Protect what you value. Comment profiter pleinement de l'informatique mobile sans mettre en péril la sécurité des données
Introduction La mobilité n'est pas la prochaine grande révolution : elle bat déjà son plein. Les ordinateurs portables sont omniprésents dans toutes les entreprises et permettent au personnel de travailler non plus seulement au bureau, mais aussi à leur domicile et en déplacement. Pratiquement tous les utilisateurs nomades possèdent aujourd'hui des BlackBerry, PDA et autres téléphones intelligents (smartphones) et périphériques de poche. Et leurs attachés-cases renferment vraisemblablement des clés USB, des lecteurs MP3 ainsi que des CD et des DVD, autant de supports amovibles capables de stocker plusieurs gigaoctets de données. Les données recueillies par les analystes confirment largement l'adoption croissante de l'informatique mobile. Dans son rapport annuel de 2007, «The Future of Mobile Computing» (L'avenir de l'informatique mobile), BCC Research souligne que le marché mondial de l'informatique mobile dépassera les 88,9 milliards de dollars d'ici à 2011. A l'origine de cette croissance figurent les ordinateurs portables (représentant 69,2 milliards de dollars en 2011) et les téléphones intelligents qui, selon les estimations du cabinet d'études, devraient connaître un taux de croissance annuel composé (CAGR) de près de 17,8 milliards de dollars. Le bureau d'études IDC, basé à Framingham (Massachusetts), prévoit également une progression du marché des périphériques mobiles convergents (téléphones intelligents et PDA), qui devraient passer de 124,6 millions d'unités en 2008 à 376,2 millions en 2012. En outre, à mesure que les périphériques mobiles et les technologies sans fil connexes gagneront en puissance et en fiabilité, la demande concernant les applications bureautiques et métiers mobiles ne fera qu'augmenter, accentuant encore le développement de l'informatique mobile. Cet essor de la mobilité s'accompagne toutefois d'un besoin croissant de sécurisation des données stockées sur tous les types de périphériques mobiles, qu'il s'agisse d'ordinateurs portables, de périphériques de poche ou de clés USB. Dans la mesure où les employés emportent de plus en plus ceux-ci hors des bureaux de leur entreprise alors qu'ils contiennent bien souvent des informations sensibles sur cette dernière et ses clients, le danger de vol ou de fuites des données augmente immanquablement. En fait, les incidents de sécurité liés aux périphériques mobiles ne cessent de s'étaler à la une des médias un peu partout dans le monde. Depuis la première grande attaque du réseau d'un important fournisseur de services sans fil en 2005, au cours de laquelle un pirate a réussi à mettre la main sur les mots de passe et numéros de sécurité sociale des clients ainsi qu'à télécharger des photos stockées par ceux ci sur leurs périphériques mobiles, les statistiques montrent une augmentation constante de ce type d'infractions (vol d'ordinateurs du gouvernement américain contenant les adresses e-mail et autres informations personnelles des citoyens, vol de bandes de sauvegarde de données dans le véhicule d'un transporteur commercial, etc.) et suscitent une grande inquiétude de la part des directeurs informatiques. Pour une entreprise, les conséquences peuvent être lourdes : des pertes de données d'une valeur de plusieurs millions d'euros, d'innombrables heures de travail consacrées à la restauration des informations, la perte difficilement quantifiable de confiance des clients et de revenus, une réputation ternie, sans oublier les pertes financières et les amendes encourues pour le non-respect des réglementations en matière de conformité. D'après l'étude 2007 sur la sécurité réalisée par IDC, 51 % des entreprises victimes d'une divulgation de données ont déclaré que celle-ci avait pour origine la perte ou le vol d'un ordinateur portable. Pour 33 % d'entre elles, l'infraction résultait de la perte ou du vol d'un PDA ou d'un téléphone intelligent. Les directeurs informatiques sont parfaitement conscients du problème de sécurité posé par l'informatique mobile, et près de 66 % de ceux qui ont été interrogés lors d'une étude réalisée en 2007 et sponsorisée par l'éditeur de solutions de gestion des périphériques mobiles Mformation Technologies Inc. se déclarent très préoccupés par les fuites de données liées aux périphériques mobiles. Pourtant, la plupart n'ont mis en œuvre aucune stratégie de sécurité mobile au sein de leur entreprise. La raison est simple : il est très difficile de protéger les entreprises contre les infractions de sécurité liées aux périphériques mobiles et, souvent, les directeurs informatiques ne savent pas comment appréhender le problème. 2
Il est clair que les entreprises doivent se prémunir contre cette «menace mobile» pour protéger leur marque et leur réputation, préserver leur compétitivité et maintenir leur conformité réglementaire. Mais comment une société tournée vers l'avenir et encourageant son personnel à être productif partout à la maison, au bureau ou lors de ses déplacements procède-t-elle pour protéger ses éléments de propriété intellectuelle et assurer la confidentialité des données de ses clients? 400 350 300 250 200 150 100 50 0 Quels sont les problèmes de sécurité mobile les plus importants rencontrés par votre entreprise? Perte ou vol de périphériques mobiles Accès non autorisé au réseau Vol de données lors de leur stockage passif Figure 1 : Etude SearchMobileComputing.com Octobre 2007 Stratégie de sécurité mobile en quatre volets Les entreprises à la pointe du progrès qui cherchent à améliorer la productivité de leur personnel en encourageant l'accès mobile doivent mettre en place une stratégie de sécurité mobile complète, constituée des quatre volets suivants : Sécurisation des informations stockées sur les postes de travail, les ordinateurs portables et autres périphériques mobiles Surveillance et mise en œuvre de restrictions concernant le transfert et la copie de données spécifiques sur les périphériques et les supports de stockage amovibles Blocage de la consultation non autorisée des données stockées sur tous types de supports amovibles Contrôle des actions que les utilisateurs sont autorisés à effectuer (modification, mise à jour, impression, etc.) sur des données spécifiques hébergées sur des ordinateurs portables, des périphériques mobiles ou des supports amovibles La section suivante décrit en détail les différents volets d'une stratégie complète de sécurité mobile. Virus Vol de données Non-respect lors de leur des obligations transfert sans fil réglementaires 1. Sécurisation des données stockées sur les ordinateurs portables et périphériques mobiles Dans la mesure où la première cause des divulgations et fuites de données est le vol ou la perte d'ordinateurs portables, les entreprises doivent impérativement se prémunir contre l'accès à leurs données confidentielles stockées sur ces systèmes mobiles dans le cas où ces derniers tomberaient entre les mains d'utilisateurs non autorisés. Le chiffrement est la principale technologie permettant de sécuriser les données stockées (de façon passive) sur les ordinateurs portables et autres périphériques mobiles de l'entreprise, dont les PC tablettes, les téléphones intelligents et les PDA, ou lors de leur transfert entre ceux-ci. Pour assurer leur protection, les entreprises doivent mettre en œuvre un chiffrement complet des disques afin de sécuriser toutes les informations stockées sur les systèmes et périphériques mobiles de l'entreprise. En outre, le chiffrement des fichiers et des dossiers est un excellent moyen d'empêcher leur lecture par quiconque ne dispose pas des autorisations requises, quel que soit l'emplacement d'enregistrement ou la destination de transfert de ces fichiers ou dossiers. «Nous utilisons les solutions McAfee afin de prévenir et non guérir. Je ne tiens pas à ce que mon entreprise dépense des millions d'euros pour remédier à une violation de sécurité. Je préfère qu'elle investisse dans la prévention de tels incidents.» Craig Williams, Directeur de la sécurité informatique, The Doe Run Company 2. Surveillance et mise en œuvre de restrictions concernant la copie de données spécifiques sur des périphériques et supports de stockage amovibles donnés La prolifération des périphériques de stockage amovibles en tous genres (tels que clés USB, lecteurs MP3, DVD et CD, équipements Bluetooth et infrarouge) constitue une hantise pour les directeurs informatiques. D'après une enquête récente sponsorisée par McAfee, plus de la moitié des répondants ont reconnu utiliser un périphérique portable pour faire sortir, chaque semaine, des données confidentielles de leur entreprise. Comment assurer une protection contre ce nouveau risque de sécurité? En surveillant et en limitant les données qu'il est possible de copier ou de transférer vers des périphériques et supports de stockage amovibles, les entreprises peuvent s'assurer que leurs données confidentielles et éléments de propriété intellectuelle n'échappent pas à leur contrôle. Partie intégrante de toute stratégie de sécurité mobile, le contrôle du transfert des données doit être effectué de façon granulaire. En d'autres termes, les entreprises doivent être en mesure de définir les données et le contenu dont la copie est interdite ou autorisée ainsi que les types de supports amovibles de destination autorisés et ce, de façon extrêmement précise, jusqu'à spécifier un périphérique particulier à l'aide de son numéro de série. 3
«La protection des données est la priorité numéro un des responsables de la sécurité informatique.» Etude 2007 «CISO Survey» (Enquête auprès de responsables de la sécurité informatique), Merrill Lynch 3. Blocage de la consultation non autorisée des données stockées sur des supports amovibles La clé USB compte parmi les systèmes de stockage amovibles qui ont le vent en poupe : elle est facilement transportable et, malgré sa taille réduite, offre un espace de stockage incroyablement élevé. Toutefois, si elle fait le bonheur des utilisateurs, elle représente par contre un véritable cauchemar pour les responsables informatiques en termes de sécurité. Grâce à ce minuscule périphérique, sortir des informations confidentielles et des éléments de propriété intellectuelle de l'entreprise devient un jeu d'enfant, et le risque est grand de les voir tomber entre les mains d'utilisateurs non autorisés, accidentellement ou non. Lors d'une enquête récente, plus de 55 % des répondants ont reconnu enregistrer régulièrement des documents sur une clé USB pour emporter celle-ci hors de leur entreprise. Parmi ceux-ci, 17 % ont même admis avoir laissé accidentellement leur clé USB sans surveillance dans un lieu public. Les entreprises à la pointe du progrès doivent protéger les informations stockées sur les lecteurs et clés USB dans le cadre d'une stratégie de sécurité mobile complète et cohérente. Le chiffrement de ces informations et la mise en place d'un contrôle d'accès strict et de l'authentification, de sorte que seules les personnes autorisées puissent les consulter, leur permettront de garantir la protection de leurs données confidentielles contre l'accès non autorisé, qu'il soit accidentel ou intentionnel. «En 2007, il en coûtait aux sociétés 6,3 millions de dollars en moyenne par divulgation de données.» Etude 2007 «Cost of Data Breach Study» (Coût des divulgations de données), Ponemon Institute 4. Contrôle des actions que les utilisateurs sont autorisés à effectuer (modification, mise à jour, impression, etc.) sur des données spécifiques hébergées sur des ordinateurs portables, des périphériques mobiles ou des supports amovibles Le transfert ou la copie des données sur des systèmes, périphériques mobiles et supports de stockage amovibles spécifiques ne devrait pas être le seul motif d'inquiétude des directeurs informatiques. Que font les utilisateurs des données stockées sur ces systèmes? Se contentent-ils de les consulter? Les envoient-ils par e-mail à des destinataires externes à l'entreprise? Les copient-ils sur un autre lecteur? Les modifient-ils d'une quelconque façon? Les impriment-ils pour ensuite envoyer les documents à des centaines de personnes? Dans le cadre d'une stratégie complète de sécurité mobile, les entreprises doivent mettre en œuvre des contrôles stricts quant aux actions pouvant être exécutées sur des données spécifiques et appliquer ces contrôles sur chaque système de leur réseau, des postes de travail aux ordinateurs portables, téléphones intelligents et PDA, en passant par tous les types de périphériques de stockage et supports amovibles. Ainsi, elles peuvent prévenir les fuites des données, où que les utilisateurs se trouvent : sur leur lieu de travail, à leur domicile ou en déplacement. «Nous avons déployé McAfee Total Protection en l'espace d'une semaine et n'avons eu à nous débarrasser d'aucun virus ni logiciel malveillant depuis lors.» Brian Young, Administrateur des systèmes, de la sécurité et du réseau, Health System Solution de sécurité mobile de McAfee McAfee Total Protection (ToPS) for Data comprend les produits dont vous avez besoin pour mettre en œuvre une stratégie de sécurité mobile complète qui englobe les quatre volets précédemment décrits. Composée de McAfee Endpoint Encryption, de McAfee Encrypted USB, de McAfee Host Data Loss Prevention et de McAfee Device Control tous gérés de façon centralisée par McAfee epolicy Orchestrator (epo ), la suite McAfee ToPS for Data allie une protection des systèmes et du réseau contre les menaces, des contrôles physiques et une analyse du comportement des données sensibles ainsi que la gestion de la conformité au sein d'une solution unique et intégrée. Elle garantit que seuls les utilisateurs autorisés peuvent accéder aux données sensibles et confidentielles. McAfee Endpoint Encryption Offrant deux formes de chiffrement pour protéger les données contre l'accès non autorisé lors de leur stockage ou de leur transmission, McAfee Endpoint Encryption procure une protection physique robuste, certifiée et normalisée aux données de l'ensemble des systèmes de votre organisation. Le chiffrement complet des disques sécurise les informations stockées sur les postes de travail, les ordinateurs portables, les PC tablettes et les périphériques mobiles. McAfee Device Control Pour contrôler les données copiées par les utilisateurs sur des supports amovibles tels que les clés USB, les lecteurs MP3, les CD et les DVD, McAfee Device Control vous offre la possibilité de surveiller et d'appliquer des restrictions relatives à la copie de données sur ces périphériques. Commencez par déployer le logiciel sur les postes clients gérés. Ensuite, définissez les stratégies permettant d'autoriser ou d'interdire la copie vers des périphériques de stockage amovibles donnés en fonction du contenu. McAfee Device Control applique automatiquement ces stratégies, surveille l'utilisation et bloque toute tentative non autorisée d'utilisation de ces périphériques ou de transfert des données contraire aux stratégies définies. McAfee Encrypted USB Grâce à McAfee Encrypted USB, vous pouvez empêcher que les données contenues dans les lecteurs USB soient consultées par des utilisateurs non autorisés, de façon accidentelle ou avec intention de nuire. La technologie de chiffrement puissante et les contrôles d'accès stricts de McAfee garantissent que les informations copiées et stockées sur des périphériques de stockage USB sont protégées et uniquement accessibles aux utilisateurs autorisés. 4
McAfee Host Data Loss Prevention (Host DLP) McAfee Host DLP vous offre la possibilité de protéger vos données contre les fuites de données externes ou internes grâce à la surveillance, l'audit et le contrôle complets des comportements des utilisateurs au niveau des postes clients. La protection au niveau de l'hôte sécurise les données, quel que soit leur emplacement et où que les utilisateurs se trouvent, que les postes clients soient ou non connectés au réseau d'entreprise. Composant essentiel de McAfee ToPS for Data, McAfee Host DLP vous permet de surveiller et de contrôler vos informations critiques, même en cas de modification de leur forme d'origine. Conclusion Etant donné la mobilité croissante du personnel à l'échelon mondial, il est impératif de prendre toutes les mesures qui s'imposent pour empêcher que les effectifs mobiles ne mettent en péril votre entreprise. Il suffit qu'un employé perde un ordinateur portable, un lecteur USB ou un périphérique de poche ou utilise des données sensibles de façon malencontreuse, et c'est l'ensemble de votre entreprise qui s'expose à un incident de divulgation de données susceptible de défrayer la chronique. Dans un tel contexte, vous avez besoin d'applications de sécurité de dernière génération, capables de protéger votre entreprise et ses employés contre les dernières menaces mobiles. Grâce aux solutions de sécurité mobile complètes et intégrées de McAfee, vous contrôlerez vos données confidentielles et vos effectifs mobiles en toute sérénité. Pour plus d'informations sur McAfee Total Protection (ToPS) for Data ou sur McAfee epolicy Orchestrator (epo), visitez le site ou appeleznous au 33 1 47 62 56 00 (standard) accessible 24 heures/24 et 7 jours/7. A propos de McAfee, Inc. Basé à Santa Clara en Californie, McAfee Inc., la première entreprise au monde entièrement vouée à la sécurité informatique, fournit des solutions et des services proactifs réputés assurant la sécurisation des systèmes et des réseaux dans le monde entier. McAfee met ses compétences inégalées en matière de sécurité et son engagement envers l'innovation au service des entreprises, du secteur public et des fournisseurs de services pour les aider à bloquer les attaques de pirates, à prévenir les perturbations dans le flux des activités ainsi qu'à évaluer et à améliorer en continu leurs défenses. McAfee, Inc., Tour Franklin, La Défense 8, 92042 Paris La Défense Cedex, France, +33.1.47.62.56.00 (standard) McAfee et/ou les autres marques citées dans ce document sont des marques commerciales ou des marques commerciales déposées de McAfee, Inc. et/ou de ses sociétés affiliées aux Etats-Unis et/ou dans d'autres pays. La couleur rouge McAfee utilisée pour identifier des fonctionnalités liées à la sécurité est propre aux produits de la marque McAfee. Toutes les autres marques commerciales déposées ou non déposées citées dans ce document sont la propriété exclusive de leurs détenteurs respectifs. 2008 McAfee, Inc. Tous droits réservés. 1-cor-mobile-dp-002-0808 5