La sécurité des usages mobiles en question !

Quels que soient les usages en matière de mobilité, il n’y a pas de recettes absolues, des attaques auront toujours lieu. « Les motivations des cybercriminels sont toujours les mêmes : pénétrer un système, tout simplement parce qu’il existe, extirper des données pour en tirer profit et fomenter des attaques sous couvert d’espionnage ou de terrorisme », résume Laurent Heslault, directeur des stratégies de sécurité chez Symantec. En soi, pour Luc Delpha, directeur de l’offre de services gestion des risques au sein du cabinet de conseil Provadys, l’explosion de la menace « mobile » n’a pas vraiment eu lieu jusqu’à présent. « Pour l’heure, les menaces mobiles sont moins élaborées que celles qui visent les plate-formes PC sous Windows, un système qui s’accapare, rappelons-le, 90% du parc en entreprise. Bien sûr, les attaques via les plateformes mobiles vont croître dans les années à venir, les vols de données vont se multiplier, une crainte réelle pour les entreprises ». En effet, avec la démocratisation du très haut débit mobile, de nouveaux usages vont apparaître comme la technologie VoLTE (la voix via le réseau 4G), la réalité virtuelle ou les applications industrielles (compteurs intelligents, pilotage en temps réel des drones, etc.) et les menaces vont bien sûr s’amplifier et se complexifier.

Le fléau des logiciels mobiles malveillants

Aujourd’hui, les principales menaces qui pèsent sur les applications et les terminaux mobiles concernent essentiellement les logiciels malveillants (les malwares), l’hameçonnage (le phishing) et les rançongiciels (les ransomwares). Ces derniers sont aussi perçus comme des logiciels malveillants, leur but est de verrouiller les appareils mobiles des utilisateurs jusqu’au paiement d’une rançon. Selon le dernier rapport du spécialiste de la sécurité Lookout, le plus connu des ransomwares, surtout aux USA et dans une moindre mesure en Angleterre et en Allemagne, est ScarePackage qui se diffuse sur les terminaux mobiles en simulant être un anti-virus ou une mise à jour d’Adobe Flash. Et une fois installé, il lance un faux scan et bloque le terminal. Un faux message s’affiche alors à l’écran et enjoint l’utilisateur à payer une certaine somme afin de déverrouiller l’appareil. 

Les logiciels malveillants prennent des formes multiples et connaissent une forte croissance. « Ce sont souvent des applications gratuites qui sont à l’origine de ces logiciels malicieux. Lorsqu’un utilisateur télécharge une application gratuite, l’idée derrière est soit de vous faire payer des options liées à l’application ou la version complète, soit de récupérer vos données de façon agressive. L’exemple de l’application Sumzand sous Android, qui transforme l'écran du smartphone en un panneau solaire qui pourrait recharger l'appareil, est un bon exemple car son objectif était de récupérer des données personnelles et d’envoyer vos applications à tous vos contacts via des sms surfacturés », souligne Laurent Heslault. Et les malwares ne concernent pas uniquement l’environnement Android (même si ses multiples versions le rendent aussi plus vulnérables), les smartphones sous iOS ont connu en fin d’année 2014 une série d’attaques (vol de données) via WireLuker, un maliciel qui infecte le terminal en exploitant la liaison USB entre l’ordinateur sous Mac OSX et le smartphone sous iOS qu’il soit jailbreaké ou pas. Enfin, pour Laurent Pétroque, expert sécurité chez F5 Networks, le phishing représente aussi une grande menace, il est fréquent de rencontrer des applications mobiles frauduleuses. Souvenons-nous de Android Fakebank, qui, pendant son installation, remplaçait certains fichiers d’une application bancaire légitime par un code malveillant mais ne modifiait ni les icônes, ni l’interface utilisateur.

Des solutions technologiques mais des règles à prendre également en compte

Pour contrer toutes ces attaques, les éditeurs d’antivirus et les spécialistes de la sécurité commercialisent toute une série de solutions pour protéger le terminal et les applications. Cela va des suites de sécurité comme Symantec Mobility, Norton Mobility Insight (robots qui numérisent des milliers d’applications APK sous Android par jour) ou Kaspersky Business Mobilty à des solutions de conteneurisation, qui sécurisent les données professionnelles comme celles commercialisées par Good Technology ou Check Point Software, en passant par des solutions de MDM (effacement des données ou désactivation du terminal à distance) et de MAM (gestion du cycle de l’application mobile, création d’un App store privé sécurisé, etc.) conçues par Telelogos, MobileIron, SAP/Sybase ou AirWatch, sans oublier les solutions de sécurisation des accès (F5 Networks, Cisco, etc.).

Si les solutions apportent, en partie, une réponse aux besoins des entreprises, il reste malgré tout des points sensibles à améliorer notamment dans le développement des applications mobiles. « Certains développeurs ne prennent pas assez en compte la sécurité. De nombreux problèmes sont liés au codage des applications », regrette Luc Delpha. Une étude réalisée par l’Institut Ponemon et IBM a constaté qu’une société type teste moins de la moitié des applications mobiles qu'elle conçoit. En outre, 33% des entreprises ne testent jamais leurs applications – créant ainsi pléthore de points d'entrée pour puiser dans les données de la société par le biais d’appareils non sécurisés. Bien que ces chiffres puissent paraître choquants, ils ne sont pas surprenants étant donné que 50% de ces entreprises ne consacrent aucun budget à la sécurité mobile. Pour Laurent Pétroque de F5 Networks, il est impératif de fournir des outils aux développeurs, l’éditeur met d’ailleurs en avant Mobile Safe, un service composé d’un certain nombre de librairies de sécurité à intégrer dans le code.

Développer avec la sécurité en tête

D’autres acteurs comme Parse (racheté par Facebook), Appcelerator, Kinvey, Apple CloudKit, Microsoft Azure Mobile Services fournissent, quant à eux, des plateformes de développement (MBaaS ou Mobile Backend as a Service) qui prennent en compte les aspects de sécurité. En effet, l'objectif des MBaaS est de fournir tout le package Backend (hébergement, stockage, authentification, scalabilité, API, connecteurs, etc.) quel que soit l'environnement (Android, iOS, Windows Phone) afin que le développeur se concentre avant tout sur le besoin métier de l'entreprise. C'est en quelque sorte un macro langage qu'il faut bien sûr apprendre pour développer une application mobile mais qui ne nécessite plus de faire du coding. 

Hormis les développeurs, d’autres acteurs mettent aussi en cause les comportements des utilisateurs. « Aujourd’hui, les utilisateurs disposent dans leurs mains d’un terminal aussi puissant voire plus puissant qu’un PC de bureau. Il faut aussi qu’ils acquièrent les bons réflexes en gérant au mieux les risques comme l’utilisation d’un mot de passe pour le smartphone ou encore une sauvegarde régulière des données. Ce n’est pas la valeur du matériel qui importe mais les données stockées à l’intérieur », conclut Laurent Heslault. A ce titre, dans les entreprises, pour responsabiliser les utilisateurs, les projets de mobilité (surtout dans la cadre de BYOD mais pas seulement) s’accompagnent souvent de la création d’une charte rédigée en collaboration avec les juristes et les ressources humaines. Cette charte détermine souvent les usages autorisés ou non comme l’interdiction de l’utilisation de logiciels sans licence ou de logiciel avec une licence non compatible avec un usage professionnel ou le cadrage des pratiques au quotidien, sans oublier la définition des rôles et des responsabilités de chacun.

Les terminaux mobiles ultra-sécurisés se multiplient

A l’occasion du Cebit qui s’est tenu comme tous les ans à Hanovre en mars dernier, BlackBerry (et sa filiale Secusmart), Samsung et IBM se sont associés pour lancer une tablette ultra-sécurisée baptisée SecuTablet destinée aux entreprises privées et publiques. Celle-ci a été conçue sur une base de Samsung Galaxy Tab S 10.5 LTE de 16 Go dotée de logiciels d'IBM et d’une carte MicroSD spéciale développée par Secusmart. Parmi ses multiples fonctionnalités de sécurité, cette tablette embarque plusieurs puces de chiffrement, la technologie de démarrage sécurisée Samsung Knox, sans oublier la contribution d'IBM consistant à « envelopper » certaines applications dans une couche de code supplémentaire.

La SecuTablet n’est pas le premier terminal ultra sécurisé à voir le jour en Europe, Bull (groupe Atos Technologies) commercialise depuis deux ans une gamme de smartphone nommée Hoox (m1 et m2). La particularité de cette gamme est qu’elle intègre un très haut niveau de sécurité à tous les niveaux : ports de communication contrôlés, authentification forte, chiffrement matériel des données, système d’exploitation durci, applications sécurisées, etc. Enfin, au dernier MWC (Mobile World Congress) de Barcelone, Silent Circle, créateur du Blackphone, a lancé le Blackphone 2 un nouveau modèle de son smartphone ultra-sécurisé qui fonctionne sous un Android spécifique. Cette nouvelle version apporte plus de fonctions de sécurité comme Spaces pour créer des espaces dédiés aux profils professionnels et personnels. Une tablette ultra-sécurisée baptisée Blackphone+, actuellement en développement, est prévue pour l’automne prochain.

Selon l’institut d’études GfK, qui a mené une enquête dans 17 pays auprès de 17 000 consommateurs, seulement 5% des transactions mondiales sont réellement effectuées avec un appareil mobile. C’est peu, en France, les transactions via le paiement mobile sont souvent estimées à moins de 1% par les différents cabinets d’études. Et pourtant, les applications permettant de payer avec un smartphone se multiplient, citons par exemple le service PayByPhone pour payer le stationnement et le parking à Boulogne, Nice et dans d’autres villes, sans oublier les commerçants (Carrefour ou Decathlon) de plus en plus nombreux à mettre en place un terminal NFC (paiement sans contact) pour régler une baguette ou diverses courses. Selon l’observatoire du NFC et du sans contact (qui se base notamment sur les chiffres de l’Association Française du Sans Contact Mobile - l’AFSCM), en décembre 2014, près de 20% des points de vente étaient équipés en terminaux de paiement sans contact.

Un lien culturel et une défiance des multiples technologies de paiement mobile

« Si le paiement mobile a encore du mal à percer en France, c’est déjà parce que les moyens de paiement sont très liés à la culture des pays. La France est par exemple un pays fortement tourné vers l’usage de la carte bleue Visa alors qu’en Belgique, c’est la Mastercard qui règne, quant à l’Allemagne, le paiement en liquide est encore très courant », indique, à titre personnel, Bertrand Méens, ancien RSSI de la CGL, une filiale de la Société Générale. « Les français ne sont pas encore prêts à payer avec leur mobile, c’est à la fois un problème culturel et un manque de confiance dans les technologies, ils préfèrent donc payer en caisse avec une carte, de l’espèce ou en chèque », renchérit Vincent Leclerc, responsable département consultant sécurité et avant-vente chez Kaspersky. En effet, hormis l’aspect culturel, il existe une crainte très répandue chez les consommateurs selon laquelle les paiements par mobile ne sont pas sécurisés. Selon GfK, seulement un quart des répondants à leur observatoire pense que les paiements mobiles sont 100% sécurisés. Les consommateurs craignent surtout le vol de leurs données personnelles et manquent donc de confiance dans les dispositifs de protection proposés aujourd’hui par les technologies. Selon l’étude menée par GfK, 45% des sondés déclarent même que les technologies des paiements mobiles sont perfectibles.

Perfectibles et également confuses, entre toutes les technologies de communication sans contact comme les balises (beacons utilisant le Bluetooth), le RFID, le NFC (qu’utilise Apple, entre autres, avec Apple Pay et Google avec Google Wallet), le QR code (comme le Flash’NPay créé par Auchan), la transmission magnétique (Samsung Pay exploite la technologie transmission magnétique suite au rachat de LoopPay mais aussi le NFC), sans oublier les systèmes de portefeuilles électroniques mobiles comme Orange Cash (Orange et Visa), PayPal Mobile et Paylib (initié par les banques françaises) qui se multiplient, il y a de quoi s’y perdre ! Chacun tente d’imposer sa solution. « Personnellement, je crois beaucoup au paiement mobile mais pas au détriment de la sécurité. Il serait préférable d’avoir une solution de paiement universel très sécurisée avec le moins d’intervenants possible pour décomplexifier le process. La carte bleue fonctionne très bien car c’est une technologie dotée de spécificités internationales. La confiance se crée avec le temps, nous avons besoin de consolidations techniques pour le paiement mobile », souligne Bertrand Méens.

Plus d’efforts sur la sécurité…

Aujourd’hui, pour rassurer les inquiétudes des utilisateurs sur la sécurité des systèmes de paiement mobiles, les établissements bancaires mettent en avant leurs systèmes de cryptage des données très évolués ou leurs dispositifs de détection prédictive de malwares. A ce titre, PayPal a récemment racheté la start-up israélienne CyActive qui a mis au point une technologie capable d’anticiper les futures attaques grâce à des algorithmes permettant d'analyser et de comprendre les processus de piratage. En parallèle, les fournisseurs ne ménagent pas leurs efforts en apportant, au niveau du terminal, des mécanismes à double authentification comme Apple qui exploite l’empreinte digitale en plus d’un code de sécurité unique et des quatre dernier numéro de la carte de sécurité sociale de l’utilisateur. « Il ne faut pas l’oublier mais la sécurité dépend aussi du terminal, il est donc important de sécuriser l’équipement en complément de la sécurisation bancaire. Certains acteurs comme Samsung ou Apple ont effectivement mis en place des dispositifs à double authentification. D’autre part, pour apporter plus de sécurité, des efforts sont menés au niveau mondial avec des normes autour des transactions bancaires comme le PCIDSS. Nous même, chez Kaspersky (Kaspersky Fraude Prevention), nous travaillons avec les établissements bancaires pour vérifier, via des certificats, que les communications entre les banques et les équipements soient sécurisées », résume Vincent Leclerc.

Et pourtant, malgré toutes les précautions prises par les fournisseurs et les établissements bancaires, le risque zéro n’existe pas. Par exemple, le service Apple Pay a été victime aux Etats-Unis, au début du mois de mars, d’une vaste escroquerie à la carte bancaire. Sur cette affaire, ce ne sont pas à proprement parler les outils de sécurité mis en place par Apple qui sont incriminés mais le manque de procédures sécurisées des banques sur la demande d’ajout de numéros de cartes bancaires à Apple Pay par les utilisateurs. La fraude financière depuis les plateformes mobiles prend d’ailleurs différentes formes comme ces chevaux de Troie bancaires qui se positionnent entre le terminal mobile sous Android et la banque. Symantec indique d’ailleurs que les 9 institutions bancaires les plus attaquées l’ont été à plus de 40% par des chevaux de Troie. Ces derniers (comme Android Faketoken) permettent, d’une manière générale, de rediriger les paiements effectués vers des comptes bancaires de cybercriminels. Le malware Android Faketoken a même été placé par le rapport publié par Kaspersky Lab, intitulé « IT Threat Evolution Q1 2014 », à la 13ème position dans le top 20 des menaces mobiles, ce qui représente 4,5% de toutes les infections. Et de conclure, pour Symantec, les coordonnées des comptes bancaires sont vendues entre 5 et 10% de la valeur du solde du compte sur les forums spécialisés, un business déjà très juteux pour les cybercriminels qui devrait s’amplifier dans les années à venir avec la démocratisation des paiements mobiles.

Selon vous, le protocole NFC est-il bien sécurisé, les banques ont-elles mis en place des solutions chiffrées pour protéger la communication des coordonnées bancaires ?

Les banques proposent aujourd'hui de nouvelles cartes bancaires NFC dotées, au verso, d’un pictogramme spécifique (ondes de type WiFi). Ces cartes permettent de payer sans contact de petites sommes (20 € par opération et par commerçant), sans avoir à insérer la carte dans le terminal ou à composer son code personnel. La première préoccupation en matière de sécurité est "comment cette carte est-elle activée ?". Selon la CNIL (Commission Nationale de l’Informatique et des Libertés), lire à distance des cartes bancaires dont la fonction « paiement à distance » est activée permettait, dès 2013, d'obtenir dans les premières versions des données trop volumineuses, et ce, de façon non sécurisée (authentification, chiffrement des échanges…). Les nouvelles cartes sont un peu moins « bavardes » (limitation des données transmises) mais pas plus sécurisées : le numéro de la carte et la date de validité sont facilement accessibles comme en témoignent les chercheurs Renaud Lifchitz (dès 2012, éminent spécialiste français, membre de l'ARCSI) ou l’américaine Kristin Paget. Ces derniers ont démontré que les données entre la carte et le terminal pouvaient être interceptées par n’importe quel individu disposant du matériel et des compétences adéquates, illustrant ainsi la possibilité de lecture à distance des données de son voisin dans les transports en commun par exemple et de procéder immédiatement à un paiement électronique avec ces données. La seconde préoccupation a trait à la sécurité autour de la validation des transactions. A plus grande échelle que les 20€ évoqués précédemment, les chercheurs britanniques de Newcastle ont montré, fin 2014, qu’il était possible de créer des transactions basiques de 20£, de les capter et de les manipuler en off-line avant de les réinsérer dans le système de compensation par un commerçant complice, la modification de la devise du paiement permettait d'y associer une modification du montant allant jusqu’à 999 999,99 et de décrocher le gros lot ! Enfin plus récemment, un système concurrent ApplePay a mis en exergue une autre faiblesse. Bien que chiffrant les données correctement, il avait cette fois souffert d'une faille dans les dispositifs de confiance pour l'enrôlement des utilisateurs et utilisait ainsi des cartes bancaires issues de vols de données, massifs en 2014 aux US (Target, Home Depot…).

Travaillez-vous sur des solutions de sécurisation autour du paiement mobile même si en France les transactions de ce type ne dépassent pas les 1% ?

Nous ne travaillons pas directement à la définition des standards et protocoles de cette industrie. Par contre, grâce à notre R&D, nous travaillons indirectement au durcissement de ces solutions (par exemple, en montrant comment les dispositifs d'authentification fortement utilisés aujourd'hui par les banques peuvent être contournés). Nous intervenons également dans la fourniture de solutions qui maintiennent l'intégrité des TPV (Terminaux Point de Vente), afin d'éviter leur compromission pour la captation des données de transaction, les vols de données personnelles…

De votre point de vue, les attaques contre les plateformes mobiles (Android, iOS et Windows Phone, etc.) vont-elles augmenter et sous quelles formes ?

Nous avons déjà constaté en 2013 une explosion de l'intérêt de ces plateformes pour les attaquants. En particulier parce que ces équipements sont utilisés pour des transactions bancaires ou pour gérer des données sensibles. En 2014, les malwares bancaires continuent de migrer vers les plateformes mobiles à vitesse grand V (multiplication par 4 depuis 2013). Outre les attaques bancaires, c'est Android, au sens large, qui est une cible de choix pour les actes malveillants : fin 2014, Trend Micro a identifié 4,26 millions de malware affectant cette plateforme (qui représente 80% du marché). Cette tendance ne devrait pas changer en 2015.

Quelles solutions préconisez-vous pour combattre ces attaques ?

Nous commercialisons aussi Worry-Free Business Services, qui offre une protection contre les virus informatiques, les cybercriminels et la perte de données de l’ensemble des terminaux (PC, Mac et dispositifs mobiles). Enfin, nous proposons Mobile App Reputation Service, un système d’alertes avancé en mode Cloud permettant d’analyser et d’évaluer les applications mobiles avant de les proposer en ligne. Cette technologie permet aux fournisseurs d’App stores de bloquer les applications infectées et de garantir ainsi à leurs utilisateurs des téléchargements en toute sécurité.

Dans les pays scandinaves, plus avancés sur l’usage du paiement mobile qu’en France, quelles sont les technologies utilisées pour sécuriser les transactions ?

Les scandinaves sont par nature très curieux des nouvelles technologies et, effectivement, de nombreuses personnes s’intéressent déjà au paiement mobile. Apple Pay, Google Wallet et d’autres apportent des nouvelles solutions sur le marché mais elles sont limitées dans le sens où elles requièrent un équipement spécifique ou d’être aujourd’hui citoyen américain pour en bénéficier. Il n’y a donc pas encore de standardisation à proprement parler. De ce fait, les banques dans les pays nordiques ont lancé leurs propres initiatives comme " Valyou " en Norvège, né d’une collaboration entre Telenor (carte SIM spéciale pour les appareils mobiles) et la DNB (la plus grande banque norvégienne). D'autres banques sont en cours de tests sur cette application et sont donc susceptibles de les rejoindre bientôt.

Autre exemple, en Suède, MasterCard et la chaîne de supermarchés ICA se sont associés autour du paiement sans contact via une carte spécifique NFC, les terminaux étant prêts pour la technologie NFC (incluant aussi Apple Pay). D’ailleurs, en Suède, il existe déjà un certain nombre d’applications spécifiques de paiement mobile autour de la billetterie électronique et du transport public qui sont basées sur la technologie NFC. Enfin, n’oublions pas qu’une solution comme LoopPay de Samsung profite aussi des terminaux de paiement pour les cartes de crédit équipés de lecteur à bande magnétique (environ 90% du parc). Une technologie comme celle-ci est donc plus simple à mettre en œuvre.

Pour bien comprendre, comment pourrait fonctionner, par exemple, un smartphone qui utilise une technologie comme Samsung Pay ou Apple Pay avec les systèmes de paiement des banques européennes ?

Valyou, par exemple, requiert que l’utilisateur soit un client de la banque et de l’opérateur. Apple Pay (jusqu’à présent) nécessite un numéro de sécurité sociale américain, ce qui limite la base d’utilisateurs. Cela dit, il n’existe aucune limitation technologique visant à prévenir d'autres banques européennes (ou les cartes de crédit pour être plus précis) de prendre part au système d’Apple ou à un autre dispositif similaire. Bien sûr, au-delà des accords commerciaux qui devront être signés, il faudra aussi déployer des terminaux de paiement NFC. Google Wallet est un cas similaire à celui d’Apple, il est uniquement disponible aux États-Unis. Quant à Samsung Pay (technologie magnétique LoopPay), ce système a l'avantage d’être compatible avec la plupart des systèmes de paiement et donc d’exploiter la majorité des cartes de crédit, ce qui le rend plus attrayant pour ceux qui cherchent à mettre en œuvre rapidement un système de paiement sans grand bouleversement. En revanche, à l’heure où les cartes à puces se généralisent en Europe (ndlr : la France est leader de la carte à puces) avec l’usage des smartcards et des numéros PIN, ce type de technologie représente un recul technologique sur la sécurité physique. C’est un pas en arrière pour le paiement mobile sécurisé, en tout cas en Europe.

Pensez-vous que les systèmes de paiement mobiles sont trop nombreux, ce qui ajoute une certaine confusion chez les utilisateurs ?

C’est toujours le même problème pour un marché émergeant où de nombreux acteurs souhaitent rentrer et imposer leurs solutions. Certes, il en résulte des innovations intéressantes mais la concurrence et les fortes variations des technologies et des déploiements rendent difficile, pour les clients et les commerçants, de choisir la meilleure solution sécurisée. C’est le temps qui le dira. Google Wallet est une technologie déjà présente depuis plusieurs années mais n'a pas encore complètement conquis le marché. Apple et son marketing agressif peut peut-être s’avérer plus efficace.

De votre point de vue, quels sont les types de menaces qui planent sur le paiement mobile et quelles sont les solutions pour sécuriser au mieux les transactions ?

Il y a deux types de menaces : les fraudeurs qui utilisent cette technologie pour le « blanchiment » de coordonnées bancaires et les malwares qui permettent de contrôler les paiements à distance et voler ainsi les données stockées. Concernant la première catégorie de menace, les systèmes de paiement mobiles qui répliquent les informations des cartes de crédits sur un téléphone sont dangereux, les informations peuvent être simplement subtilisées en transférant, via Internet, les données vers le téléphone. Le téléphone est aussi un objet physique anonyme qui renforce le sentiment d’insécurité chez les commerçants, il ne donne pas autant de détails qu’une carte de crédit afin de savoir si c’est un vrai ou un faux. Si tous ces problèmes ne sont pas résolus rapidement, le manque de confiance va augmenter et la mauvaise publicité peut définitivement enterrer le paiement mobile. Le succès réside donc dans la sécurité des systèmes. Pour les malwares, c’est inquiétant car les attaques seront croissantes. Ils sont déjà très nombreux pour voler les informations déjà existantes dans les téléphones, ils le seront tout autant pour extirper des données issues d’une application de paiement mobile. Certains malwares peuvent aussi contrôler à distance l'application de paiement et initier des transferts sans le consentement de l'utilisateur. Vu que ce marché est récent, il est fort à parier que les fraudeurs auront de l’imagination.

Quelles solutions préconisez-vous pour sécuriser les paiements mobiles ?

Blue Coat fournit un service baptisé Business Assurance Technology. En clair, nous aidons les entreprises à sécuriser leurs actifs contre les cyberattaques et à protéger leurs données vitales exfiltrées. Dans le cas du paiement mobile, cela se traduit par une garantie de sécurité des données de paiement en protégeant les coordonnées bancaires par du cryptage. Notre solution Encrypted Traffic Management permet, par exemple, d’identifier l’exfiltration qui peut se produire dans les canaux cryptés. D’autre part, notre solution Advanced Threat Protection permet aux entreprises de détecter rapidement les attaques systémiques à grande échelle qui contournent les défenses traditionnelles du réseau et fournit un support approprié.

« C’est en 2013 que nous avons décidé de lancer un véritable projet de mobilité avec un accès à la messagerie ou aux applications publiées sur l’intranet », explique Bertrand Méens, ancien RSSI de la CGL, une filiale de la Société Générale spécialisée dans les financements auto, bateau et regroupement de crédits. Il faut néanmoins signaler que les premiers pas dans l’expérience mobile de la CGL remontent à 2012 où il a été décidé d’équiper la dizaine de contrôleurs de stocks de tablettes iPad pour avoir accès à l’une des applications métiers du groupe en mode web. Très vite, la CGL a étendu les accès mobiles à d’autres salariés plutôt nomades dans le cadre d’un BYOD et d’un COPE (terminal acheté par l'entreprise mais géré par l’employé). Dans la mise en place de ce programme basé sur le volontariat, l’entreprise se proposait donc de rembourser à ses salariés une partie du forfait de leur terminal mobile personnel. A noter que ces salariés, qui ont participé au POC, bénéficiaient déjà d’un smartphone BlackBerry financé par l’entreprise. Pour l’employeur, cela a permis de faire des économies, parce que l’employé dispose d’accès à des forfaits mobiles moins chers réservés au grand public et cela permet aussi de promouvoir les nouveaux usages numériques et de mobilité à travers les smartphones des collaborateurs. Pour le collaborateur, il n’a plus besoin d’avoir deux téléphones.

Les données professionnelles dans un conteneur

Etant donné que le terminal n’est pas sécurisé par des moyens technologiques, l’établissement d’une charte est primordial. Dans le cas de la CGL, la charte interdit, par exemple, aux salariés volontaires de jailbreaker ou de rooter leur smartphone. « La majorité des attaques arrive surtout quand les smartphones sont rootés ou jailbreakés. Nous l’avons donc interdit en l’écrivant noir sur blanc. Ce que j’ai pu constater, c’est que la culture sécurité s’améliore tout doucement, les utilisateurs sont, par exemple, de plus en plus nombreux à verrouiller leur propre équipement avec un code PIN à quatre chiffres », précise Bertrand Méens.

Aujourd’hui, près de trente tablettes ont été déployées pour l’accès aux applications métiers et entre 80 et 100 personnes utilisent leur terminal personnel en bénéficiant toujours d’une conteneurisation de leurs données professionnelles. Pour ceux qui ne souhaitent pas utiliser leur propre device, une flotte de BlackBerry est toujours en fonctionnement. A l’heure actuelle, la CGL, via le successeur de Bertrand Méens, continue son développement autour de la mobilité avec Good Technology en pratiquant de la « Security by Design », c’est-à-dire la prise en compte d’un ensemble de processus dédiés aux aspects de la sécurité autour de l'ingénierie, de la gestion de la sécurité dans les projets et de l'organisation des problématiques liées à la sécurité.