Comment sécuriser le BYOPC/BYOD?
S’étant largement démocratisé ces dernières années en raison du confinement inattendu et massif de la première vague épidémique de Covid-19, le BYOPC (Bring Your Own PC) devient aujourd’hui un vrai sujet pour les départements informatiques des organisations, pour qui cette pratique apporte autant de solutions organisationnelles qu’elle ne génère d’enjeux pour la sécurité du système d’information. S’il est généralement déconseillé de laisser des collaborateurs utiliser leur ordinateur personnel pour accéder aux applications et ressources de leur organisation, il existe aujourd’hui des solutions permettant de sécuriser cette pratique.
Qu’est-ce que le BYOPC/BYOD ?
Le BYOPC est un sous-ensemble du BYOD (Bring Your Own Device) qui se concentre sur les ordinateurs personnels, incluant notamment les PC Windows ou les Macs. Il s’agit donc, pour des collaborateurs, d’utiliser leur ordinateur personnel, pour accéder au système d’information de leur organisation, depuis les locaux de leur entreprise, de chez eux ou encore en situation de mobilité et ce, de manière habituelle ou exceptionnelle (en complément de l’utilisation d’un ordinateur professionnel).
D’après une étude du Gartner, d’ici fin 2022, plus de 50% des entreprises permettront la mise en place d’une politique de BYOPC, contre moins de 20% début 2020. Cette perspective fait notamment écho aux confinements généralisés de 2020 qui ont obligé de nombreuses organisations à laisser leurs collaborateurs accéder au système d’information depuis des ordinateurs personnels pour faire face au manque de disponibilité d’ordinateurs portables maitrisés par la DSI et ainsi garantir la continuité de leur activité.
Quels enjeux pour la sécurité du système d’information ?
En situation de BYOPC, le département informatique d’une organisation ne « maîtrise » pas le poste de travail du collaborateur. S’il n’utilise pas de solution appropriée à cette situation spécifique, le département informatique n’est alors pas en mesure de garantir l’intégrité du poste du collaborateur. Si un malware est présent sur son ordinateur personnel, celui-ci pourra alors facilement se répandre dans l’ensemble du système d’information dès lors que l’utilisateur se connecte aux ressources de l’organisation.
Cela s’est notamment vérifié pendant la période de confinement lors de laquelle le nombre de télétravailleurs a plus que doublé en l’espace de seulement quelques jours. Un grand nombre de ces collaborateurs ont été contraints d’utiliser leurs ordinateurs personnels, compte tenu du manque de disponibilité d’ordinateurs portables professionnels (maîtrisés par la DSI). Ainsi pendant la période de confinement de mars à mai 2020, le nombre d’attaques informatiques a explosé, très largement favorisé par le télétravail et la porosité entre les usages personnels et professionnels d’un même ordinateur. La période de confinement a également permis aux hackers de s’implanter durablement et en toute discrétion dans des systèmes d’information d’organisations, afin d’attaquer et rançonner celles-ci plusieurs semaines voire plusieurs mois après pénétration dans le SI.
Sécuriser l’accès au SI depuis un poste personnel
La sécurisation du BYOPC est néanmoins possible, notamment via l’utilisation d’une solution ZTNA (Zero Trust Network Access), bien plus adaptée au BYOPC que le VPN : là où le VPN donne accès à un réseau, le ZTNA donne accès à une application ou une ressource, ce qui permet une granularité des accès et un meilleur cloisonnement du système d’information de l’organisation. Applicable à tous les utilisateurs (internes ou externes à l’organisation, utilisant un poste maîtrisé ou non), le recours au ZTNA devient indispensable lorsqu’il est question de BYOPC.
cyberelements, en tant que plateforme SaaS Zero Trust, permet de sécuriser le BYOPC. Un contrôle de conformité du poste peut notamment être activé afin de valider, par exemple, la présence d’un antivirus, d’un firewall ou des mises à jour et ce, pour s’assurer de la bonne gestion du poste non maîtrisé par la DSI. Les politiques d’accès peuvent être définies en fonction du niveau de confiance accordé au contexte de sécurité du terminal utilisateur : par exemple, un employé en télétravail disposera de moins de droits qu’au bureau pour accéder aux actifs critiques de l’organisation.