Mobilité et sécurité en entreprise, le nouveau casse-tête

« Il faut bien reconnaître que les attaques depuis les équipements mobiles de type smartphones et tablettes sont jusqu'à présent peu fréquentes au sein des entreprises » constate Florian Malecki, responsable produit sénior chez SonicWall (en illustration). Depuis 2004 et l'apparition du premier virus identifié pour téléphone portable (le ver EPOC/Cabir sous Symbian qui se propageait par connexion Bluetooth), peu d'attaques ont été relevées sur les téléphones, les smartphones ou les tablettes. Il y a bien eu la famille des malware Android.Spy ciblant les systèmes Android (récupération et modification des contacts et des messages, localisation du smartphone et auto paramétrage) ou plus récemment les fameux flash code. Ces derniers se propagent lors de téléchargements d'applications gratuites sur des sites généralement peu fiables. Ces codes peuvent contenir des adresses web, du texte, des numéros de téléphone, des SMS, ou autres types de données que les fraudeurs utilisent pour véroler le système.

Ces attaques peu fréquentes et peu dévastatrices ne doivent cependant pas être sous-estimées et les principales plateformes mobiles (Blackberry, iOS, Android, Symbian, Windows Phone) restent vulnérables même si elles sont réputées plus sûres que celles des PC traditionnels. Et pour cause, l'usage de ces plateformes dans les entreprises explose. «La multiplication de l'usage de ces terminaux en entreprise génère bien sûr plus de cybercriminalité, surtout si par exemple, les terminaux sous iOS, considérés nativement sûrs, sont jailbreakés. Une étude IBM via la X-Force indique que les vulnérabilités pour les équipements mobiles sont passées de moins de 20 à plus de 200 entre 2006 et 2011, soit 10 fois plus. Certes, il n'y a pas encore eu de vraies attaques industrielles. Toutefois, comme le trafic explose, les terminaux mobiles sont plus exposés» alerte Loic Le Guézo, directeur technique des solutions de sécurité d'IBM France.

Le phénomène « BYOD » engendre les plateformes multi-OS

Rien que pour les tablettes, Gartner a estimé qu'il s'en écoulerait en 2011 54,8 millions d'unités dans le monde, soit une progression des ventes de 181% par rapport à 2010. Et, selon le cabinet Deloitte, 25% de ces tablettes sont destinées aux entreprises. Le même phénomène se produit avec les smartphones. Cette forte pénétration des équipements mobiles dans les entreprises est en parti due au phénomène du « BYOD » (ou Bring your Own Device) qui a gagné l'Europe et la France. Le BYOD signifie que les salariés, souvent très jeunes, amènent et utilisent régulièrement leurs propres équipements informatiques (smartphones, PC portables, etc..) pour accéder aux applications et aux outils collaboratifs de leur entreprise.

Selon une étude menée par IDC, 70% des employés utilisent leur propre smartphone ou tablette pour leur activité professionnelle. Résultat : ce n'est plus une seule plateforme mobile qui domine dans les entreprises, mais deux, trois voire quatre qui coexistent. Selon IDC, en 2011, 44% des entreprises font cohabiter plus de quatre systèmes d'exploitation mobiles différents. Cette diversité fragilise la sécurité informatique dans l'entreprise, déjà par une augmentation importante des vols de ce type d'équipements et par des attaques sûrement plus nombreuses dans l'avenir. Une étude réalisée par Lexsi, un cabinet de conseil en sécurité informatique vient confirmer ce manque de sécurité. Ainsi, si 60% des entreprises déclarent accepter l'intégration des smartphones personnels pour manipuler des données professionnelles, seulement 4% de ces smartphones sont protégés par des solutions de sécurité.

« Avec le phénomène du BYOD, les entreprises font face à de nouvelles questions de sécurité liées à davantage de liberté du côté de l'utilisateur et donc de son comportement » confirme Florian Bienvenu, VP Europe de Sud de Good Technology. Et de conclure « à terme, l'entreprise n'investira plus dans les équipements mobiles, mais elle devra gérer et sécuriser les terminaux privés de leurs salariés, ça sera un accord donnant-donnant, le salarié sera autorisé à utiliser son terminal et l'entreprise s'engage à le sécuriser et à ne pas toucher ses données personnelles».

Encadré : L'usage des terminaux mobiles fait peur aux entreprises !

Selon un sondage réalisé par YouGov pour Citrix Online auprès de 700 petites et moyennes entreprises d'Allemagne, de France et du Royaume-Uni, 39% des entreprises françaises craignent des fuites de données liées à un accès à distance au réseau de l'entreprise et 36% d'entre elles estiment que l'usage de terminaux personnels entraine le téléchargement non contrôlé d'applications mobiles, susceptibles alors d'ouvrir une brèche dans la sécurité de l'entreprise. Pour McAfee et le centre de recherche de l'université Carnegie Mellon, via leur étude intitulée « la sécurité mobile et la consumérisation de l'informatique », les pertes ont des conséquences financières sur l'entreprise dans un cas sur trois. Parmi les informations les plus « fuitées » : les données clients (40%), les données relatives à la propriété intellectuelle de l'entreprise (30%), les données financières (15%) et enfin les données d'emploi (10%).

La diversité des plateformes mobiles, surtout celles sous Apple iOS et sous Android, impose aux entreprises de trouver les bons outils pour garantir la sécurité des données. « Avec le phénomène BYOD,  les entreprises doivent séparer les données personnelles et professionnelles, un outil de gestion des terminaux est donc devenu indispensable » constate Florien Bienvenu, VP Europe du Sud de Good Technology. Un avis que partage Charles Gresset, directeur technique et des services d'Econocom Telecom Services qui insiste sur le fait que de disposer d'outils de gestion (MDM pour Mobile Device Mangement) est aujourd'hui un prérequis de base. C'est extrêmement préjudiciable de partir sans ces types d'outils, car les terminaux, essentiellement les smartphones (hormis Blackberry et iOS, depuis la version 4.0), ne permettent nativement pas la séparation des données professionnelles et personnelles.

Sur le marché, il existe aujourd'hui de nombreuses solutions qui répondent à cette problématique. Citons ainsi la solution Good for Enterprise de Good Technology, une suite mobile multiplateforme (iPhone, Android et Windows Phone) qui consiste en la conteneurisation des données de l'entreprise. Dans le détail, cette suite prend en charge la séparation des données personnelles de celle de l'entreprise, la sécurisation et la prévention des pertes de données au niveau applicatif et la gestion consistante des données et des politiques de gestion. Ce « container » de données est accessible par un mot de passe et dispense d'aucune interaction entre les données personnelles et professionnelles.

IBM, utilisateur de la solution Junos de Juniper

C'est un constat, il y a une forte concurrence dans les offres de MDM, on peut citer des solutions comme le service de gestion des terminaux mobiles à distance Consoview de Consotel, Mobile Iron, Mobile Device Management de BT ou encore Junos Pulse de Juniper Networks qui permet d'accéder aux ressources de l'entreprise en toute sécurité (géolocalisation, effacement à distance, etc.) depuis les terminaux mobiles.  À ce titre, IBM a déployé cette solution en tant qu'utilisateur. «IBM emploie près de 436 000 salariés, dont une part importante, environ 40% est nomade. Nous avons donc déployé une solution commune à savoir Junos Pulse avec une gouvernance centralisée pour tout le groupe, c'est une solution que nous proposons aussi à nos clients » explique Loic  Le Guézo, directeur technique des solutions de sécurité d'IBM France (voir illustration).

Des outils pour une sécurité centrée sur l'utilisateur

«Au-delà de la plateforme, c'est le comportement de l'utilisateur qui doit être contrôlé », insiste Florian Bienvenu. Un avis partagé par Florian Malecki, responsable produit sénior chez SonicWall, qui explique que la solution la plus simple serait de « forcer » les utilisateurs à s'identifier depuis un portail web. Il est clair  que le phénomène du BYOD oblige les entreprises à centrer davantage la politique de sécurité sur l'utilisateur. Comment ? En l'obligeant à déclarer son device personnel (smartphone ou ordinateur portable) au service informatique. Le contrôle doit être effectué au niveau du matériel. Une fois le terminal inventorié, l'utilisateur pourra avoir accès aux ressources de l'entreprise. Pour se faire, il existe aujourd'hui des solutions de PKI (certificat d'authenticité) embarquées dans des smartcards (de type SDCard par exemple) qui permettent d'accéder à ces fonctionnalités d'entreprises. C'est notamment le cas chez Safenet qui a lancé une solution d'identification de device SafeNet Authentication Manager (SAM), qui fait partie de SafeNet Fully Trusted Authentification Environment. IBM devrait aussi anticiper cette tendance courant 2012 en intégrant, avec Endpoint (issue du rachat de BigFix), une brique qui identifie les terminaux à Tivoli.

Encadré : Deux questions à Constant Konan, consultant avant-vente MDM chez Sybase France

LMI : Comment les entreprises doivent-elles gérer efficacement les flottes de terminaux mobiles multi-OS ? Et qu'est-ce qu'une bonne protection des terminaux mobiles pour Sybase?

Pour une entreprise, la mise en oeuvre d'une solution de gestion des appareils mobiles est la première étape et c'est sûrement la plus critique du processus lui permettant d'assurer la gestion et la sécurisation de sa flotte mobile. Pour l'aider à déterminer les règles à mettre en place, Sybase  a établi la liste des 10 meilleures pratiques en la matière : anticiper la diversité des appareils (plateforme multi-OS), la mise en place d'une politique stricte de protection par mot de passe, le verrouillage et le nettoyage à distance des appareils portables égarés ou dérobés, procéder au nettoyage automatique de l'appareil portable au-delà de 10 échecs d'authentification, chiffrer les données, le support du double usage (professionnel et personnel) ou encore la gestion du parc mobile.

Il faut aussi ajouter à ces pratiques, la volonté de présenter un numéro de téléphone lorsque l'appareil est verrouillé plutôt que d'afficher le logo de l'entreprise, d'exécuter l'ensemble des opérations de gestion et de sécurisation depuis une console Web unifiée et de mettre à disposition différents canaux de formation et des liens à des ressources complémentaires.  

Avec quelle solution répondez-vous à la gestion de ces équipements mobiles dans les entreprises?

Notre solution pour la gestion et la sécurisation des données et des applications des terminaux mobiles d'entreprise est Afaria. Dès le début, ses concepteurs se sont fixés pour priorité de relever les défis spécifiques des environnements terrain ou « front line ». C'est pourquoi cette solution repose sur des fonctionnalités complètes et proactives de gestion et de sécurisation de l'ensemble des terminaux, applications, données et communications nécessaires aux activités « front line » et ce, indépendamment de la bande passante disponible. Devenus plus fiables et plus conviviaux, les terminaux mobiles séduisent ainsi un nombre toujours plus important d'utilisateurs.

D'autre part, sa console Web permet aux services informatiques de gérer un grand nombre de fonctions clés depuis un navigateur standard. Et comme la solution s'intègre étroitement avec les annuaires de l'entreprise, ces fonctions permettent de généraliser la gestion et la sécurité à tous les terminaux, où qu'ils se trouvent.  Afaria fournit en outre des fonctionnalités de sécurité prêtes pour l'entreprise dont le rôle est de protéger les données et les terminaux mobiles. En combinant de cette façon gestion et sécurité, notre solution fournit la meilleure protection contre les menaces sécuritaires et les problèmes de conformité auxquels les environnements mobiles sont aujourd'hui confrontés.

«Les plateformes iOS d'Apple et Android de Google sont aujourd'hui les plus répandues dans le phénomène BYOD mais elles ne sont pas toutes égales en terme de sécurité, notamment sur le design des API » constate Luis Delabarre, directeur technique chez Trend Micro. Ainsi, la plateforme d'Apple est très verrouillée. «Les couches basses sont masquées et le SDK est extrêmement limité. De plus, les éditeurs sont obligés de passer par le store d'Apple pour obtenir une validation » souligne Charles Gresset, directeur technique et des services d'Econocom Telecom Services (voir illustration). Sous iOS, Apple a développé une API qui permet de bien séparer les données personnelles des données professionnelles. Ce n'est pas le cas du système Android, beaucoup plus ouvert et moins performant, ce qui signifie que cette plateforme pourrait être plus sujette aux attaques externes.

Android, plus vulnérable car trop fragmenté

Ainsi, pour garantir la sécurité, c'est aux développeurs de construire leurs propres API et le problème est qu'Android est très fragmenté. En effet, Androïd compte de nombreuses versions à la fois au niveau du système d'exploitation en lui-même, mais aussi au niveau du matériel où certains fabricants adaptent des versions spécifiques à leurs équipements. Ainsi, les développeurs sous Android sont très dépendants des mises à jour des systèmes de la part de Google, mais aussi des fabricants. « Un système Android embarqué dans un téléphone Samsung n'est pas le même que celui installé dans un modèle HTC, ce qui complexifie la gestion sécurisée de ces terminaux en entreprise » indique Charles Gresset. De son côté, Florian Bienvenu, VP Europe du Sud de Good Technology, partage ce point de vue, mais insiste sur le fait que ces plateformes ont d'abord été conçues pour un usage grand public, donc potentiellement plus sensible aux failles de sécurité. D'ailleurs, Florian Bienvenu indique que son entreprise a entièrement développé ses propres API pour garantir la sécurité des plateformes.

Windows Phone plus sécurisé, mais presque inexistant !

Hormis iOS et Android, Microsoft, de son côté avec le nouveau Windows Phone, a adopté la même stratégie que Apple et a donc verrouillé assez fortement sa plateforme. Mais contrairement à ses deux concurrents, les terminaux sous Windows Phone sont très rares en entreprise et donc peu touchés par le phénomène BYOD. « Windows Phone est inexistant chez les cols blancs contrairement à la présence massive de Windows Mobile (ndlr : version embarquée dans de nombreux terminaux à usage industriel) pour les cols bleus », confirme Charles Gresset. Enfin, concernant le chiffrement des données, aujourd'hui, les plateformes exploitent nativement cette fonction en local. En revanche, il faut créer des outils pour chiffrer les données qui en sortent. Le chiffrement et l'encryption des données restent deux points essentiels pour garantir une bonne sécurité des données issues des terminaux mobiles.

Encadré : Des antivirus et des pare-feux en complément...

Les solutions de gestion de flotte mobile ne fournissent pas d'antivirus et de firewall mais est-ce vraiment nécessaire ? Oui avec la popularisation des terminaux mobiles, il est certain que les attaques vont se multiplier dans les mois et les années à venir.  Ainsi, en complément d'une solution de gestion de flottes comme celle de Good Technology, un certain nombre d'éditeurs de sécurité proposent des firewalls ou des antivirus. « En tant qu'éditeur de solutions de sécurité, nous sommes complémentaires aux outils de gestion de flottes mobiles, nous collaborons avec certains d'entre eux pour proposer ensemble une solution globale pour tous les postes mobiles y compris les ordinateurs portables » précise Luis Delabarre, CTO de Trend Micro.

Ainsi, l'éditeur propose un plug-in de sécurité, Trend Mobile Security, pour les tablettes et les smartphones qui s'intègre dans la suite OfficeScan de l'éditeur. On peut aussi citer les solutions Endpoint Protection Mobile de Symantec, Mobile Security de Sophos, Enterprise Mobility de Mc Afee ou encore Kapersky Mobile Security. Ce qui s'applique aux antivirus s'applique aussi aux firewalls dont l'objectif est de créer une connectivité sécurisée pour les appareils mobiles. Là aussi, de nombreux spécialistes sont à l'oeuvre à l'instar de WatchGuard ou de SonicWall.

LMI : Les entreprises subissent-elles de nombreuses attaques depuis les terminaux mobiles (smartphone, téléphone portable ou tablette) ?

En ce qui concerne les attaques directes à l'encontre des entreprises, pour l'instant, aucune de ce genre n'a encore été signalée. En revanche, on a pu constater une augmentation importante des malwares programmés pour attaquer les terminaux mobiles. L'année 2011 s'est tout particulièrement distinguée pour sa fertilité en matière d'applications frauduleuses au sein des systèmes Android. On estime que d'ici 2016, il y aura près de 44 milliards de téléchargements d'applications sur les terminaux mobiles. Les places de marché d'applications sont les « zones d'infection » ou d'attaque à partir desquelles les cybercriminels peuvent diffuser spyware et autres chevaux de Troie. Quand on évoque les smartphones, cela implique également les entreprises qui tolèrent l'accès à leurs ressources par le biais de ces types de terminaux. Il s'agit d'un problème majeur, car les utilisateurs de smartphones s'en servent également à des fins personnelles, comme pour télécharger des applications sur les places de marché.

Mais que se passe-t-il si ces places de marché sont piratées ?

Supposons qu'un utilisateur télécharge une application « malveillante » à partir d'une place de marché infectée (cela s'est déjà passé auparavant). L'application malveillante pourrait être un spyware pour mobiles, et supposons également que l'utilisateur n'ait pas correctement protégé son appareil : il est alors infecté à son tour. Des données d'entreprise ainsi que des informations d'identification peuvent alors être dérobées. Sans oublier qu'un appareil infecté conserve l'accès aux ressources d'entreprise. Il n'existe pas pour le moment de politiques ni de standards de sécurité prenant en compte tous ces aspects de la sécurité. C'est donc une bonne chose que les directeurs techniques et les DSI s'attaquent sérieusement à ce problème.

Il existe des solutions qui peuvent réduire le risque et les problématiques liées à ces nouvelles technologies comme chez nous CA Technologies avec Mobile Anti-Malware for Endpoint ou Mobile Security Suite. La première est une solution anti-malware pour les terminaux mobiles (smartphones, iPhone...) qui permet d'identifier et de supprimer les malwares attaquant ces terminaux. Certes, c'est une bonne solution, mais qui ne suffit pas si l'on veut assurer la gestion et la gouvernance des accès des utilisateurs aux ressources de l'entreprise. Il est donc nécessaire d'avoir recours à une solution plus complète (Mobile Security Suite) qui facilite la gestion de la sécurité en permettant l'accès en fonction des politiques de l'entreprise, le cryptage des données et la localisation du terminal grâce à un système GPS dans le cas où un appareil serait perdu ou volé.

Dans le détail, comment les entreprises doivent-elles gérer efficacement les flottes de terminaux mobile multi-OS ?

Avoir un accès aux applications et aux données de son entreprise via un appareil portable est aujourd'hui non seulement devenu une exigence des employés, mais aussi une nécessité pour le bon fonctionnement de nombreuses entreprises. Avec l'émergence d'une informatique orientée consommateur, beaucoup d'entreprises autorisent l'accès aux emails et données de la société à partir d'appareils mobiles personnels, entraînant certains risques et, par conséquent, des adaptations d'un point de vue managérial. Les appareils mobiles sont en effet plus susceptibles d'être perdus, partagés (notamment les iPad contenant des jeux pour enfants) et utilisés dans des environnements non sécurisés tels certains réseaux WiFi. Les entreprises organisent la protection de l'utilisateur d'appareil portable via l'installation de systèmes de sécurité sur l'appareil. Par exemple, l'utilisation d'un iPhone et d'un iPad requiert l'entrée d'un mot de passe si l'appareil est configuré pour accéder à la boîte mail Microsoft. Il faut aussi utiliser des options permettant de désactiver et d'effacer les données d'un appareil à distance et mettre en place des politiques d'éducation de l'utilisateur définissant les conditions d'utilisation de l'appareil et la marche à suivre en cas de perte ou de vol.

D'autre part, l'utilisation de plusieurs systèmes d'authentification pour les applications sensibles et, pas uniquement un simple mot de passe au niveau de sécurité peu élevé, est conseillé. Enfin, certaines entreprises évoluant dans des environnements plus sensibles ainsi que les administrations gouvernementales, mettent à disposition des appareils très spécialisés, mais qui ne sont ni abordables financièrement ni pratiques pour la plupart des sociétés.

À l'avenir, se développeront des environnements mobiles virtualisés permettant de protéger la session de l'entreprise de celle de l'utilisateur et tournant toutes deux sur le même appareil. Sans oublier des contrôleurs d'accès aux réseaux (NAC) pour la sécurité de ces terminaux. Les NAC permettent d'effectuer une vérification du système avant d'autoriser le lancement d'une application. Par exemple, une vérification pourrait être effectuée afin de s'assurer que l'appareil soit verrouillé à l'aide d'un mot de passe.