cruciale, car elle réduit nettement pour les équipes informatiques le besoin de manager les appareils personnels.

Tout comme vous contrôlez le flux de données entrants et sortants de votre réseau, vous pouvez éviter les risques potentiellement coûteux de sécurité mobile en combinant outils et politique de sécurité, et sensibilisation des employés. Cela vous permet de maintenir votre entreprise en mouvement, tout en vous protégeant des cybercriminels.

http://www.checkpoint.com/