Terminaux mobiles : ce que vous pouvez exiger, et ce que vous ne pouvez pas

La flotte mobile est le dernier périmètre traité sérieusement, et souvent le seul qui échappe entièrement à la politique de sécurité. Les téléphones accèdent à la messagerie, aux agendas, aux annuaires, parfois aux applications métier — c’est-à-dire à peu près tout ce dont un attaquant a besoin pour préparer une fraude au virement.

Le sujet est traité tard parce qu’il est inconfortable : il touche à des appareils que les gens considèrent comme les leurs, y compris quand l’entreprise les a payés.

La question qui conditionne tout : qui possède l’appareil

Ce n’est pas une nuance administrative. Elle détermine ce que vous avez le droit d’imposer.

Sur un terminal fourni par l’entreprise, la marge est large : imposer un code de déverrouillage, un niveau de version minimal, le chiffrement, l’interdiction d’installer hors des magasins officiels, et l’effacement à distance en cas de perte. Ces mesures sont légitimes dès lors qu’elles sont écrites, portées à la connaissance des salariés et proportionnées.

La limite existe malgré tout : la tolérance d’un usage personnel — quasi systématique en pratique — crée une zone de vie privée sur l’appareil professionnel. Consulter les communications personnelles d’un salarié sur un téléphone d’entreprise reste interdit.

Sur un terminal personnel, tout change. Vous ne pouvez pas exiger le contrôle de l’appareil, ni imposer une configuration générale, ni a fortiori l’effacer à distance. Effacer le téléphone d’un salarié — photos de famille comprises — parce qu’il quitte l’entreprise expose l’employeur, et le fait qu’une case ait été cochée lors d’un accord initial ne suffit pas à couvrir la mesure.

La seule approche tenable est le cloisonnement : un espace applicatif dédié qui contient les données professionnelles, chiffré, effaçable indépendamment, et sur lequel l’employeur n’a de visibilité que dans son périmètre. En dehors du conteneur, aucune donnée n’est accessible.

C’est un point à trancher avant de choisir un outil, pas après. Il conditionne la solution, le coût et l’acceptabilité.

Les cinq mesures qui comptent

Toutes s’appliquent aux deux modèles, à des périmètres différents.

• Le verrouillage et le chiffrement. Ils sont actifs par défaut sur les systèmes récents dès qu’un code est défini. La mesure réelle consiste donc à imposer un code — et à interdire son absence, qui reste fréquente sur les tablettes partagées.
• Le niveau de version. C’est le point faible du parc mobile. Un terminal qui ne reçoit plus de correctifs est un poste non corrigeable connecté à votre messagerie. La politique se formule en durée : au-delà de tel âge ou de telle version, l’accès aux ressources professionnelles est refusé. Cela suppose d’assumer un renouvellement, donc un budget.
• La séparation des données. Conteneur applicatif ou profil professionnel selon le système. Elle rend possible l’effacement sélectif au départ d’un salarié — l’opération la plus fréquente, et celle qui se passe mal sans cloisonnement.
• Le contrôle de conformité à la connexion. Refuser l’accès si l’appareil ne satisfait pas les critères — code absent, version obsolète, système modifié. C’est la mesure qui donne un effet aux quatre autres : sans elle, la politique est déclarative.
• Le second facteur. Sur les accès sensibles, y compris depuis mobile. Un téléphone qui sert à la fois de terminal d’accès et de second facteur ne constitue plus deux facteurs distincts s’il est compromis — arbitrage à assumer explicitement.

Les angles morts

Le partage de connexion. Un téléphone qui fait passerelle entre un poste professionnel et Internet contourne l’ensemble du filtrage réseau, y compris la résolution de noms et l’inspection des flux sortants.

Les sauvegardes personnelles. Les données professionnelles d’un terminal non cloisonné remontent dans une sauvegarde grand public, sur un compte que l’entreprise ne maîtrise pas et qui survit au départ du salarié.

Les applications de messagerie instantanée. Elles portent une part croissante des échanges professionnels réels, sur des comptes personnels, hors de toute conservation et de toute réversibilité. C’est un sujet de conformité autant que de sécurité — et il ne se traite pas par l’interdiction, qui n’est jamais respectée.

Les terminaux non déclarés. Le téléphone personnel configuré en trois minutes pour recevoir la messagerie professionnelle n’apparaît dans aucun inventaire. Une extraction des terminaux connectés au service de messagerie, sur trente jours, révèle presque toujours un écart significatif avec le parc déclaré.

Ce qui fait accepter la mesure

Un déploiement sur terminaux personnels échoue s’il est présenté comme une contrainte de sécurité. Il passe s’il est présenté pour ce qu’il est : une garantie pour le salarié que l’employeur ne voit pas ses données personnelles et ne peut pas effacer son appareil.

Cette formulation n’est pas de la communication : c’est la description exacte de ce que le cloisonnement fait. Et c’est la raison pour laquelle la consultation des représentants du personnel, souvent perçue comme une formalité qui retarde le projet, est en réalité le moment où l’adhésion se gagne — ou se perd pour deux ans.

Sources

• CNIL — recommandations relatives à l’usage des terminaux mobiles et à la protection de la vie privée des salariés
• RGPD — articles 5 et 32, minimisation et sécurité du traitement
• ANSSI — recommandations relatives à la sécurité des terminaux mobiles en entreprise