MED IT CASABLANCA NOVEMBRE 2012

Transcription

1 MED IT CASABLANCA NOVEMBRE 2012 COMMENT GARANTIR LA SÉCURITÉ ET LA MAÎTRISE DU SYSTÈME D INFORMATION ET DES DONNÉES? QUELLE FRONTIÈRE ENTRE VIE PRIVÉE ET VIE PROFESSIONNELLE POUR LE SALARIÉ? Me JOLY Cathie-Rosalie Avocat Associé Cabinet Ulys Docteur en droit, thèse sur les paiements en ligne Avocat au barreau de Paris Avocat communautaire au barreau de Bruxelles (Liste E) Chargée d enseignement à l Université Paul Cezanne (Aix Marseille III) Responsable de l Atelier Paiement et monnaie électronique de l ADIJ Formateur sur le Cloud Computing (formation Comundi) cathierosalie.joly@ulys.net 13/08/ ULYS

2 LES ASPECTS JURIDIQUES DU BYOD BYOD «Bring Your Own Device» Utilisation à des fins professionnelles par les salariés de leurs terminaux mobiles personnels 13/08/ ULYS

3 LES ASPECTS JURIDIQUES DU BYOD BYOD Utilisation à des fins professionnelles par les salariés de leurs terminaux mobiles personnels Consumérisation de l IT Mouvement plus large désignant l usage d outils «grand public» (type tablette ou smartphone), personnels ou fournis par l entreprise, dans un cadre d entreprise 13/08/ ULYS

4 LES ASPECTS JURIDIQUES DU BYOD Etat des lieux Le BYOD, une tendance incontournable pour les entreprises: Selon l Etude Avanade (publiée en janvier 2012, menée auprès de 605 décideurs, responsables métier et informatiques de 17 pays en Amérique du Nord, en Amérique du Sud, en Europe et dans la zone Asie-Pacifique) (Avanade: Fournisseur de solutions de technologies d'entreprise et de services de gestion d'applications) 88 % des cadres sondés utiliseraient leurs propres terminaux informatiques pour les besoins de leur travail Les postes d utilisation révélés: 85% Messagerie 45% Gestion des Relations Clients 44% Gestion du temps et des dépenses 38% Planification des ressources de l entreprise (ERP) 13/08/ ULYS

5 LES ASPECTS JURIDIQUES DU BYOD Etat des lieux Le BYOD, une prise en compte variable par les entreprises: Selon l étude Avanade: 60 % des entreprises interrogées disent adapter leur système IT à l utilisation des terminaux personnels de leurs salariés 73% des chefs d entreprises présentent l utilisation croissante des terminaux personnels comme étant une priorité majeure de l organisation de l entreprise Selon une enquête Unisys, (Enquête mondiale menée sur 3000 employés, 650 DSI, de juin 2010): L utilisation de leurs propres terminaux par les employés est ignorée ou sous-estimée par les entreprises 13/08/ ULYS

6 LES ASPECTS JURIDIQUES DU BYOD Les Avantages du BYOD Utilisation des terminaux «grand public» (tablettes, smartphones) personnels par les salariés Travailler, synchroniser les contacts, agenda, accéder à la messagerie d'entreprise De chez soi ou en situation de mobilité / au bureau avec ses propres terminaux Mobilité accrue Gain de temps et d efficacité Augmentation de la productivité Satisfaction des salariés qui utilisent des terminaux souvent plus modernes et plus conviviaux que ceux fournis par l entreprise 13/08/ ULYS

7 LES ASPECTS JURIDIQUES DU BYOD Les risques du BYOD Pour l entreprise: Risque pour la sécurité du système d information Risque de fuite / perte de données Pour le salarié: Risque d un décloisonnement entre vie privée et vie professionnelle et d une hyper-connectivité 13/08/ ULYS

8 LES ASPECTS JURIDIQUES DU BYOD L intérêt de mener une politique BYOD proactive: Minimiser les risques en terme de sécurité des données de l entreprise Minimiser les risques d hyper-connectivité pour le salarié Profiter pleinement des avantages du BYOD 13/08/ ULYS

9 LES ASPECTS JURIDIQUES DU BYOD Les modalités d une politique BYOD proactive 2 questions: Comment garantir la sécurité et la maîtrise du système d information et des données? Quelle frontière pour le salarié entre vie professionnelle et vie privée? 2 outils: Le contrat de travail La charte informatique Des exigences: Une sensibilisation de l ensemble des membres de l entreprise quant aux risques de l utilisation de terminaux «grand public» dans un cadre professionnel La définition d obligations de sécurité, voire d interdictions La définition d un cadre juridique de travail adapté aux nouvelles technologies 13/08/ ULYS

10 LES ASPECTS JURIDIQUES DU «BYOD» Comment garantir la sécurité et la maîtrise du système d information et des données? 13/08/ ULYS

11 COMMENT GARANTIR LA SÉCURITÉ ET LA MAÎTRISE DU SYSTÈME D INFORMATION ET DES DONNÉES? Le BYOD, faut-il en avoir peur? «Dans une entreprise, non on ne travaille pas avec son terminal privé» Discours d ouverture de Patrick Pailloux, directeur général de l ANSSI (Agence nationale de la sécurité des systèmes d information, France), Assises de la sécurité 2012 Polémique créée par P. Pailloux aux Assises de la sécurité 2012 contre le BYOD Suggère de dire «non», et d imposer ou de rappeler des règles en matière de sécurité du SI, de faire accepter aux utilisateurs des contraintes, même dans le monde immatériel Au nom de la sécurité informatique, de «l hygiène» informatique 13/08/ ULYS

12 COMMENT GARANTIR LA SÉCURITÉ ET LA MAÎTRISE DU SYSTÈME D INFORMATION ET DES DONNÉES? Le Byod, faut-il en avoir peur? Plus d un tiers des ateliers et tables rondes lors des Assises de la Sécurité 2012: consacrés à la problématique du BYOD Positions prises face au BYOD lors des Assises de la Sécurité 2012: P. Pailloux (ANSSI): Refus du BYOD RSSI: fatalistes, les VIP exigeant le BYOD, on doit l accepter Editeurs de solutions informatiques: Ne pas avoir peur Nécessité d une réflexion sur le BYOD au sein des entreprises Faire un choix face au BYOD 13/08/ ULYS

13 COMMENT GARANTIR LA SÉCURITÉ ET LA MAÎTRISE DU SYSTÈME D INFORMATION ET DES DONNÉES? Faire un choix face au BYOD Interdire le BYOD: Mais un tel choix = pas tenable, peu acceptable par les salariés Perte des opportunités que peut offrir le BYOD en terme de mobilité Interdire le BYOD mais définir et mettre en place un projet de mobilité intégrant une «consumérisation de l IT» = l entreprise fournit elle-même ses employés avec des terminaux «grand public» sécurisés: En terme de sécurité, l outil «grand public» même fourni par l entreprise pose les mêmes questions que le terminal «grand public» personnel du salarié Mais, le terminal «grand public» fourni par l entreprise sera plus facilement contrôlable Exemple de l INA: l INA a opté pour une politique de consumérisation de l IT Eviter une pénétration non maîtrisée de terminaux Administrer et contrôler un parc homogène de terminaux (permet à l INA d analyser l intégrité de ses terminaux) Signature par les utilisateurs d une charte d usage Ne supprime pas totalement l hypothèse du BYOD: des stagiaires ou des producteurs exploitant les fonds peuvent accéder aux contenus avec leur propre matériel Accepter le BYOD: Question de la sécurisation du terminal personnel autorisé (Comment? Est-ce que c est possible?) 13/08/ ULYS

14 COMMENT GARANTIR LA SÉCURITÉ ET LA MAÎTRISE DU SYSTÈME D INFORMATION ET DES DONNÉES? Faire un choix face au BYOD Accepter le BYOD Mise en œuvre d une politique proactive du BYOD Autoriser l'utilisation d'un terminal personnel sous réserve d un accord précis sur certaines obligations à respecter Définition d obligations acceptées de sécurisation du matériel à encadrer dans le contrat de travail ou la charte informatique: Sécurisation des accès, Authentification Cloisonnement données pro/privées (déterminer ce qui peut être conservé sur le terminal mobile, comment sont distinguées données pro/perso) Configuration minimum requise Chiffrement Audit /Consultation Obligation de déclaration sans délais (perte, vol, divulgation codes d accès ) Effacement des données à distance 13/08/ ULYS

15 COMMENT GARANTIR LA SÉCURITÉ ET LA MAÎTRISE DU SYSTÈME D INFORMATION ET DES DONNÉES? Faire un choix face au BYOD Accepter le BYOD Accepter son coût Coût de la sécurisation: Exploiter et administrer un parc hétérogène de terminaux, en interne ou en externe Développements spécifiques en vue de permettre l accès au système d information à l ensemble des terminaux utilisés Possible indemnisation du salarié pour l utilisation de son propre terminal 13/08/ ULYS

16 COMMENT GARANTIR LA SÉCURITÉ ET LA MAÎTRISE DU SYSTÈME D INFORMATION ET DES DONNÉES? Le BYOD: textes applicables en France en cas de fuite / perte de données? Loi Informatique et Libertés, notamment conservation des données sensibles (banque, santé, etc.), Règles sur les fuites de données, Commerce électronique, Protection des consommateurs, Obligations de conservation de documents comptables et fiscaux, etc. Obligations spécifiques de sécurité : secteur de la banque et de l assurance, de la santé, etc. 13/08/ ULYS

17 COMMENT GARANTIR LA SÉCURITÉ ET LA MAÎTRISE DU SYSTÈME D INFORMATION ET DES DONNÉES? Le BYOD: question de la responsabilité? L entreprise? L utilisateur (employé)? 13/08/ ULYS

18 LES ASPECTS JURIDIQUES DU BYOD Quelle frontière entre vie privée et vie professionnelle pour le salarié? 13/08/ ULYS

19 QUELLE FRONTIÈRE ENTRE VIE PRIVÉE ET VIE PROFESSIONNELLE POUR LE SALARIÉ? Risques RH Risque de discrimination (à l embauche, dans l accès au SI)? Temps de travail/vie privée PB RH respect de la durée légale du travail Blocage des s (congés, horaires ) Environnement pro/perso 13/08/ ULYS

20 QUELLE FRONTIÈRE ENTRE VIE PRIVÉE ET VIE PROFESSIONNELLE POUR LE SALARIÉ? Quelles Responsabilités? Quelle assurance pour couvrir la casse, vol, perte du matériel personnel? Licences de logiciel Applications gratuites à usage perso/payante pro Lister les licences pro 13/08/ ULYS

21 MED IT CASABLANCA NOVEMBRE 2012 MERCI POUR VOTRE ATTENTION DOMAINES D INTERVENTION ULYS, un Cabinet d avocats moderne et humain au service de l innovation! New Technologies, Privacy & ICT Me JOLY Cathie-Rosalie Intellectual Property Avocat Associé Cabinet Ulys Docteur en droit, thèse sur les paiements en ligne Cinema, Media & Entertainment Avocat au barreau de Paris E-Payment, E-Finance & Internet Banking Avocat communautaire au barreau de Bruxelles (Liste E) Chargée d enseignement à l Université Paul Cezanne (Aix Marseille III) Sport & Gaming Responsable de l Atelier Paiement et monnaie électronique de l ADIJ Commercial Law Formateur sur le Cloud Computing (formation Comundi) cathierosalie.joly@ulys.net 13/08/ ULYS