Sécurité IT : l’ANSSI prescrit des « anti-BYOD-tiques »

Le BYOD est un sujet qui crispe le directeur général de l’ANSSI.

Patrick Pailloux n’hésite à prendre à rebrousse-poil une série d’éditeurs de solutions de sécurité présents aux Assises de la sécurité IT de Monaco.

Alors que des fournisseurs de solutions comme Dell/SonicWall, McAfee, Symantec ou des opérateurs comme Orange Business Services ou des intégrateurs comme Sogeti mettent l’accent sur la tendance BYOD (« Bring your Own Business ») et tentent d’évangéliser les responsables de sécurité informatique dans le cadre d’ateliers.

Comment définir le BYOD ? C’est le fait d’accéder aux informations de l’entreprise par des outils informatiques personnels. A travers des outils mobiles (comme les smartphones) ou nomades (comme la tablette iPad).

Un phénomène lié à la « consumérisation de l’IT » ou comment les technologies adoptées par le grand public pénètrent dans les enceintes des entreprises.

L’avis de Patrick Pailloux sur la problématique BYOD est tranché : il faut absolument l’écarter.

Lors de la session inaugurale des Assises de la sécurité, c’était son mot d’ordre : « Il faut entre en résistance vis-à-vis de la liberté totale de l’usage des nouvelles technologies en entreprise (…) »La sécurité, c’est aussi le courage de dire non. »‘

C’est un « non mais » pour être précis. « Je n’ai rien contre la technologie des tablettes. A terme, elle devrait remplacer en partie les ordinateurs et il existe des solutions qui pointent leur nez pour répondre aux besoins de mobilité. C’est moins convivial mais elles permettent de fournir des solutions sécurisées. »

Lors d’un point presse après session, il a de nouveau enfoncé le clou : « Il n’y a pas d’ambiguïté sur le sujet : je suis carrément contre. D’ailleurs, de très grandes entreprises américaines s’y sont lancées mais elles y sont revenues. »

Le DG de l’ANSSI ne l’a pas cité mais on peut prendre le cas d’IBM qui a été refroidi sur le volet BYOD.

Il n’y voit qu’un « paquet d’ennuis supplémentaires ».

Exemple donné pour illustrer le côté obscur du BYOD : « Je délègue à mon collaborateur la responsabilité d’exploiter le bout de mon système d’information. Que fait-on des données dans l’ordinateur quand le collègue quitte l’entreprise ? » (…) « On donne l’impression qu’on allège le travail d’administration. C’est une très très mauvaise idée. »

Mais apportons quelques nuances. Le porte-parole de l’ANSSI s’oppose au scénario suivant : un collaborateur achètent à titre individuel une tablette qui devient un terminal de l’entreprise.

Mais « Si l’entreprise maîtrise l’état technique des tablettes avant distribution, tant mieux ».

Posons la question autrement : quid de l’usage à but personnel de son terminal professionnel ? « Oui, à partir du moment où l’on reste dans le cadre des règles édictées » (charte informatique en entreprise…).

Logiquement, les éditeurs de solutions de sécurité défendent leur pré-carré.

Et parviennent même à tourner la position anti-BYOD à leur avantage en mettant en avant les dimensions de la « compétitivité » et de la « productivité » essentielles en entreprise.

Même au sein de la communauté des éditeurs de solutions de sécurité IT, l’aspect BYOD est parfois estompé voire biffé.

Ainsi, lors de la session de clôture de la première journée des Assises de la sécurité IT, Fabrice Hatteville, Chef de Produit Sécurité Voix chez le groupe Thales, considérait le BYOD comme un « sous-ensemble » de la problématique de la mobilité (« subset »).

Au regard des voyants rouges qui s’allument autour du BYOD, il n’est pas sûr que le concept reste longtemps sous le feu des projecteurs…

©-blas-Fotolia.com