1
2
D’où vient le BYOD ? # entreprise qui veut réduire ses CAPEX ?   § les smartphones ne sont pas des assets rentrant dans le...
4
Quand j’ai commencé à travailler, j’enviais mon directeur parce qu’il venait enréunion avec son ordinateur portable.Alors ...
Contrairement à ce qui est affiché, nous ne disposons pas vraiment de chiffredes usages du BYOD.Car, # hyper varié entre l...
Device :  # pour baisser les coûts des forfaits data et augmenter l’expérience utilisateur,la connexion au Wifi de l’entre...
iv) OS qui évolue trop lentement.NOKIA : # disparition d’un géant en faveur de Samsung à cause d’un               i) OS ob...
Risque pour les données professionnelles et personnelles # Confidentialité & Intégrité : En cas de perte ou de vol d’un te...
§ coffre-fort de mot de passe  § configuration des SSID / VPN enregistrés. Les mots de passe sont parfois stockésde manièr...
produit et reste manuel et n’est pas efficace à 100% et presque impossible dans le casd’une connexion VPN.               ...
mis à disposition de l’entreprise éventuellement soumis à l’approbation, un chef deservice pourrait tout à fait faire pres...
le monde ? Corolaire : comment justifier de la mise à disposition de ce service ?                 risque réduit en préfér...
La stratégie initiale : conserver l’expérience utilisateur du terminal pour qu’ilaccède aux données personnelles.400,000 e...
10
11
Application : # utilisez les possibilités offertes par les services (type activeSync) pourpousser des politiques de sécuri...
§ lourd en installation et consomme beaucoup de mémoire et CPU ce qui greve lesperformances de la batterie.   § limiter l’...
# configuration des infrastructures d’entreprise Mail/Wifi/VPN : possibilité deparamétrer dans une politique centralisée l...
13
# Quelles sont les techniques pour détecter un iPhone jailbreaké se connectantà ActiveSync ? § Filtrage sur les User-Agent...
15
# Mécanismes classiques de contrôle d’accès suite à l’authentification desutilisateurs               pas forcément la par...
17
18
19
Prochain SlideShare
Chargement dans…5
×

Byod mancala networks groupe casino byod - version finale

449 vues

Publié le

Publié dans : Technologie
0 commentaire
0 j’aime
Statistiques
Remarques
  • Soyez le premier à commenter

  • Soyez le premier à aimer ceci

Aucun téléchargement
Vues
Nombre de vues
449
Sur SlideShare
0
Issues des intégrations
0
Intégrations
2
Actions
Partages
0
Téléchargements
18
Commentaires
0
J’aime
0
Intégrations 0
Aucune incorporation

Aucune remarque pour cette diapositive

Byod mancala networks groupe casino byod - version finale

  1. 1. 1
  2. 2. 2
  3. 3. D’où vient le BYOD ? # entreprise qui veut réduire ses CAPEX ? § les smartphones ne sont pas des assets rentrant dans les actifs del’entreprise. Leur coût est inclus dans les coûts d’abonnement => c’est déjà del’OPEX # des RHs qui veulent forcer la productivité des salariés ? # des RSSI qui , …, # salariés qui recherchent du confort ?Est-ce vraiment rentable ?Variation de la part des postes extérieurs dans le budget, en OPEX, entre 0,1%(100) et 0,6% (1000) sur 5 ans.Toujours sur 5 ans, la part d’acquisition du matériel avec une configurationbureautique basique représente 20% du coût total. ROI à aller chercher en – de 5 ans, pas évident. 3
  4. 4. 4
  5. 5. Quand j’ai commencé à travailler, j’enviais mon directeur parce qu’il venait enréunion avec son ordinateur portable.Alors que j’ai eu mon ordinateur portable (sans être directeur), j’enviais mondirecteur parce qu’il venait en réunion avec son notebook.Alors que j’ai mon notebook, j’enviais mon directeur parce qu’il venais enréunion avec son blackberry.Alors que j’ai eu mon blackberry, j’enviais mon directeur parce qu’il venait enréunion avait une clé 3G (et un accès à Internet bien entendu).Alors que j’ai eu ma clé 3G, j’enviais mon directeur parce qu’il venait enréunion sans clé 3G mais toujours avec un accès à Internet (magie ? non, SIMintégrée).Alors que j’ai eu un notebook avec une SIM intégrée, j’enviais mon directeurqui venait en réunion avec son iPhone et son iPad.Alors que mon directeur vient en réunion avec son iPhone et son iPad, je nel’envie plus car mes enfants jouent avec à la maison.Moralité : comme tout mon monde (mon directeur, mes enfants et moi) utiliseun iPhone ou un iPad, pourquoi je ne travaillerai pas avec ? 5
  6. 6. Contrairement à ce qui est affiché, nous ne disposons pas vraiment de chiffredes usages du BYOD.Car, # hyper varié entre les pays, 1/3 des japonais ne se connecte pas au SI de sonentreprise avec son terminal personnel ! # chiffres des OS très différents, plus souvent observés BBY 80%, iOS 17%,Androïd 3% dans plusieurs groupe du CAC40 6
  7. 7. Device : # pour baisser les coûts des forfaits data et augmenter l’expérience utilisateur,la connexion au Wifi de l’entreprise est ou sera demandée ; # le volume de tablette est sous représenté par rapport à son intérêt.Certains secteurs d’activité en pointe (médical), mais évolution à prévoir (exdu kit de renforcement d’un iPad) ;Applications : # principal facteur de succès du smartphone (ex Nokia). Observé : enmoyenne 30 applications par smartphone et 60 par tablette ; # trop d’applications pro disponibles sur les stores (SAP, Microstrategie,CRM, VPN Aventail ou CheckPoint ...) alors qu’elle ne devrait l’être que dansdes stores privés ;RIM : # atteinte à l’image et forte perte de marché à cause i) d’une panne d’infrastructure, ii) matériel inadapté aux désirs des consommateurs (passageaux écrans tactiles plutôt que clavier), iii) store peu dynamique, 7
  8. 8. iv) OS qui évolue trop lentement.NOKIA : # disparition d’un géant en faveur de Samsung à cause d’un i) OS obsoléte et ii) pas de store.  RIM s’en sort quand même bien, non ? ;-)Android : # Nouveau leader des OS avec 50 % PdM # Q1 2012: R4.0: Première release compatible Smartphone et Tablette -> tendancelourde, déjà le cas pour iOS, pas encore suivie par Microsoft pour sa nouvelle versioniOS: # PdM en baisse autour de 20% # pour le grand public (cœur du BYOD), adaptation difficile à l’entreprise bien queplus avancée qu’AndroïdMicrosoft : # à voir quelles seront les stratégies d’intégration, mais ils peuvent prendre une partimportante des smartphones d’entreprise. 7
  9. 9. Risque pour les données professionnelles et personnelles # Confidentialité & Intégrité : En cas de perte ou de vol d’un terminal nonprotégé, ou simplement lorsque l’on s’absente le temps d’une pause café, lesdonnées exposées sont variées : § ce qui transite par mail et SMS ; § calendrier avec ordre du jour en attachment ainsi que les informations deconnexion à des conf call/visio, § contacts éventuellement avec le numéro de téléphone personnel lorsquel’on se connait bien ou en commentaire le code d’accès de la porte del’immeuble à côté de l’adresse …. Mais aussi …. § messagerie personnelle § application de RS, LinkedIn / Facebook / Twitter. Ces applicationsn’existent pas pour les ordinateurs. § application GPS (ex Google Maps) avec consultation de l’historique desitinéraires recherchés. § photo et vidéo : loi du premier appareil sous la main : qui n’a jamais prisde photo personnelles avec son portable professionnel (exploit footbalistiquedu dimanche) ou une photo professionnelle avec sont smartphone personnelcar la définition est meilleure (paperboard en fin réunion) 8
  10. 10. § coffre-fort de mot de passe § configuration des SSID / VPN enregistrés. Les mots de passe sont parfois stockésde manière sécurisés, mais cela permet d’initier facilement une attaques ; § reader de RSS/news personnels renseignants sur les centres d’intérêts dupropriétaire  le backup d’un iPhone, même chiffré peu être fait en clair viaiTunes. § les données peuvent être synchronisées avec des services cloud designésinitialement pour le grand public, dans lesquels les besoin de confidentialité sontdifférents, bien que le service reste accessible sur le smartphone (ex iCloud d’Apple). § prendre en compte les nouvelles menaces. Exemple d’une attaque de type MitB(Man In The Browser), plus simple à mettre en œuvre qu’une écoute entre un client etun serveur web => la sécurisation via HTTPs avec authentification mutuelle n’est plusefficace, car le browser compromis peut être accéder par le malware.  risque d’usurpation d’identité (avec les mots de passe stockés dansSafari par exemple) et risque de ne pas disposer d’architecture techniques répondantconcrètement à cas ces menaces et donnant un faux sentiment de sécurité. § ils devient impossible de monitorer les informations échangées depuis ceterminal puisque cela ne passe pas par des infrastructures internes. Il devient alorsimpossible de surveiller la fuite d’information (ex d’un malware sortant desinformations), mais aussi et surtout d’apporter des preuves notamment dans le cadre deprocédure judiciaires.  risque de ne pas disposer de tous les leviers pour conclurepositivement des recherches par exemple. § risque pour l’intégrité du terminal de l’utilisateur : prévenir des conséquencesdu non-respect des baselines et des procédures compensatoires mise en œuvre(coupure du service et remote wipe). Est-ce que le désabonnement au service entrainel’obligation d’un remote wipe, si c’est le cas, bien le spécifier dans la charte ! # Disponibilité : § eBillet SNCF ou adresse de l’hôtel à Bogota qui ne sont plus disponible sur leterminal à cause d’un problème technique (synchronisation) ou de perte ; § échange de SMS avec un numéro de téléphone qui n’a pas été enregistré etimpossible à retrouver car l’historique n’est pas conservé très longtemps ;Risque pour le SI de l’entreprise # Il est possible de détecter un terminal jailbreaké ou rooté lorsqu’il se connecte àActiveSync par exemple. En revanche, cela n’est pas une fonctionnalité native du 8
  11. 11. produit et reste manuel et n’est pas efficace à 100% et presque impossible dans le casd’une connexion VPN.  le risque de perte de contrôle de l’accès au SI est réduit, mais loind’être supprimé # les attaques par déni de service plus simple via des smartphones. Pourquoi ? § Attaque via VPN : la mémorisation des informations est presque casi-systématiques sur les terminaux (pwd complexe pénibles à saisir à chaque fois) § connexion sur le réseau WIFI de l’entreprise pour bénéficier un débit plusimportant (souvent directement sur le LAN, car on estime que la connexion n’estpossible que lorsque l’utilisateur est dans les locaux –limitation du rayonnement deshotspots- et que l’on se dit que toutes personnes présentes dans les locaux est deconfiance)  risque de déni de service qui peut paralyser le fonctionnement duLANRisque Organisationnel, Juridique et Réglementaire # supporter les utilisateurs dans l’utilisation de terminaux très variés ;  risque financier de coûts cachés dans l’exploitation qui devra êtrefaite par les administrateurs. L’animation d’une page de FAQ du type « base deconnaissance » sur les difficultés techniques les plus fréquemment rencontrées peutaider à éviter que les utilisateurs contactent trop fréquemment les administrateurs. Ladésignation d’un expert (avec la bande passante suffisante) clairement désigné dans lacharte est aussi une bonne pratique, la consultation de l’expert restant limitée à laconfiguration des baselines de sécurité. # la responsabilité de l’entreprise peut-être engagée dès lors qu’une action estengagée sur le terminal personnel de l’utilisateur. Même si la connexion au service aété définie comme volontaire. De plus, l’équilibre contractuel dans un service deBYOD est clairement en faveur de l’entreprise et peut être facilement remis en causeen cas de conflit.  risque juridique et financier. Pas encore de jurisprudence. Peut-êtreréduit par l’utilisation de solution de type silo applicatif ainsi qu’en listantexhaustivement les conditions de déclenchement des wipe. Décrire très clairement quiprendrai en charte d’éventuels coûts de roaming sur un portable personnel en cas dedéplacement à l’étranger. # Il est possible d’engager la responsabilité de l’utilisateur en cas de dommagescausés par l’équipement de l’utilisateur, mais si ce dernier démontre de l’utilisationcorrecte de son téléphone, respectant intégralement ou partiellement la charte (bonnevolonté), il y a peu de chance que l’entreprise obtienne gain de cause.  risque juridique et financier de ne pas trouver de tiers contre qui seretourner. # Même si la connexion est basée sur le volontariat, comme il s’agit d’un service 8
  12. 12. mis à disposition de l’entreprise éventuellement soumis à l’approbation, un chef deservice pourrait tout à fait faire pression sur ces subordonnés pour qu’ils travaillent endehors des plages horaires contractuelles. Ex : accident de voiture sur un trajet Lyon-Ste parce qu’un utilisateur répondrait à un mail.  ce service peut augmenter les risques psycho-sociaux, induisant desrisques financiers, juridiques et surtout d’image # les risques liés à la propriété intellectuelle sont à pondérer et surtout à différencierentre smartphones/laptop ainsi qu’entre consultation et production. § smartphone / laptop : SAP, Oracle, MicroStrategy, mettent leur client à dispositiongratuitement sur les stores des smartphones. C’est la connexion au serveur quiconsomme une licence. § consultation / production : les viewers Office sont gratuits sur Internet. Enrevanche, la production locale est un vrai problème mais les produits sont en train des’adapter. Exemple de Google Apps et l’utilisation hors connexion avec Chrome dontle licencing n’est pas lié au poste de travail.  risque d’influencer les stratégies IT de l’entreprise afin de toujoursprivilégier les clients web avec des contraintes induites supplémentaires (support deflash sur iOS par exemple plus un client riche) #l’hyper-connectivité devient addictive. Le lien créé en permanence entre le salariéet l’écosystème professionnel induit de nouvelle posture. La plus préoccupante estl’obligation de réaction induite par cette logique d’instantanéité. L’addiction survientcar la réponse immédiate apportée à une demande procure une sensation de plaisir,similaire à celle procurée par des drogues : « vous avez vu comment je suis capable derépondre rapidement, je suis le meilleur » # Les échanges de mail professionnel effectués durant son temps de transportquotidiennement, peuvent-ils être considérés comme du temps de travailsupplémentaire ? -> question biaisée pour les cadres qui ont un volume de jour/an. -> est-ce du télétravail ? Non, si l’on s’en référe à la définition de l’accordinterentreprise -> est-ce du nomadisme comme les commerciaux, car les utilisateurs ont un bureau? -> est-ce du travail sous astreinte ? Non, bien encadrer par des avenants au contrat,entre des tranches horaires particulières.  la charte smartphone doit mentionner qu’il s’agit d’une démarchevolontaire de l’utilisateur et que l’ouverture de ce service ne constitue en rien uneobligation de consultation de sa messagerie ou de réponse à des sollicitations endehors de son temps de travail. # Est-ce discriminatoire si le service ne coûte rien mais qu’il n’est pas ouvert à tout 8
  13. 13. le monde ? Corolaire : comment justifier de la mise à disposition de ce service ?  risque réduit en préférant la gestion d’une unique politique desécurité plutôt que de distinguer Pro vs Perso, moins discriminant 8
  14. 14. La stratégie initiale : conserver l’expérience utilisateur du terminal pour qu’ilaccède aux données personnelles.400,000 employés, 10% (40,000) avec Blackberrys et 20% (80,000) avec leurssmartphones et tablettes personnelles pour accéder au réseau interne d’IBM.Premier retour arrière: « The whole bring-your-own-device trend may cause asmany problems as it solves” IBM CIO Jeanette Horan. Blocage de l’utilisationde dropbox/SkyDrive/G-Drive et evernote. L’avantage était la facilité departage de fichier et la synchronisation multi-device.  empiète sur le monde personnel de l’utilisateur car pour sesbesoins personnels, il ne peut plus utiliser ces 2 services. La réponse dedropbox a été de dire que leur service n’était pas à destination desprofessionnels et qu’ils feraient du best effort sur la confidentialité des données(sic). Ainsi que de SIRI, la reconnaissance vocale, qui a fait vendreénormément d’iPhone4  idem Programme toujours actif, mais particulièrement contraint. 9
  15. 15. 10
  16. 16. 11
  17. 17. Application : # utilisez les possibilités offertes par les services (type activeSync) pourpousser des politiques de sécurité en préalable à la connexion du device. § Exchange 2010 qui pousse la politique et qui permet de mettre le terminalen quarantaine dans le cas où il ne respecterait pas les baselines.MDM : # exemple de l’agent Good Technology qui est censé détecter une devicejailbreaké mais que l’on peut abuser avec XCON # Reste encore dans la philosophie de gestion d’une flotte complète alors queles terminaux n’appartiennent plus à l’entreprise # Présentation des origines des acteurs du MDMHypervisor / VM # Exemple VMWare. A confirmer techniquement, encore jeune. # Actuellement, trop de cloisonnement : dans le container professionnel, je nepeux pas recevoir les notifications (mail reçus, tweets, …) de la partiepersonnelle du terminal. # quelques challenges à relever pour l’hyperviseur : 12
  18. 18. § lourd en installation et consomme beaucoup de mémoire et CPU ce qui greve lesperformances de la batterie. § limiter l’adhérence avec l’OS (pas simple pour un hyperviseur) pour ne pas êtrelié aux montées de version et se maintenir toujours opérationnel dans la version la plusà jourSandBoxing : # Mise en place de silos d’entreprise ou sandbox (bac à sable) permettant d’isoler lesdonnées d’entreprise dans des espaces spécifiques.Sybase, Good Technologies ou Mobiquant propose ce type de technologie. Problème :ce ne sont pas les clients natifs de l’OS qui sont utilisés, mais des clients développéspar les éditeurs. L’expérience utilisateur est dégradée. # Alternative : Teopad sur Androïd, qui interface directement les primitives de l’OSet qui propose donc un bac à sable utilisant les applications natives de l’OS. Le reversde la médaille est que Teopad est pour l’instant disponible que sur Androïd car Applene permet pas une intégration dans les couches basses d’iOS et étend difficilement sesAPIs. # le challenge consiste en la mise en œuvre d’une sécurisation valable pour 3 typesd’applicatifs d’entreprise : § applications bureautiques, § applications commerciales (SAP, Oracle, Microstrategy, ...) § applications dentreprise developpées par elle-même.SECURITY BASELINE # gestion de enrollment et de la révocation : lors de ces deux processus, il peut êtreintéressant d’intégrer une validation avant l’ouverture du service ou sa coupure (horscontexte d’incident). Techniquement, cette validation est possible. # Chiffrement des données : idem, obligatoire ou pas. Attention, certains terminauxne propose pas cette API et ne pourrons pas être compatible avec la charte. /!Attention aussi à la consommation de batterie + importante induite : pour des BBY, ladurée d’utilisation pouvait être divisée par 2, d’où l’intérêt de le stipuler dans la charte. # Politique de mot de passe : presque tous les terminaux proposent cette API. Elledoit faire partie de la baseline la plus minimale. Prévoir une modification de lapolitique de sécurité pour intégrer une politique de pwd allégée pour les smartphones.Des alternatives aux pwd sont disponibles, comme les schémas par exemple sousandroïd. Ils peuvent amener un niveau de sécurisation intéressant, ils sont plus difficileà inscrire sur un post-it ;-) # remote lock/wipe : possibilité technique de verrouiller le terminal ou de l’effacer àdistance. A disposition de l’utilisateur et de l’administrateur. C’est la baseline la plusproblématique à intégrer dans la charte, notamment aux vues de l’intrusion que celareprésente sur le mobile de l’utilisateur en cas de déclenchement. 12
  19. 19. # configuration des infrastructures d’entreprise Mail/Wifi/VPN : possibilité deparamétrer dans une politique centralisée le déploiement de ces composants. 12
  20. 20. 13
  21. 21. # Quelles sont les techniques pour détecter un iPhone jailbreaké se connectantà ActiveSync ? § Filtrage sur les User-Agent dans les headers HTTP. Attention, nécessaire demaintenir ces règles à jour sur les Reverses Proxy. Pas exhaustif, car il estpossible de spoofer un User-Agent sur iPhone http://security.stackexchange.com/questions/918/blocking-insecure-iphones-from-accessing-activesync?rq=1 http://www.paperblog.fr/5200520/xcon-le-tweak-qui-permet-de-contourner-la-detection-du-jailbreak-pour-les-appli/  les softs de MDM sont concernés par ce masquage ;-) 14
  22. 22. 15
  23. 23. # Mécanismes classiques de contrôle d’accès suite à l’authentification desutilisateurs  pas forcément la partie la plus facile, car elle nécessite laprise en compte de cette contrainte dés le début des développements. § l’utilisateur doit-il s’authentifier avec son compte AD/LDAPd’entreprise ? § Faut-il qui saisisse systématiquement son pwd ou est-il stocké sur leterminal une fois la phase d’initialisation effectuée ? § Est-ce un compte générique qui est utilisé, avec le risque de reverseengineering permettant d’extraire des données ?# Chiffrement, classique, suite à une analyse de risque. Attention particulièreportée aux données personnelles.# Protection des hôtes et des applicatifs (hardenning, AV, confinement, …) 16
  24. 24. 17
  25. 25. 18
  26. 26. 19

×