BYOD au travail : comment protéger son téléphone perso quand il devient professionnel

Qu'est-ce que le BYOD (Bring Your Own Device) ?

Le BYOD, pour Bring Your Own Device, se traduit officiellement en français par AVEC : Apportez Votre Équipement personnel de Communication. Derrière ce sigle un peu technocratique, une pratique très simple : l’entreprise autorise ses salariés à utiliser leur propre matériel informatique (ordinateur, tablette, téléphone portable) et à le connecter au système de l’entreprise.

Connecter, ça veut dire partager potentiellement des réseaux, des logiciels et surtout des données. Il existe aussi la variante inverse, celle où l’équipement appartient à l’entreprise mais peut servir à des usages personnels, avec exactement les mêmes questions de frontière.

Et le plus intéressant, c’est qu’on en fait souvent sans y prêter attention. Relever sa messagerie professionnelle sur son téléphone perso, consulter l’agenda partagé de la boîte depuis sa tablette, c’est déjà du BYOD.

Dans beaucoup de petites structures réunionnaises, ce n’est même pas une décision assumée, c’est un glissement : le gérant répond aux clients depuis son mobile personnel le samedi matin, l’assistante ouvre les devis sur l’ordinateur du salon. Aucune ligne n’a été écrite, aucune règle n’a été posée, et pourtant les données de l’entreprise circulent déjà sur du matériel privé.

Pourquoi le BYOD séduit autant employés et entreprises

Côté salarié, l’argument est imbattable : un seul appareil dans la poche. Celui qu’on connaît, dont on maîtrise les réglages, avec ses raccourcis, ses contacts, son clavier configuré comme on l’aime. Personne n’a envie de porter deux téléphones et de se tromper de sonnerie trois fois par jour.

Côté entreprise, l’économie est évidente : pas de parc à acheter, pas de renouvellement à financer, pas de stock de chargeurs et de coques à gérer. Et ici, équiper une équipe en matériel neuf, ce n’est pas juste une ligne de budget : il faut commander, attendre l’acheminement, payer le transport, puis recommencer trois ans plus tard. Beaucoup de dirigeants de l’île préfèrent donc laisser faire, discrètement.

On comprend donc que la pratique soit en forte croissance et globalement appréciée des deux côtés. Le problème n’est pas là. Le problème, c’est qu’elle a un double coût caché : elle affaiblit généralement la sécurité de l’entreprise, et elle menace la confidentialité des données personnelles du salarié.

Autant le savoir avant d’y aller les yeux fermés, plutôt que de le découvrir le jour où l’on perd son téléphone.

Les risques du BYOD pour la sécurité de l'entreprise

Une entreprise qui maîtrise son matériel peut imposer des choses très concrètes : un antivirus actif, le chiffrement du disque dur, un pare-feu, le blocage des ports USB. Elle peut aussi garantir que les mises à jour du système et des logiciels sont bien appliquées, et maintenir un niveau de sécurité homogène sur tout le parc, sans maillon faible.

Sur un appareil personnel, elle n’a ni ce pouvoir, ni souvent le moindre accès. Les équipements sont hétérogènes, plus ou moins à jour, plus ou moins bien protégés. Deux risques concrets en découlent : que l’employé facilite involontairement l’entrée d’un acteur malveillant dans le système de l’entreprise, et qu’il facilite involontairement une fuite de données depuis ce système.

Les moyens de communication sont le point le plus sensible. Utiliser une adresse mail personnelle pour un usage professionnel est à bannir, tout comme la redirection de la messagerie pro vers une messagerie perso type Gmail ou Outlook.com : c’est très répandu, et c’est pourtant l’une des pires idées qui soient.

Pourquoi ? Parce que sur une messagerie personnelle, on ne sait rien de la politique de mots de passe, ni où les messages sont stockés, ni s’ils sont hébergés dans le pays de l’entreprise ou ailleurs, ni si un concurrent pourrait y accéder. En clair : l’entreprise perd la souveraineté sur ses propres données. Et écrire à un client depuis une adresse perso, c’est aussi l’image de la boîte qui prend un coup.

Les risques du BYOD pour la confidentialité du salarié

On l’oublie souvent, mais le salarié a autant à perdre. Le milieu professionnel étant en général mieux sécurisé que le milieu personnel, le risque d’abîmer la sécurité de son propre téléphone en le connectant à l’entreprise reste faible. Le vrai danger, c’est la fuite de ses données privées vers l’entreprise.

Le cas typique est celui du système de sauvegarde professionnel : en sauvegardant les fichiers de travail présents sur l’appareil, il aspire aussi tout le reste. Photos de vacances, dernière analyse de sang, historique des recherches sur un moteur de recherche, revenus d’une petite activité annexe… Certains y verront un avantage (c’est sauvegardé gratuitement), d’autres n’accepteront jamais de voir ça atterrir sur les serveurs de l’employeur.

Ajoutons les moments de vérité : la panne. Quand un appareil doit être ouvert et diagnostiqué, quelqu’un va manipuler son contenu. Ici, où l’on renvoie rarement un appareil vers un service après-vente de constructeur à l’autre bout du monde pour un problème réparable sur place, cette intervention arrive vite, et elle expose tout ce qui n’est pas cloisonné.

Même logique quand on rend un équipement fourni par l’entreprise, parce qu’on en reçoit un plus récent ou parce qu’on quitte la société : si les données personnelles n’étaient pas chiffrées, il faut les effacer de manière sécurisée. Et attention au mail perso utilisé à des fins pro : certaines entreprises revendiquent un droit d’accès dessus, voire souhaitent continuer à l’utiliser après le départ du salarié, alors que le compte a été souscrit à titre strictement personnel.

Équipements nomades et supports amovibles : des dangers spécifiques

Stocker des données professionnelles sur un appareil nomade personnel cumule deux faiblesses : il est probablement moins bien protégé qu’un matériel pro, et il va se promener dans des endroits peu sécurisés. Le coffre de la voiture, le sac de plage, le casier de la salle de sport, la table d’un restaurant.

La clé USB personnelle est le grand classique. Sans bureau ni portable fourni, on copie les dossiers pour travailler chez soi… et la clé glisse de la poche sur le parking en enfourchant le scooter. Dans le meilleur des cas, quelqu’un la rapporte à l’accueil et on s’en tire avec une remontée de bretelles. Dans le pire, les dossiers sont dans la nature. L’usage de supports amovibles personnels pour des activités professionnelles est à proscrire, et dans le sens inverse aussi : la clé qui a circulé de main en main entre copains avec les photos de la dernière soirée finira un jour sur un poste de l’entreprise, avec un virus en bonus.

Si vous êtes autorisé à sortir des données du bureau, la règle est simple : chiffrez-les, pendant le transport comme pendant le stockage. Des outils de natures très différentes le permettent facilement, comme 7-Zip, PGP ou VeraCrypt.

Le téléphone mérite le même examen. La synchronisation automatique avec un compte cloud personnel peut faire sortir des informations de l’entreprise sans que personne ne s’en aperçoive. La géolocalisation active trace vos lieux de passage, donc, par déduction, les adresses des clients visités si votre compte est piraté. Et si vous perdez l’appareil sans code PIN ni biométrie, ou avec un code de carte SIM resté à 0000, tout le carnet d’adresses part avec.

Dernier réflexe, celui qu’on saute presque toujours : déclarer l’incident. Même quand l’appareil perdu est personnel, même quand on le retrouve. Un téléphone « retrouvé sur un parking » et gentiment rapporté peut très bien avoir été discrètement dérobé, copié, puis remis en circulation. Ne rien dire à l’entreprise, c’est la priver de toute possibilité de réagir.

Ne jamais confondre équipement personnel et équipement familial

Voilà la nuance la plus souvent ratée. Pratiquer le BYOD ne signifie pas que l’appareil devient l’équipement de la maison. Un ordinateur, une tablette ou un téléphone utilisé dans un cadre professionnel ne doit pas être manipulé par toute la famille : ces personnes ne sont ni autorisées à accéder aux données, ni sensibilisées à la sécurité.

Concrètement, l’appareil ne doit surtout pas devenir la console de jeux des enfants ou l’écran à dessins animés des vacances. Et sur l’île, l’appareil unique est plus la règle que l’exception : une alerte cyclonique, tout le monde enfermé à la maison, plus d’électricité par intermittence, et la tablette de travail devient le seul divertissement disponible. C’est humain, mais c’est exactement le moment où ça dérape.

Les bêtises ne sont pas forcément spectaculaires, juste embarrassantes. Un petit qui envoie un gentil message depuis le téléphone de sa mère… au chef de sa mère. Une manipulation malheureuse qui efface un dossier. Une pièce jointe ouverte par curiosité.

Si l’appareil doit malgré tout être partagé, la parade minimale est un compte utilisateur distinct par personne. Cela sépare les données de navigation (historique, cookies, favoris, mots de passe enregistrés dans le navigateur), évite qu’un enfant supprime par mégarde des fichiers importants, et rend les documents confidentiels inaccessibles aux autres utilisateurs. Pour les personnes de passage qui veulent juste un accès Internet, un compte « invité » dédié suffit.

Éteindre son téléphone en réunion confidentielle : une règle d'hygiène numérique

Celle-là fait toujours sourire, jusqu’au jour où un enregistrement circule. La présence de téléphones personnels dans un cadre professionnel augmente mécaniquement le risque d’enregistrement à l’insu des personnes présentes.

Et le raisonnement ne tient pas seulement au piratage. Indépendamment du fait qu’un téléphone peut être compromis, autoriser les appareils en réunion permet à n’importe qui, avec ou sans intention malveillante, d’enregistrer discrètement les échanges. Un simple appui sur un bouton, l’appareil posé écran contre table.

D’où la règle : lors d’une réunion dont le contenu est confidentiel, on éteint son téléphone. Pas en silencieux, pas en vibreur : éteint. Un appareil allumé reste par ailleurs localisable par l’opérateur téléphonique, ce qui n’est pas neutre non plus quand on discute d’un dossier sensible ailleurs qu’au bureau.

Nota Bene : le mode avion est un intermédiaire utile à connaître. Un téléphone en mode avion peut encore se géolocaliser lui-même, mais il ne peut plus être géolocalisé par l’opérateur, puisqu’il ne parle plus aux antennes. En revanche, il peut toujours enregistrer du son. Pour une réunion confidentielle, seule l’extinction complète répond au besoin.

Sensibiliser les employés plutôt que les administrateurs systèmes

Les guides techniques destinés aux administrateurs de systèmes existent en quantité, et ce n’est pas le sujet ici. Le maillon décisif, dans le BYOD, c’est l’utilisateur : celui qui branche, synchronise, transfère, redirige, prête son appareil. C’est lui qui a besoin de bonnes pratiques applicables tout de suite.

Cela vaut d’autant plus dans une bonne partie du tissu économique de l’île, où l’on travaille à trois, cinq ou huit personnes, sans service informatique, sans responsable de la sécurité, parfois sans personne à qui déclarer quoi que ce soit. Chacun est de fait son propre administrateur, avec les moyens du bord et les connaissances qu’il a.

Autrement dit, la sécurité ne se délègue pas : elle se pratique. Les cyberattaques exploitent presque toujours une faiblesse humaine à un moment de leur déroulement, et c’est justement là que quelques réflexes bien ancrés changent tout.

Gardez donc en tête les deux faces du risque quand vous pratiquez le BYOD : vous pouvez involontairement ouvrir une porte vers le système de votre entreprise ou laisser fuir des données sensibles, et vous pouvez aussi, dans l’autre sens, exposer votre vie privée à votre employeur.

Bonnes pratiques pour séparer durablement vie privée et vie professionnelle

Rien de tout cela n’exige d’être informaticien. Il s’agit surtout de décisions prises une fois, puis tenues.

• Une messagerie pour chaque monde. Jamais d’adresse personnelle pour le travail, jamais d’adresse professionnelle pour la famille et les amis, et surtout aucune redirection de la boîte pro vers Gmail, Outlook.com ou équivalent.
• Verrouiller l’appareil pour de vrai. Code PIN ou biométrie activés, et un code de carte SIM qui n’est pas 0000.
• Chiffrer ses données personnelles sur l’appareil, et chiffrer les fichiers professionnels que l’on transporte (7-Zip, PGP, VeraCrypt font l’affaire).
• Bannir les supports amovibles personnels pour le travail, dans les deux sens : pas de dossiers pro sur la clé de la maison, pas de clé qui a traîné entre copains sur un poste de l’entreprise.
• Couper la synchronisation cloud personnelle pour tout ce qui touche aux fichiers professionnels, et limiter les permissions des applications : n’accordez géolocalisation, micro, caméra ou accès aux fichiers que si l’application en a réellement besoin pour ce que vous en faites.
• Un compte par utilisateur si l’appareil est partagé, et pas de manipulation par les enfants.
• Éteindre le téléphone lors des réunions confidentielles.
• Déclarer tout incident (perte, vol, appareil retrouvé, doute sur une pièce jointe), même sur du matériel personnel.
• Effacer de manière sécurisée ses données personnelles avant de restituer, de revendre ou de faire recycler un appareil qui a servi au travail.

Nota Bene : supprimer un fichier et l’effacer de façon sécurisée ne sont pas la même opération. La suppression classique retire simplement la référence au fichier, dont le contenu reste souvent récupérable. L’effacement sécurisé, lui, réécrit l’espace concerné. La solution la plus confortable reste d’avoir chiffré ses données dès le départ : le jour où l’appareil change de mains, il n’y a plus grand-chose à récupérer.

Le fil conducteur de tout ça tient en une phrase : décidez à l’avance où passe la frontière, et faites en sorte que la technique la respecte à votre place. Une messagerie par usage, un chiffrement en place, un verrouillage actif, un appareil que personne d’autre ne manipule.

Si vous ne devez retenir que trois gestes, prenez ceux-ci : supprimez toute redirection de votre messagerie professionnelle vers votre boîte personnelle, vérifiez ce que votre appareil synchronise réellement dans le cloud, et arrêtez de faire voyager des dossiers de travail sur une clé USB non chiffrée. C’est faisable en une soirée, et ça évite une très mauvaise semaine.