Bring your own device

Selon Winn Schwartau, 25 % des salariés propriétaires de mobiles et pratiquant le BYOD perdent au moins une fois leur smartphone. Cela implique que des données professionnelles peuvent être perdues et en accès libre à celui qui trouvera cet appareil.

Les employés d’une entreprise ayant mis en place le BYOD, peuvent se connecter au réseau de celle-ci, cela inclut donc plusieurs connexions entrantes sans pour autant être contrôlées et donc de nombreux risques d’intrusions dans le réseau de la société. À noter aussi que les nombreuses connexions Wi-Fi des salariés avec leurs outils de travail peuvent entraîner une trop grosse demande en bande passante et par conséquent des latences sur les réseaux ou des déconnexions, cela entraînant parfois des pertes de données.

Ces appareils personnels sont par nature non prévus pour un usage professionnel mais un usage personnel. Il en résulte qu’ils n’ont pas toutes les sécurités nécessaires à l’usage professionnel puisque les systèmes d’exploitation ne sont pas prévus à cet effet. On remarque donc pour la plupart l’absence de pare-feu ou de chiffrement des données, le problème de pertes de données est en partie provoqué par cela. Selon Winn Schwartau : « Nobody controls his devices at 100% » (« personne ne contrôle ses appareils à 100 % »)[5].

Patrick Pailloux, directeur général de l’Agence nationale de la sécurité des systèmes d'information (ANSSI) de 2009 à 2014, se positionne clairement en 2012 contre l’usage de BYOD lors d’un discours des assises de la sécurité IT, en affirmant qu’il fallait « entrer en résistance vis-à-vis de la liberté totale de l’usage des nouvelles technologies en entreprise » et que « la sécurité c’est aussi le courage de dire non ». Il continue ensuite son discours en illustrant ses propos, par des exemples qui montrent la dangerosité de BYOD dans le monde professionnel[6]. L’ANSSI publie également une note en mai 2013 destinée aux DSI (direction des systèmes d’information) où elle met en évidence le fait qu’il est impossible d’avoir un haut niveau de sécurité avec un ordinateur ou une tablette ordinaire[7]. Patrick Pailloux a certes infléchi légèrement son discours en 2013, où il s’est dit ne pas être opposé à l’utilisation d’appareils grand public dans les entreprises, si ceux-ci étaient passés dans les mains de la DSI. La position de l’ANSSI, notamment à travers son directeur général, reste clairement contre l’usage du BYOD en entreprise pour des raisons de sécurité[8].

Guillaume Poupard, son successeur à la tête de l'ANSSI, présente une position plus ouverte lors des Assises de la sécurité IT organisées à Monaco en octobre 2014[9].

Choose your own device[10] (en français, « sélectionnez votre appareil personnel » ou SAP)[11]. Cette optique propose aux salariés de choisir leurs propres appareils parmi un catalogue de terminaux approuvés par l’entreprise. Ainsi, ceux-ci sont paramétrés, approuvés et intégrés à la société qui s’évite donc tout problème lié à la législation et à la protection des données. Le matériel choisi reste par contre uniquement professionnel et propriété de l’entreprise. Si cette solution est de plus en plus envisagée, elle n’est pas aussi satisfaisante que le BYOD pour les salariés mais bien plus sécurisante pour les sociétés.

Corporate owned, personally enabled (en français, « voici votre appareil personnel » ou VAP)[12]. Le VAP prend le contrepied du PAP (en anglais BYOD) et garde le principe du matériel professionnel acheté par l’entreprise. Cela conserve les mêmes avantages vus pour le SAP (en anglais CYOD) mais avec un terminal qui peut aussi être utilisé personnellement par le salarié.

Le principe : on désolidarise l’environnement de travail du poste de travail. Les données ne sont plus stockées au sein de l’entreprise mais sur un serveur accessible de partout aux salariés et de n’importe quelle sorte de terminal, le cloud. Cela permet une réduction des coûts mais aussi une sécurité importante, la DSI pouvant isoler le terminal d’accès du serveur.