La gestion de la mobilité d’entreprise (EMM) est essentielle pour réglementer et gérer l’accès aux données de l’entreprise via les terminaux mobiles
Nous avons tendance à considérer nos smartphones comme des objets strictement personnels, et donc avec une certaine insouciance. Quand il s’agit de portables appartenant à l’entreprise, cette légèreté peut, involontairement, conduire à des failles de sécurité, avec des impacts notables en termes de droits de licence et de coût. Il appartient à l’entreprise de s’assurer que les politiques régissant l’utilisation de nos chers portables sont effectivement appliquées si elle veut protéger ses données sensibles et éviter des coûts non planifiés. Les entreprises ont plus que jamais besoin de s’appuyer sur le principe de gestion de la mobilité (EMM).
A qui appartient quoi ?
C’est mon portable ! Pas tant que cela, en réalité. Il peut s’agir d’un appareil appartenant à l’entreprise et activé en privé (COPE). Dans le cas d’un système BYOD (Bring Your Own Device), s’il est vrai que le mobile appartient techniquement au salarié, les données corporate qu’il contient et auxquelles le salarié peut accéder ne sont bien évidemment pas sa propriété.
Qu’ils nous appartiennent en propre, ou qu’ils restent la propriété de l’entreprise, nous traitons nos smartphones et nos tablettes à peu près de manière identique. Nous chargeons les applis et les jeux que nous voulons, prenons des photos, écoutons de la musique, et bien d’autres choses encore. Supposons qu’un salarié dispose d’un portable COPE et que son entreprise ne propose aucune forme de fonctionnalité EMM. Il y a de grandes chances pour que ce salarié veuille personnaliser son portable comme bon lui semble, en choisissant un fond d’écran, en téléchargeant certaines applis professionnelles, d’autres pour son divertissement, et qu’il les utilise pour envoyer des e-mails professionnels, mais aussi personnels – avec la plupart du temps un savant mélange au sein de la même application.
Les salariés ne prennent malheureusement que rarement en compte le fait que leur comportement peut s’avérer dangereux – en permettant aux applis chargées d’accéder à des photos et à des contacts ou en téléchargeant des applis pouvant contenir des logiciels malveillants. Les e-mails peuvent également laisser fuiter des informations sensibles, ou le chargement d’une appli peut nécessiter l’acquisition d’une licence spécifique par l’entreprise.
Dans le cas d’un appareil BYOD, les salariés ont le sentiment d’être libres de télécharger ce qu’ils veulent. Ils peuvent, par exemple, choisir d’utiliser une appli comme Truecaller, qui permet d’identifier automatiquement les appels et les messages entrants. En contrepartie de sa gratuité, cette appli télécharge toutes les informations relatives aux contacts de l’utilisateur dans la base de données mondiale Truecaller. Si c’est Dropbox qui est utilisé pour partager des fichiers avec des collègues, l’entreprise peut avoir l’obligation d’acquérir une licence pour procéder de la sorte. De même, Adobe propose deux applis gratuites pour un usage personnel. Mais elles ne peuvent être utilisées, sans licence, pour accéder aux documents professionnels de l’entreprise.
Respecter les règles de l’entreprise
De nombreuses entreprises ont mis en place des politiques régissant l’utilisation des données et systèmes par leurs salariés. Or, avec les évolutions technologiques constantes, les politiques internes et les réglementations doivent être actualisées. Les règles existantes ont tendance à mettre l’accent sur le coût des appels téléphoniques, et les systèmes sont souvent limités aux ordinateurs portables et aux PC. Dans certains cas, les réglementations sont connues de manière informelle, sur la base des bonnes pratiques en vigueur, mais sans être étayées par une documentation précise. Quelle que soit la situation, les entreprises risquent fort de ne pas être couvertes correctement, alors que les fournisseurs modifient leurs pratiques en matière de licence.
Les salariés considèrent souvent les directives de l’entreprise comme du verbiage administratif – sans toujours réaliser que le non respect des règles internes peut entraîner des risques significatifs pour l’entreprise en termes de conformité, de sécurité et de coûts. Il est important d’élaborer une politique interne qui couvre l’usage des systèmes mobiles, de manière tout aussi complète et sérieuse que celles qui régissent l’utilisation des ordinateurs, des matériels et des logiciels. Un système mobile offre en grande partie les mêmes fonctionnalités informatiques et peut exposer les entreprises aux mêmes types de risques que ceux engendrés avec un ordinateur portable ou un PC. Que va-t-il se passer en cas de perte, de vol ou de détérioration ? L’entreprise a-t-elle la responsabilité de veiller à la mise en place d’une authentification à deux facteurs ? Et qu’en est-il de la remise à disposition du système dont l’entreprise est propriétaire lorsque le salarié s’en va ? Les modalités de retour des systèmes mobiles sont-elles clairement spécifiées dans une section appropriée du règlement interne ?
La politique de l’entreprise doit traiter de manière appropriée le cas des systèmes mobiles et des mots de passe. Prenons le cas d’un salarié disposant d’un terminal COPE qui donne sa démission et quitte l’entreprise. Le terminal en question est un iPhone, avec lequel un identifiant Apple personnel a été utilisé pour accéder au téléchargement des applications et à iCloud. A moins que le salarié concerné ne supprime l’identifiant en rendant son téléphone, celui-ci devient aussitôt un objet totalement inutile. Impossible de le réaffecter à un autre utilisateur tant que l’accès iCloud n’a pas été modifié. Et même une réinitialisation va nécessiter le mot de passe de l’utilisateur.
Contrôler le parc de mobiles
Les solutions de gestion de la mobilité d’entreprise permettent de mettre en œuvre les politiques internes de l’entreprise, que le mobile concerné entre dans la catégorie COPE, BYOD, ou une combinaison des deux. En offrant à l’entreprise une visibilité globale sur les applications du système, les solutions EMM apportent la sécurité, facilitent l’utilisation et la distribution des applications basées sur la fonction, et contrôlent l’accès du parc de systèmes mobiles de l’entreprise aux documents et aux données internes.
L’entreprise peut mettre en place une boutique comportant uniquement des applications approuvées (Liste Blanche). Cette approche permet de s’affranchir par défaut des questions liées aux droits de licence, dans la mesure où toutes les applications proposées sont acquittées et couvertes par une licence, si cela s’avère nécessaire pour une utilisation en entreprise. Si une application ne figurant pas dans le catalogue s’avère nécessaire, l’administrateur (ou le comité autorisant la licence) peut envisager de l’intégrer à l’offre, après contrôle, essais, agrément et licence d’utilisation si nécessaire.
Avec la gestion EMM, les utilisateurs disposent des applications et des systèmes mobiles dont ils ont besoin, les administrateurs conservent une totale visibilité sur le parc de mobiles, sur les applications téléchargées et sur l’utilisation des données. De surcroît, les opérateurs des services d’assistance disposent des informations nécessaires pour résoudre les problèmes d’assistance de premier niveau. C’est pour l’entreprise l’assurance d’économies de temps et d’argent, son parc de systèmes mobiles étant à la fois sécurisé et dûment couvert par les licences d’utilisation requises.