High-Tech

Entre le télétravail et la hausse du niveau d’équipement informatique des particuliers, il arrive souvent qu’un salarié utilise son propre ordinateur pour accomplir une tâche professionnelle. Un mélange des genres qui peut mettre en danger les données de l’entreprise. Explications.

Le BYOD ?

Le BYOD, pour « bring your own device » ou « apportez votre propre matériel », sur votre lieu de travail (ou l’utiliser chez vous en télétravail), est une pratique qui s’est fortement développée depuis que les smartphones, les ordinateurs portables et les tablettes se sont invités dans les foyers français. Un choix fait par ceux qui estiment (souvent à juste titre) que leur propre matériel est plus performant que celui fourni par l’entreprise ou qui souhaitent, via un seul et même outil, mener de front à la fois leurs activités professionnelles et leurs activités personnelles.

Or cette pratique n’est pas sans risque dans la mesure où elle met l’entreprise dans l’impossibilité d’assurer la protection de son réseau et des données qui y sont stockées. L’entreprise est ainsi exposée à la perte des données qu’abrite la machine de son collaborateur en cas de panne, de perte ou de vol, à des intrusions réalisées par des hackers via cette machine, à des atteintes à la confidentialité des données stockées ou encore à la contamination du réseau par un malware.

La tentation d’interdire cette pratique

Assurer la sécurité d’un réseau suppose d’avoir la main sur chacune de ses composantes. Or, ce n’est plus le cas avec le BYOD. Raison pour laquelle dans ses « recommandations pour la protection des systèmes d’information essentiels », l’Agence nationale de la sécurité des systèmes d’information (Anssi) considère qu’un « SI maîtrisé ne peut intégrer les pratiques de bring your own device (BYOD) où des personnes peuvent connecter au SI des équipements personnels dont l’opérateur ne maîtrise pas le niveau de sécurité ».

Concrètement, pour l’Anssi, un poste maîtrisé est « un poste de travail fourni, configuré et maintenu par l’opérateur. D’une part, il ne peut s’agir d’un équipement personnel et d’autre part, l’utilisateur ne peut être administrateur du poste, le niveau de sécurité pouvant alors être directement modifié par l’utilisateur ».

Dans une optique purement sécuritaire, le BYOD est donc à proscrire.

Le choix des collaborateurs

Du côté des collaborateurs, plusieurs éléments expliquent le recours à des solutions logicielles ou matérielles autres que celles de l’entreprise :
– Le fait d’ignorer que ces pratiques sont interdites ou non recommandées ;
– L’impossibilité de ramener chez soi le matériel informatique de l’entreprise ;
– L’obsolescence ou la moindre qualité du matériel ou des solutions logicielles mis à disposition par l’entreprise ;
– Un excès de règles de sécurité qui dégradent les conditions d’utilisation des matériels et logiciels fournis ;
– Le refus d’utiliser plusieurs outils, notamment plusieurs smartphones.

Des motivations fortes et cohérentes qui doivent être prises en compte par les entreprises avant d’envisager une simple interdiction du BYOD. Car interdire le BYOD, sans autre forme de procès, les expose au « Shadow IT », autrement dit à devoir faire face à l’utilisation non déclarée de matériels et de logiciels de communication. Une pratique encore plus à risque pour l’entreprise car totalement clandestine.

Le recours au COPE…

Pour limiter ces risques du BYOD « clandestin », l’entreprise dispose de deux possibilités. La première consiste à proscrire l’utilisation d’une machine personnelle dans le cadre professionnel. Mais attention, cette exigence, comme nous l’avons déjà évoquée, ne sera entendue qu’à la condition que le matériel fourni soit aussi performant et convivial que celui du salarié.

Une phase d’échange devra donc être engagée pour mieux comprendre les besoins des collaborateurs, mais aussi pour leur rappeler les dangers que l’utilisation d’une machine ou d’un logiciel « extérieur » fait peser sur l’entreprise.

En outre, il conviendra d’autoriser les collaborateurs, dans un cadre restreint et sécurisé, à utiliser le matériel de l’entreprise pour mener quelques actions privées. On parle ici de COPE (« corporate owned, personally enabled » ou « propriété de l’entreprise avec accès privé »).

Ces échanges déboucheront sur la rédaction d’une charte définissant les règles d’utilisation du matériel de l’entreprise à des fins personnelles.

… ou au BYOD très encadré

La seconde solution revient à autoriser le collaborateur à utiliser son propre matériel à titre professionnel, mais uniquement si ce matériel peut être sécurisé par l’entreprise et que son usage soit encadré.

L’idée étant ici de protéger les données professionnelles traitées via l’appareil du collaborateur, mais aussi de consolider la frontière entre les usages et les données professionnelles et personnelles. Voici 5 grandes règles rappelées par la plate-forme gouvernementale Cybermalveillance.gouv.fr sur sa fiche dédiée à la sécurité des usages pro-perso.

Utiliser des adresses de courriel différentes

Une erreur de manipulation peut conduire à adresser un courriel à la mauvaise personne (un message intime à un collègue ou à un prestataire, un dossier professionnel confidentiel à une connaissance). En outre, les risques de voir sa messagerie piratée sont plus importants lorsque l’on utilise des services gratuits. Deux raisons qui plaident pour que l’on ne mélange pas sa messagerie personnelle et sa messagerie professionnelle.

Distinguer les espaces de stockage en ligne

Certains espaces de stockage (Dropbox, Drive…) sont utilisés par des particuliers en raison de leur praticité, mais également de leur gratuité. Mais là encore, leur utilisation pour stocker des données professionnelles, surtout sensibles comme par exemple des fiches clients, des contrats, doit être interdite. Les données professionnelles ne doivent être enregistrées que sur les serveurs sécurisés de l’entreprise (physique ou cloud).

Dans le même esprit, aucune donnée professionnelle ne doit être enregistrée sur le disque dur de la machine au risque d’être perdue ou exposée en cas de panne, de perte ou de vol.

Utiliser des mots de passe différents

La tentation est forte d’utiliser le même mot de passe pour l’ensemble de ses comptes sécurisés. Toutefois, cette pratique est fortement déconseillée dans la mesure où si ledit mot de passe vient à être découvert, toutes les données se trouvent en danger : les données personnelles, mais également celles de l’entreprise. L’utilisation d’un mot de passe différent pour chaque type de compte est donc nécessaire.

Ne pas installer n’importe quel logiciel

Certains logiciels ou applications mis gratuitement à disposition sur internet ou sur des plates-formes de téléchargement peuvent contenir des virus ou des fonctions destinées à espionner leurs utilisateurs. Raisons pour lesquelles il convient d’être très prudent et de n’installer sur les machines utilisées pour des usages pro-perso que des programmes provenant de plates-formes ou d’éditeurs ayant pignon sur rue.

Assurer les mises à jour de sécurité

Comme pour les machines de l’entreprise, les mises à jour de sécurité (systèmes d’exploitation, logiciels anti-malwares, navigateurs…) doivent être installées dès leur publication. Adopter une mise à jour automatique est ici conseillée.

Là encore, une charte définissant les conditions d’utilisation des machines BYOD devra être mise en place dans l’entreprise.

Qu’est-ce que le bitcoin ?

Le bitcoin est une monnaie électronique émise et contrôlée non pas par une banque centrale comme l’euro, le dollar ou le yen, mais par un algorithme présent sur un réseau informatique décentralisé (composé d’une multitude d’ordinateurs reliés les uns aux autres sans serveur). Pour ses créateurs, cette décentralisation fait du bitcoin une monnaie qui ne peut être instrumentalisée par les États. Sa valeur n’est donc définie que par l’offre et la demande. Le principe de fonctionnement du bitcoin a été rendu public en 2008 par Satoshi Nakamoto (on ignore qui se cache derrière ce pseudonyme).

Pourquoi dit-on qu’il est inviolable ?

Pour garantir l’inviolabilité du mécanisme de création de monnaie et des échanges réalisés en bitcoins, ses créateurs ont utilisé un algorithme, baptisé blockchain (chaîne de blocs), dont le fonctionnement est sécurisé et transparent. Sur le principe, chaque fois qu’une opération intervient en bitcoins, elle est validée, cryptée, puis enregistrée dans un bloc qui va être relié à la fameuse chaîne qui n’est autre qu’une base de données morcelée consultable par tous. Toutes les opérations réalisées en bitcoins depuis 2009 y sont enregistrées.

La fameuse blockchain empêche-t-elle les vols de bitcoins ?

Malheureusement non. La blockchain offre une protection robuste du cœur du système en enregistrant, de manière indélébile, toutes les créations de bitcoins et l’ensemble des échanges. En revanche, elle ne peut garantir le bon fonctionnement et l’inviolabilité des intermédiaires techniques (les fameuses plates-formes dont les plus connues sont Coinbase, Binance ou encore Kraken). Des plates-formes par lesquelles chaque acheteur/vendeur de bitcoins ou de toute autre cryptomonnaie va devoir passer. Une de ces plates-formes, Poly Network, spécialisée dans l’interopérabilité des blockchains, a d’ailleurs récemment été victime d’un piratage record de 600 M$. Et si tout s’est bien terminé cette fois pour les détenteurs de cryptoactifs utilisant cet outil (le pirate a rendu les cryptoactifs en contrepartie d’une prime de « bug » de 500 K$), ce n’est pas toujours le cas. En août 2016, Bitfinex, un autre intermédiaire, s’était ainsi fait dérober près de 120 000 bitcoins. L’équivalent de 69 M$ de l’époque et de 5,4 Md$ au cours actuel du bitcoin…

Existe-t-il d’autres cryptomonnaies que le bitcoin ?

Le bitcoin est la plus ancienne et la plus connue des monnaies électroniques, mais ce n’est pas la seule. CoinMarketCap, le site de suivi des prix des cryptoactifs en recensait, le 15 août dernier, pas moins de 6 061 pour un montant global de 1 990 Md$. Près de 44 % de ces presque 2 000 Md$ de capitalisation sont représentés par des bitcoins et 19 % par les Ethereums, autre cryptomonnaie vedette.

Que peut-on acheter avec des bitcoins ?

Un certain nombre de commerçants dans le monde acceptent les paiements en bitcoins. Toutefois, cet usage « monétaire » est devenu très minoritaire. Désormais, le plus souvent, le bitcoin est détenu, sur du long terme, comme un actif susceptible de générer de fortes plus-values à la revente. Et pour cause : son cours, défini par l’offre et la demande, est passé, en seulement 11 ans, de 0,01 $ à plus de 45 000 $. Une évolution astronomique (jalonnée de crises) qui aiguise l’appétit des investisseurs et inquiète certains économistes qui craignent qu’un jour, cette bulle n’éclate. Une bulle qui pesait, à la mi-août, autour de 860 Md$ !

Pour mémoire, la valeur des cryptomonnaies n’est pas toujours basée sur l’offre et la demande. Certains cryptoactifs, appelés « stablecoins » sont adossés à des actifs traditionnels ce qui les rend peu volatiles (même si aucune garantie de cours n’est offerte à leur détenteur). C’est le cas notamment du tether dont la valeur est en grande partie basée sur celle du dollar. Les tethers sont d’ailleurs régulièrement utilisés par les investisseurs dans les cryptoactifs comme valeur refuge. Selon CoinMarketCap, le tether est la cryptomonnaie qui enregistre les plus gros volumes d’échanges quotidiens devant le bitcoin.

Qui émet les bitcoins ?

L’administration de cette cryptomonnaie est « assurée » directement par certains utilisateurs. Concrètement, ces personnes mettent à disposition la puissance de calcul de leurs équipements informatiques. Cette puissance de calcul est alors utilisée pour réaliser les opérations de validation des transactions qui garantissent « l’inviolabilité » de la blockchain sur laquelle s’appuie la monnaie électronique. En contrepartie, ces « mineurs » (c’est ainsi qu’ils sont appelés) se voient attribuer des unités monétaires, créées pour l’occasion. Aujourd’hui, il existe un peu plus de 18,7 millions de bitcoins. Au total, 21 millions de bitcoins seront « frappés » à échéance 2140.

Est-ce que les bitcoins polluent ?

Le processus de validation des transactions réalisées en bitcoins nécessite, pour garantir leur inviolabilité, des calculs très lourds qui mobilisent de très nombreux ordinateurs reliés à la blockchain. Selon l’université de Cambridge, en 2021, la consommation électrique pour gérer le réseau bitcoin pourrait dépasser les 100 TWh, soit l’équivalent de 25 % de la consommation de la France !