Comment sécuriser des smartphones en entreprise ?

© liewcf - Flickr - C.C.

ENTRETIEN  La Cnil a publié le 13 décembre une étude alarmante sur les smartphones et la protection des données privées. Dans la vie professionnelle, la situation n'est pas plus rassurante. Entretien avec Pascal Lointier, président du Club de la sécurité de l'information français (Clusif).

L'Usine Nouvelle - Comment sont sécurisés les outils mobiles dans les sociétés ?
Pascal Lointier - Dans les entreprises, nous avons assisté à l'émergence d'un nouveau concept : la consumérisation de l'IT. Une idée résumée en une phrase : "bring your own device".

Auparavant, c'était l'entreprise qui gérait l'intégralité de son parc informatique. Aujourd'hui, les salariés demandent à utiliser leur propre matériel dans leur cadre professionnel. Résultat : des informations professionelles sont contenues dans des téléphones qui, par conception, ne peuvent pas être sécurisés.

Quel est exactement le problème que posent les appareils des salariés ?
Les tablettes tactiles ou les smartphones permettent d'embarquer beaucoup d'informations. Mais à la base, vous ne pouvez pas sécuriser ce genre de matériel. Apple et Google ont conçu leurs systèmes pour pouvoir accéder à toutes les données qu'ils contiennent, jusqu'à la position géographique, pour conaître vos habitudes de consommation.

Certaines applications peuvent récupérer vos contacts, vos mots de passes. Certain vont jusqu'à utiliser les téléphones pour envoyer des SMS et des emails.

De plus 20% des programmes proposés dans les appstores sont considérés comme malveillants. Quand une personne dont le téléphone est infecté se connecte au réseau de l'entreprise, tout devient possible.

Pour reprendre le contrôle d'un iPhone, il faut le jailbreaker. Sur Android, il faut passer en mode administrateur Root. Ces opérations sont très délicates, et différentes selon les modèles.

Quelle est la réaction des entreprises ?
Une énorme perplexité, une gestion dans l'urgence. Les responsables de la sécurité sont sollicités par des cadres pour donner l'accès aux données pros sur le matériel personnel. Ce phénomène s'est mis en place très rapidement, particulièrement en ce qui concerne les tablettes. Les responsables, pris par le temps, doivent donc accepter de transférer des données puis essayer de sécuriser la situation.

Comment ?
Une des solutions les plus crédibles consiste à créer une bulle virtuelle, dans laquelle les données professionnelles sont sécurisées. Il existe deux manières de gérer cette bulle. Premièrement, on peut créer un environnement virtuel où stocker les données sensibles, informations qui seront automatiquement effacées lors de la déconnexion. Mais comme il peut être utile de travailler "offline", il existe une autre méthode : créer deux environnements séparés sur le smartphone, l'un dédié à l'utilisation personnelle et l'autre au professionnel. Il est alors impossible de transférer des fichiers d'une zone à l'autre.

Il faut que les entreprises sachent qu'il existe des solutions pour mettre en place ces bulles de sécurité. La situation est sérieuse, beaucoup de données ne sont pas suffisament protégées. Mais les choses avancent : la tendance n'est plus de sécuriser l'équipement, mais l'information.

Propos recueillis par Rémy Maucourt

Retrouvez sur le site du Clusif une présentation dédiée à ce sujet : Smartphones : les paradoxes d'une mise en sécurité.