« J’ai d’autres priorités ». Telle est encore la réaction de nombreux dirigeants de Petites et Moyennes entreprises (PME) lorsqu’est évoqué le sujet de la sécurité des données professionnelles qui transitent sur les smartphones et tablettes de leurs cadres. Par Florian Bienvenu, Vice-président Europe centrale et Europe du sud de Good Technology pour datasecuritybreach.fr

Cela se comprend. En cette période de difficultés économiques, les investissements sont avant tout orientés vers le cœur de métier de l’entreprise. Sans la présence et les explications d’un Directeur des Services d’Information (DSI), un poste encore largement réservé aux grandes structures, difficile par ailleurs de penser que les chiffres inquiétants qui circulent sur la cybersécurité des PME puissent se transformer un jour en une réalité concrète et coûteuse – en 2012, les entreprises de moins de 250 salariés auraient concentré 31% des attaques (3 fois plus qu’en 2011) d’après le dernier rapport annuel sur la sécurité de Symantec. Les maliciels sur mobile, eux, auraient progressé de 58%, 32% des attaques sur ce terrain visant à collecter des données telles que les adresses électroniques et les numéros de téléphone. Tous ces chiffres ont encore un air virtuel pour de nombreux dirigeants de PME – même si le Premier Ministre en personne, en ouverture de la sixième édition du Forum International de la Cybersécurité (FIC), en janvier dernier, avait détaillé le cas de deux petites structures victimes de cyberattaques, et les coûts associés (480 000 et 450 000 Euros).

L’ordre des priorités, pourtant, pourrait évoluer rapidement, et la sécurisation des données mobiles gagner quelques places dans l’échelle des urgences. Comme cela a été évoqué lors du dernier FIC, les grands groupes exigent en effet de plus en plus de rigueur numérique de la part de leurs prestataires – il s’agit d’éviter que ces derniers soient utilisés comme cheval de Troie pour accéder au système d’informations des donneurs d’ordres. Or, les supports mobiles sont une des portes d’entrée privilégiées par les pirates. Normal : il leur faut en général quelques minutes pour compromettre un mobile et accéder ainsi à l’ensemble du Système d’Information de l’entreprise – les données personnelles et professionnelles (emails, documents, …), mais aussi tous les accès et mots de passe serveurs, VPN, etc. stockés «en clair» sur le terminal deviennent accessibles.

Trois stratégies sont alors possibles pour les PME. La première consiste à se fier aux fonctionnalités «natives» du terminal (activation manuelle du mot de passe, éventuellement du chiffrement du terminal si la fonction est disponible) et à sensibiliser les cadres sur les règles basiques d’hygiène informatique. Une stratégie simple et gratuite – donc très répandue. Le souci est qu’elle a peu de chances de séduire les donneurs d’ordres : au-delà du fait que le mot de passe peut être déchiffré en moins d’une minute, les terminaux sont à la merci de malwares, virus et logiciels espions, les jailbreaks n’étant pas détectés. Deuxième stratégie : adopter une des nombreuses solutions de gestion centralisée des supports mobiles (MDM) – une option a priori un peu plus évoluée puisque qu’elle permet notamment d’activer les fonctionnalités basiques de sécurité du terminal (mot de passe et effacement à distance). Problème : il faut toujours quelques minutes pour déchiffrer ce mot de passe ! Au-delà, ces solutions posent la question de la confidentialité des données personnelles, dans la mesure où elles permettent à l’entreprise d’accéder à « toutes » les données du terminal mobile.

Reste alors la troisième stratégie, encore peu considérée par les dirigeants de PME, mais qui devrait rapidement les séduire : celle qui consiste à sécuriser à la fois les données professionnelles – dans un « conteneur » étanche (chiffré) du reste du terminal – et les accès aux serveurs de l’entreprise. Côté professionnel, les applications sont ainsi distribuées via un « Appstore » d’entreprise, les fonctions « Email », « Calendrier », « Documents », « Contacts », « Navigation Intranet/Internet » sont sécurisées, et la gestion de la flotte est centralisée. Côté personnel, chacun peut choisir le terminal qui lui plaît et y utiliser sans danger des applications non-professionnelles (Facebook, Twitter etc.). Les données privées sont par ailleurs protégées (confidentialité) et préservées en cas d’effacement à distance.

Une stratégie trop compliquée pour des petites et moyennes structures ? Erreur : un simple abonnement suffit, et aucun investissement en infrastructure n’est nécessaire. Le prix est quant à lui proportionnel à la taille des effectifs. « J’ai d’autres priorités » ? Voilà une réponse qui, dans les PME, ne devrait bientôt plus oser s’appliquer à la question de la sécurité des données mobiles.