Cellulaire personnel au travail : la règle BYOD en PME

En brefUn employé peut utiliser son cellulaire personnel pour le travail si trois conditions sont réunies : vous avez décidé quelles tâches il peut y faire, il passe par les applications que vous avez approuvées et l'appareil respecte vos exigences de sécurité. Un ordinateur personnel, lui, n'est jamais permis : tout travail sur ordinateur se fait sur un appareil fourni et géré par l'entreprise.

« Est-ce que je peux mettre mes courriels de job sur mon cell? »

Dans la plupart des PME, quelqu'un a dit oui à cette question il y a longtemps. Souvent sans que la direction ait vraiment décidé quoi que ce soit.

Résultat : des courriels clients sur des téléphones personnels, des fichiers sur l'ordinateur familial, et aucun moyen simple de récupérer tout ça quand un employé part ou perd son appareil.

Chez Ékivo, notre position est claire : le cellulaire personnel peut être permis au travail, avec des conditions. L'ordinateur personnel, jamais. Dans les deux cas, c'est une décision de gestion, pas un réglage technique. Et elle revient à la direction.

Ce que ça veut dire, concrètement

On parle de BYOD (Bring Your Own Device, ou « apportez votre propre appareil ») quand un employé utilise son propre appareil pour travailler. Par exemple :

lire ses courriels ou Teams sur son cell;
se connecter à Microsoft 365 à partir de l'ordinateur de la maison;
ouvrir des fichiers clients, le logiciel comptable ou le CRM.

Selon l'application, les données restent dans le nuage ou se retrouvent sur l'appareil : pièces jointes, fichiers téléchargés, données en cache.

Ce que vous ne contrôlez pas sur un appareil personnel

Sur un appareil de l'entreprise, c'est votre équipe TI qui fixe les règles. Sur un appareil personnel, c'est l'employé qui décide. Voici les six angles morts les plus fréquents.

L'appareil est partagé. Le conjoint ou les enfants utilisent le même ordinateur, souvent avec le même compte.
Les mises à jour attendent. Manque d'espace, vieille application à préserver, appareil jamais redémarré.
Les fichiers se copient ailleurs. Un fichier téléchargé finit dans une sauvegarde iCloud ou Google que l'entreprise ne gère pas.
D'autres applications y ont accès. Certaines applications personnelles peuvent lire les fichiers, les contacts ou le presse-papiers.
La réparation. L'appareil brisé part chez un réparateur choisi par l'employé, avec les courriels encore accessibles.
Le départ. Désactiver le compte bloque l'accès au nuage. Ça n'efface pas les copies déjà téléchargées.

La règle Ékivo : cellulaire oui, ordinateur personnel jamais

Oui

Cellulaire personnel

Permis s'il respecte toutes les exigences ci-dessous et que le travail passe par des applications protégées.

Exemples : courriels, Teams, calendrier, application d'authentification.

Non

Ordinateur personnel

Jamais permis, même pour « juste vérifier un fichier ». Tout travail sur ordinateur se fait sur un appareil de l'entreprise.

Exemples : fichiers clients, logiciels d'affaires, finances, télétravail, accès administrateur.

Pourquoi cette différence? Sur un cellulaire, les applications protégées créent un espace de travail isolé et effaçable. Sur un ordinateur personnel, les fichiers, le navigateur, les téléchargements et les comptes de la famille rendent cette séparation peu fiable. La plupart des angles morts ci-dessus y sont aussi plus graves.

Les mêmes règles s'appliquent aux sous-traitants : accès limité aux applications et aux informations dont ils ont besoin, rien de plus.

Les exigences minimales pour utiliser un cellulaire personnel au travail

Avant qu'un cellulaire personnel touche aux données de l'entreprise, il doit cocher toutes ces cases :

Système d'exploitation encore supporté par le fabricant
Mises à jour automatiques activées
Verrouillage d'écran (NIP, mot de passe, empreinte ou visage) avec délai automatique
Chiffrement de l'appareil activé
Authentification multifacteur (MFA, ou AMF en français) sur le courriel, le nuage et les systèmes importants
Aucun appareil « rooté » ou débridé (jailbreak)
Applications de travail approuvées et protégées seulement
Un contact clair pour signaler un cellulaire perdu, volé, en réparation ou infecté

Une case n'est pas cochée? Pas d'accès aux données de l'entreprise sur ce cellulaire.

Séparer le travail du personnel

Deux approches existent, et chacune a sa place.

Protéger les applications, pour les cellulaires personnels. C'est le MAM (Mobile Application Management, ou gestion des applications mobiles). Seules les applications de travail sont gérées : Outlook, Teams, OneDrive. On peut bloquer le copier-coller vers les applications personnelles, empêcher l'enregistrement dans un stockage personnel et effacer seulement les données de l'entreprise. Les photos et messages de l'employé ne sont pas touchés.

Gérer l'appareil au complet, pour les appareils de l'entreprise. C'est le MDM (Mobile Device Management, ou gestion des appareils mobiles). Plus de contrôle, mais trop intrusif pour un appareil personnel : certaines méthodes permettent une réinitialisation complète, qui efface aussi les données personnelles. Microsoft met d'ailleurs en garde contre la gestion complète d'appareils que l'entreprise ne possède pas.

Une limite à retenir : l'effacement sélectif n'efface que ce qu'il gère. Un fichier déjà copié ailleurs reste là.

Bon à savoir : si votre entreprise a des licences Microsoft 365 Business Premium, Intune et l'accès conditionnel sont déjà inclus. Ils permettent notamment de bloquer l'accès à partir d'ordinateurs non gérés. Il arrive souvent qu'une PME paie pour ces outils sans les avoir configurés. C'est ce type de configuration qu'on met en place avec Ékivo Fortify, notre service de cybersécurité gérée pour PME.

Et la Loi 25 dans tout ça?

Au Québec, un cellulaire perdu qui contient des renseignements personnels de clients ou d'employés peut constituer un incident de confidentialité.

Depuis septembre 2022, toute entreprise doit inscrire ses incidents dans un registre. Si l'incident présente un risque de préjudice sérieux, elle doit aussi aviser la Commission d'accès à l'information et les personnes concernées.

Un appareil chiffré, verrouillé et dont vous pouvez effacer les données pèse lourd dans cette évaluation du risque. Votre politique et vos contrôles deviennent votre preuve que des mesures raisonnables étaient en place.

Même logique pour la cyber assurance : les questionnaires de renouvellement demandent de plus en plus comment les appareils sont gérés et si la MFA est en place.

Ce que votre politique doit préciser

Qui peut utiliser son cellulaire personnel pour le travail (employés, sous-traitants)
Quel travail est permis sur le cellulaire, et le fait qu'un ordinateur personnel ne l'est jamais
Quelles applications utiliser, et si les fichiers peuvent être téléchargés
Les exigences de sécurité obligatoires
Ce que l'entreprise peut voir, contrôler et effacer
Quoi faire en cas de perte, de vol, de réparation ou de vente
Ce qui arrive au départ de l'employé
Qui paie les données mobiles, les réparations ou le remplacement

L'employé lit et accepte la politique avant que l'accès soit ajouté à son cellulaire. Faites-la valider au regard de vos obligations en droit du travail et en protection des renseignements personnels.

Cellulaire perdu ou volé : les étapes

L'employé avise l'entreprise ou votre fournisseur TI immédiatement.
Bloquez l'accès et révoquez les sessions actives.
Effacez les données de l'entreprise dans les applications protégées.
Retirez l'appareil de la liste des appareils approuvés.
Vérifiez les connexions suspectes et changez les mots de passe au besoin.
Notez quels fichiers pouvaient se trouver sur l'appareil. Vous en aurez besoin pour votre registre d'incidents.

L'effacement à distance fonctionne seulement si l'appareil se reconnecte. Un appareil éteint ne reçoit jamais la commande. C'est pourquoi le chiffrement reste obligatoire.

Départ d'un employé : les étapes

Désactivez le compte et révoquez les sessions au moment convenu.
Effacez les données de l'entreprise dans les applications protégées de son cellulaire.
Confirmez avec l'employé ce qu'il a téléchargé et comment ces copies seront supprimées.
Retirez l'appareil de vos registres, ainsi que les profils de courriel et certificats.

Questions fréquentes

Un employé peut-il se connecter à partir de son ordinateur personnel, juste par le navigateur?

Chez nos clients, non. Même sans rien installer, des données restent sur l'ordinateur : cache, téléchargements, mots de passe enregistrés, captures d'écran, sessions ouvertes. L'accès conditionnel permet de bloquer l'accès à partir des ordinateurs qui ne sont pas gérés par l'entreprise.

La MFA suffit-elle à sécuriser un cellulaire personnel utilisé au travail?

Non. La MFA protège le compte. Le chiffrement protège les fichiers. Les applications protégées contrôlent la copie. Il faut aussi les mises à jour, le verrouillage d'écran et une procédure en cas de perte.

L'entreprise peut-elle voir les renseignements personnels de l'employé?

Avec la protection des applications, l'entreprise gère seulement les applications de travail et leurs données. Elle ne gère pas les photos, les messages ni les autres applications de l'employé. Expliquez-le par écrit avant d'ajouter l'accès, ça rassure tout le monde.

Peut-on effacer au complet le cellulaire personnel qu'un employé utilise au travail?

Pas avec la protection des applications : seules les données de l'entreprise sont effacées. C'est justement pour ça qu'on la privilégie sur les cellulaires personnels.

Fournir des ordinateurs coûte-t-il plus cher que laisser les employés utiliser le leur?

À l'achat, oui. Mais un ordinateur personnel ne peut pas être géré, sécurisé ni supporté comme il faut. Un seul incident peut coûter bien plus cher qu'un ordinateur.

Vos employés travaillent déjà sur leur cell ou leur ordinateur personnel?

Commencez par vérifier ce qu'ils peuvent accéder et quels contrôles sont en place. La liste des exigences ci-dessus vous permet de le faire vous-même.

Si vous préférez aller plus vite, parlons-en. On regarde votre situation ensemble et vous repartez avec les prochaines étapes.

Réserver un appel de découverte

Sources

Article adapté avec la permission de The Technology Press.