Introduction Si votre lieu de travail est mobile, votre entreprise risque-t-elle de se laisser emporter ? Les appareils mobiles que vos employés aiment utiliser à titre personnel sont désormais également devenus les outils professionnels dont ils se servent pour votre compte. Une étude que nous avons réalisée récemment est révélatrice : 65 % des entreprises dont nous avons interrogé les responsables permettent à leurs employés d'accéder à leur réseau avec leurs propres appareils, 80 % des applications dont ces employés se servent ne sont pas sur site mais dans le cloud et 52 % des employés utilisent régulièrement, non pas un, mais au moins trois appareils. Bien sûr, ces appareils mobiles (smartphones, ordinateurs portables et tablettes) ouvrent de nouvelles opportunités en matière de productivité portable. Mais de par leur nature mobile, ils entraînent également l'apparition de nouvelles vulnérabilités : de nouvelles causes de perte de données, de protection et de confiance dans la sécurité du réseau de votre entreprise. Heureusement, la productivité et la protection ne sont pas inconciliables à condition que vous preniez pleinement conscience des risques et de ce que vous pouvez faire pour les réduire. Ce document examine brièvement les six principales menaces auxquelles votre personnel itinérant est exposé et propose pour ces dangers du monde réel des solutions véritablement utiles que vous pouvez mettre en oeuvre pour obtenir le niveau de sécurité dont votre entreprise a besoin.

1. Ne perdez pas vos données : six
vecteurs de pertes de données mobiles,
à votre insu
Responsables informatiques, directeurs de la sécurité informatique,
vice-présidents responsables des opérations informatiques,
architectes mobiles, responsables des programmes mobiles. Ce
document examine brièvement les six principales menaces auxquelles
votre personnel itinérant est exposé et propose des solutions
véritablement utiles que vous pouvez mettre en œuvre pour obtenir le
niveau de sécurité dont votre entreprise a besoin.
LIVREBLANC:
NEPERDEZPASVOSDONNÉES:SIX
VECTEURSDEPERTESDEDONNÉESMOBILES........................................

3. Sommaire
Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
1. Perte et vol d'appareil . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
2. Fuite de données. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
3. Attaques de logiciels malveillants . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
4. Appareils et mots de passe partagés . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
5. Débridage et passage en mode "root" . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
6. Espionnage des connexions Wi-Fi et autres connexions sans fil . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
Ne perdez pas vos données : six vecteurs de pertes de données mobiles, à votre insu

4. Introduction
Si votre lieu de travail est mobile, votre entreprise risque-t-elle de se laisser emporter ?
Les appareils mobiles que vos employés aiment utiliser à titre personnel sont désormais également devenus les outils professionnels
dont ils se servent pour votre compte. Une étude que nous avons réalisée récemment est révélatrice : 65 % des entreprises dont nous
avons interrogé les responsables permettent à leurs employés d'accéder à leur réseau avec leurs propres appareils, 80 % des
applications dont ces employés se servent ne sont pas sur site mais dans le cloud et 52 % des employés utilisent régulièrement, non pas
un, mais au moins trois appareils.
Bien sûr, ces appareils mobiles (smartphones, ordinateurs portables et tablettes) ouvrent de nouvelles opportunités en matière de
productivité portable. Mais de par leur nature mobile, ils entraînent également l'apparition de nouvelles vulnérabilités : de nouvelles
causes de perte de données, de protection et de confiance dans la sécurité du réseau de votre entreprise.
Heureusement, la productivité et la protection ne sont pas inconciliables à condition que vous preniez pleinement conscience des
risques et de ce que vous pouvez faire pour les réduire. Ce document examine brièvement les six principales menaces auxquelles votre
personnel itinérant est exposé et propose pour ces dangers du monde réel des solutions véritablement utiles que vous pouvez mettre en
œuvre pour obtenir le niveau de sécurité dont votre entreprise a besoin.
1. Perte et vol d'appareil
Le risque le plus évident est souvent traité avec la réponse la plus évidente : prévoir le remplacement des appareils perdus. Mais de
nombreux appareils utilisés à des fins professionnelles appartiennent aux employés eux-mêmes : c'est le phénomène BYOD (utilisation
du matériel personnel). Le plus important, c'est ce qui est stocké dans l'appareil, et non l'appareil lui-même, qui compte réellement.
Chaque appareil perdu est susceptible de devenir un portail permettant d'accéder aux applications et données de votre entreprise.
Vous pensez que nous exagérons ? En 2012, nous avons mis nos préoccupations à l'épreuve d'un test. Dans le cadre d'un projet que nous
avons appelé "Operation Honey Stick" (Opération bâton de miel), nous avons "perdu" dix smartphones dans chacune des cinq grandes
villes suivantes : Los Angeles, San Francisco, Washington et New York aux Etats-Unis ainsi que Ottawa au Canada. Chaque téléphone, qui
contenait de fausses données et applications d'entreprise, a été abandonné dans une zone très fréquentée.
Il convient de porter au crédit de l'espèce humaine que des tentatives de restitution ont été faites pour la moitié des 50 téléphones. Mais
quant aux autres chiffres, ils sont révélateurs d'une image bien plus sombre de la nature humaine. Sur 89 % des appareils, des
tentatives ont été faites pour accéder aux applications ou données personnelles, ce qui suggère que même ceux qui avaient initialement
de bonnes intentions ont eu du mal à résister à la tentation. Les tentatives d'accès aux applications ou données professionnelles
concernaient pour leur part 83 % des appareils. Un fichier "sauvegarde des mots de passe" a été ouvert sur 57 % des téléphones et une
application "administration à distance" simulant l'accès au réseau de l'entreprise utilisée sur 49 % d'entre eux.
Moralité : plutôt que de se concentrer sur les appareils perdus, les entreprises doivent protéger les données sensibles susceptibles d'être
perdues. La gestion de base des appareils doit être complétée par des politiques assurant la protection des applications et des données.
A un premier niveau, cela signifie d'avoir la possibilité de localiser rapidement les appareils perdus et de procéder à des suppressions de
données à distance. Pour bénéficier d'une protection plus approfondie, les entreprises doivent sécuriser les applications et chiffrer les
données professionnelles utilisées sur des appareils mobiles.
2. Fuite de données
Beaucoup a été dit sur les menaces liées à des "employés malveillants" qui recherchent délibérément des informations professionnelles
confidentielles afin de les partager. Mais la plus grande menace émane peut-être bien des employés bienveillants et bien intentionnés
Ne perdez pas vos données : six vecteurs de pertes de données mobiles, à votre insu
1

5. qui utilisent des services basés sur le cloud tels que la messagerie électronique et les outils de collaboration en ligne tout simplement
pour être plus productifs. Sur le chemin en constante évolution vers une plus grande facilité d'utilisation (mouvement également appelé
"consumérisation"), les employés apprécient d'utiliser des applications conçues dans une optique de convivialité plutôt que
conformément aux impératifs de sécurité des entreprises.
Mais une fois dans le cloud, les données de votre entreprise peuvent très bien échapper à votre contrôle. Les programmes de partage de
fichiers et de modification de documents les plus répandus que vos employés aiment utiliser sont généralement dépourvus des
protocoles d'accès et d'autorisation dont les entreprises ont besoin pour protéger leurs données. Sans la mise en œuvre de contrôles
délibérés, les données peuvent "quitter" la sphère de l'entreprise et se retrouver dans un environnement bien moins sécurisé où elles
sont exposées à des risques.
Une protection des applications et des données appropriée doit être la concrétisation d'une approche à deux niveaux de la sécurité : 1)
mise en œuvre d'une liste noire d'applications interdisant l'accès aux applications non approuvées et 2) déploiement de contrôles
interdisant la copie, le collage et/ou le partage de données professionnelles via des applications en ligne.
Les fonctionnalités de protection des applications et des données appropriées sont les suivantes :
• Authentification propre à l'application
• Chiffrement des données
• Blocage du copier/coller
• Désactivation du partage de documents
• Blocage de l'accès aux appareils modifiés (en mode "root" ou "débridés")
3. Attaques de logiciels malveillants
Les chiffres indiquent toujours sans équivoque que les attaques de logiciels malveillants affectant les ordinateurs sont bien plus
nombreuses que celles touchant les appareils mobiles. Mais le taux de croissance des attaques ciblant les appareils mobiles est
beaucoup plus élevé. Tandis que les professionnels de l'informatique traditionnelle n'accordent pas beaucoup d'attention aux logiciels
malveillants qui s'en prennent aux appareils mobiles, les cybercriminels voient dans ce domaine leur prochaine grande opportunité de
croissance.
Cela concerne aussi bien le vol d'identité, l'exposition d'informations et la perte de données provoquées par des attaques de logiciels
malveillants mettant en œuvre des chevaux de Troie, des moniteurs et d'autres "auto-stoppeurs" malveillants. En la matière, les
applications falsifiées constituent peut-être la menace la plus importante : camouflées derrière le nom d'un jeu ou d'une application
populaire et rendues attirantes par la proposition d'un téléchargement gratuit, elles introduisent dans l'appareil du code malveillant
pouvant retirer de l'argent sur des comptes bancaires ou récupérer des données sur des réseaux d'entreprises.
Les logiciels de "sécurité" gratuits ne sont pas assez puissants pour contrer des logiciels malveillants en constante mutation et les efforts
toujours renouvelés des cybercriminels pour franchir les barrières qui protègent les données des entreprises. Pour être véritablement
efficace, une solution de protection contre les menaces doit tenir compte des variations du profil de risque entre les différentes plates-
formes et agir de manière coordonnée pour protéger les ressources de l'entreprise contre les attaques externes, les applications
indésirables, la navigation non sécurisée et même l'utilisation incorrecte des batteries.
4. Appareils et mots de passe partagés
Selon des études publiées récemment, près de la moitié des employés partagent leurs appareils avec leurs amis et leur famille. Et ils sont
20 % à partager leurs mots de passe. Malheureusement, le partage occasionnel de comptes est à l'origine de la majorité des failles de
sécurité provoquées par le personnel.
Ne perdez pas vos données : six vecteurs de pertes de données mobiles, à votre insu
2

6. La protection des appareils mobiles ne se limite pas au simple verrouillage de l'écran. Avant que des utilisateurs ne puissent accéder aux
données et applications de l'entreprise, il peut être prudent de les authentifier. Nous vous recommandons d'envisager la mise en œuvre
d'une approche de l'authentification à deux facteurs (la clé de la réussite en matière de gestion des accès des utilisateurs et des
applications tout comme en matière de protection des applications et des données) combinant quelque chose que l'utilisateur connaît
(comme un mot de passe) avec quelque chose dont il dispose (comme un jeton, une empreinte digitale ou une empreinte rétinienne).
5. Débridage et passage en mode "root"
Dans un monde marqué par le phénomène BYOD (utilisation du matériel personnel), un employé peut facilement introduire un appareil
modifié (débridé ou en mode "root") dans l'environnement de l'entreprise. De telles modifications peuvent permettre de contourner les
protocoles de sécurité, de désinstaller des fonctions de sécurité et d'ouvrir l'accès à des systèmes de fichiers et contrôles de données
précédemment protégés.
Les entreprises doivent mettre en œuvre des politiques de gestion des appareils appliquant des normes cohérentes pour la configuration
et la sécurité de tous les appareils, que ceux-ci appartiennent à la société ou aux employés. Les appareils modifiés doivent être identifiés
et tout accès doit leur être refusé pour protéger le réseau de l'entreprise.
6. Espionnage des connexions Wi-Fi et autres connexions sans fil
La gratuité est souvent synonyme de fraude : lorsqu'un point d'accès est ostensiblement signalé comme étant gratuit, il existe un risque
de fishing des données qu'il transmet. Bien souvent, les utilisateurs n'ont pas conscience de leur vulnérabilité et les entreprises n'ont ni
contrôle ni visibilité sur les réseaux 3G, 4G et 4G LTE.
Pour être complètes, les politiques de gestion des applications, des données et des appareils doivent protéger deux niveaux :
• Les communications, comme le courrier électronique de l'entreprise, via des connexions sécurisées SSL ou VPN
• Le chiffrement des données de l'entreprise, aussi bien lorsqu'elles sont en transit que lorsqu'elles sont stockées sur des appareils
mobiles
Pour en savoir plus sur la mobilité d'entreprise, visitez la page go.symantec.com/Mobilite.
Ne perdez pas vos données : six vecteurs de pertes de données mobiles, à votre insu
3

8. A propos de Symantec
Symantec protège les informations échangées à
travers le monde et se positionne comme leader
mondial des solutions de sécurité, de sauvegarde
et de disponibilité. Nos produits et services
innovants protègent les individus et les
informations dans n'importe quel environnement,
du plus petit appareil mobile au datacenter
d'entreprise et systèmes dans le cloud. Notre
expertise internationale inégalée en matière de
protection des données, des identités et des
interactions donne confiance à nos clients dans le
monde interconnecté actuel. Pour plus
d'informations, rendez-vous sur www.symantec.fr
ou rejoignez Symantec sur go.symantec.com/
socialmedia.
Pour connaître les
coordonnées des bureaux
dans un pays spécifique,
consultez notre site Web.
Symantec (France) S.A.S.
Tour Egée - 17 avenue de l'Arche
- La Défense 6
92671 Courbevoie Cedex, France
+33 (0)1 41 38 57 00
www.symantec.fr
Copyright © 2013 Symantec Corporation. Tous droits
réservés. Symantec, le logo Symantec et le logo en
forme de coche sont des marques commerciales ou
des marques déposées de Symantec Corporation ou
de ses filiales aux États-Unis et dans d'autres pays.
Les autres noms peuvent être des marques
commerciales de leurs détenteurs respectifs.
3/2013 21283507
Ne perdez pas vos données : six vecteurs de pertes de données mobiles, à votre insu