Travailler plus régulièrement depuis son domicile constitue surtout un changement culturel avant d’être technologique. Cela nécessite de tenir compte de considérations plus vastes et d’envisager des couches de sécurité supplémentaires.
Un tel changement durable dans les habitudes de travail soulève bien entendu un certain nombre de questions intéressantes pour la DSI. L’une d’entre elles est le rôle que la sécurité devra jouer dans une entreprise où les collaborateurs travaillent pour l’essentiel de chez eux.
Car comme une si longue période de travail à domicile a évidemment brouillé les frontières entre l’environnement informatique professionnel et celui de la vie privée. Et de fait, des contrôles de sécurité, qui reposaient sur l’installation d’outils sur des équipements administrés par l’entreprise, ont pu parfois se perdre en cours de route. Qui n’a pas, ces derniers mois, utilisé les équipements de son entreprise pour naviguer sur Internet à titre personnel ? Ou encore permis à ses enfants d’accéder à leurs applications préférées depuis un ordinateur portable professionnel ?
Cette situation exige non seulement de reconsidérer la nature même de ces couches de sécurité, mais aussi les plans de réponse aux incidents. Et elle soulève également une autre question : qui est responsable de la sécurité dans ce nouvel environnement de travail ?
Repenser la technologie du bureau à domicile
La bonne nouvelle, c’est qu’il est finalement assez simple d’appliquer les mêmes niveaux de contrôle de sécurité au personnel de bureau qu’aux travailleurs à distance. Le modèle de Zero Trust Network Access (ZTNA), qui entre lui-même dans le cadre de l’approche SASE (Secure Access Service Edge) telle que développée par Gartner, peut garantir que les travailleurs bénéficient du même niveau de protection lorsqu’ils accèdent à Internet et aux applications professionnelles, quel que soit l’endroit où ils se trouvent ou le dispositif qu’ils utilisent pour cela.
Ainsi, même avant la crise actuelle, les études que nous avons menées avaient montré une très forte augmentation du Shadow IT « IoT », autrement dit des objets connectés personnels présents sur le réseau de l’entreprise. Maintenant que le nouveau lieu de travail comprend aussi le domicile des utilisateurs, un éventail encore plus large d’appareils souvent non sécurisés, allant des téléviseurs aux réfrigérateurs intelligents, ou même aux systèmes de chauffage, de ventilation et de climatisation connectés à Internet, doit désormais être considéré comme une menace potentielle.
Cependant, dans cette nouvelle normalité, se pose la question de ce qui constitue encore le réseau d’entreprise. Le domicile des employés est-il désormais une extension de ce dernier ? Et si oui, les employeurs doivent-ils (et peuvent-ils !) s’intéresser aux menaces plus larges dans l’environnement domestique, comme ils le feraient sur le réseau d’entreprise ? Doivent-ils inclure, par exemple, le domicile dans leurs programmes de gestion des vulnérabilités ?
Une dimension culturelle
Un deuxième aspect moins tangible (mais important) de la sécurité qui doit être pris en compte est l’aspect culturel. L’état d’esprit du travail à domicile diffère considérablement de celui du travail au bureau. Un ordinateur portable de travail, lorsqu’il rentre à la maison, peut facilement devenir un ordinateur portable domestique utilisé pour la navigation personnelle. Même le reste de la famille peut être tenté d’utiliser ce portable pour les devoirs, les examens (et l’on pense alors aux solutions de contrôle d’examens en ligne qui sont particulièrement intrusives) ou tout simplement l’interaction sociale avec les amis.
Un autre risque – non-technique celui-ci – tient à l’adoption par les collaborateurs d’une posture de sécurité plus détendue lorsqu’ils sont dans leur environnement privé. Au bureau existent en effet des processus de sécurité collaboratifs qui se trouvent affaiblis par le travail à distance. Ainsi des pratiques naturelles, telles que le verrouillage de l’écran en quittant le bureau ou encore l’assurance qu’une fois dans une salle de réunion fermée, les échanges confidentiels demeureront privés, seront souvent ignorés au domicile.
Cela peut sembler paranoïaque, mais dans le terme de « sécurité des systèmes d’information », il y a le mot « information » ! Et tous les échanges d’information ne se déroulent pas toujours exclusivement dans un espace numérique. Par exemple, parce que les enfants sont souvent présents dans un bureau à domicile, des divulgations d’information non maîtrisées peuvent alors très bien se produire. D’autant que l’ingénierie sociale est devenue un vecteur d’attaque essentiel pour les acteurs malveillants, et les contraintes psychologiques changeantes amenées par le travail à distance peuvent contribuer à faire des employés une cible plus facile pour la manipulation.
Évaluer un nouveau niveau de risque
Les nouveaux facteurs psychologiques introduits par le travail à domicile vont au-delà des critères d’évaluation traditionnels de la sécurité dans un environnement d’entreprise. Ces nouveaux facteurs de risque échappent d’ailleurs au contrôle de l’entreprise !
Cela crée donc le besoin pour un nouveau niveau d’évaluation des risques au sein des organisations. Quels employés pourraient potentiellement partager des données confidentielles à leur domicile ? Comment atténuer ce risque ? Si cette situation de travail à distance devient effectivement la nouvelle norme, quelles mesures pérennes les entreprises doivent-elles prendre pour garantir à chacun de ses salariés un environnement de travail plus sûr ?
Et si tout cela doit amener les entreprises à mettre en œuvre des mesures de sécurité supplémentaires, qui en est responsable ? Traditionnellement, certaines de ces activités relèvent de la compétence des RH ou du responsable de la protection des données. Mais de manière réaliste, les RH sont-elles en mesure de procéder à ce type d’évaluation des risques et de mettre en place des processus d’atténuation ?
En définitive, cela devrait plutôt relever de la responsabilité du RSSI, qui est déjà en charge de la protection des données de l’entreprise, et devrait l’être quelle que soit la forme que celles-ci adoptent, ou leur support. À mesure que les risques liés aux contenus de l’entreprise s’accroissent en raison de l’extension des pratiques de travail à distance et qu’il devient plus difficile de maintenir un niveau de sécurité acceptable, les responsabilités du RSSI devront s’élargir pour correspondre au nouveau niveau de risque, incluant les spécificités de la culture du bureau à domicile.