BYOD, BYOA, BYOID... La mobilité IT en 2013 Olivier BOUZEREAU Journaliste Informatique Coordinateur de la communauté OW2 Conférences Mobility for Business Loïc KERBOEUF / lkerboeuf@checkpoint.com Consultant Technique CHECK POINT SOFTWARE David Albohair / dalbohair@checkpoint.com Responsable Commercial End-Point CHECK POINT SOFTWARE
Agenda Introduction : Qui est Westcon? Qui est Check Point? Les tendances du marché 2013 de la mobilité Patrick Pailloux (ANSSI) : 'Gare au BYOD!' DAIKIN face aux derniers défis de la mobilité Les menaces principales et leurs évolutions Le BYOD et les accès au cloud computing La solution retenue chez DAIKIN Quelques bonnes pratiques juridiques & techniques Les dernières solutions Check Point Le futur des services mobiles sécurisés Questions / Réponses
3 Qui est Westcon Security?
Présent dans 58 pays avec plus de 100 bureaux 20 centres logistiques Livraison dans plus de 100 pays Logistics/Staging Facilities Regional Sales Offices 4
Our Company Westcon Security France 50 collaborateurs Fondée en 1992, 5 agences ATC et centre de support Nantes Paris Lyon Toulouse Marseille 5
Our Company Produits Services Formations Partenariats avec les leaders du marché de la sécurité Des services innovants : Prestations d installation Support téléphonique 24x7 et support matériel sous 4h Centre de formation agréé (Courbevoie Nantes Strasbourg Lyon Toulouse et Marseille), formation sur site => alicia.nait@westconsecurity.fr Nous intervenons sur des problématiques de : Sécurité (réseau, web, postes clients, nomadisme ) Mobilité Disponibilité et optimisation des applications Conformité légale Wifi 6
Qui est Check Point? Loïc Kerboeuf Consultant Technique
Présentation de Check Point Un Leader incontournable dans le milieu de la sécurité informatique Création de l entreprise en 1993 Leader global sur le marché FW/VPN, et dans le chiffrement des données Plus de 120,000 clients, plusieurs millions d utilisateurs des solutions Check Point dans le monde 100% des Fortune 100 et 98% des Fortune 500 sécurisées par CP 100% Sécurité 100% focalisés sur le métier de la sécurité informatique 1,500 experts sécurité Plus de 50,000 ingénieurs certifiés Check Point dans le monde Un présence globale 2,700 employés, 80 bureaux dans le monde Des partenaires dans 88 pays, 160 centres de formation 250 entrepôts de stockage WW En France, 50 employés Finances Chiffre d affaires monde 2012: $ 1,340 Millions (+8% vs 2011) 2013 Check Point Software Technologies Ltd. [PROTECTED] All rights reserved 8
Les tendances 2013 Photo AFP
Les tendances : la lecture nomade Smartphones PC portables Tablettes Liseuses tactiles Source GFK France GPS multimédia, G-Glass Internet des objets & Sces 2018 : 20 ordinateurs / pers. 10
Les tendances de l'informatique mobile Impacts 2013 IT Consumerization : Une dépendance croissante du grand public aux médias et gadgets numériques : smartphones, tablettes, lunettes Un renversement des prio éco : Grand Public => Entreprise 69% des smartphones en usage n'appartiennent pas à l'entr. 45% des salariés trouvent leur équipement personnel + utile et + productif que celui fourni par l'entreprise Sources IDC, Accenture
Les tendances de l'informatique mobile usages croissants, terminaux hétérogènes, tablettes, smartphones, phablets, liseuses... usages mixtes fréquents : Pros et Privés sauvegardes de données Pro dans le cloud public risques de pertes de données sensibles risques d'usurpation d'identité, Gérer des accès sécurisés... 12
Les conséquences pour la DSI L'utilisateur au centre du S.I. qq soit son terminal et non plus sa configuration unique (PC Wintel fixe ou portable) Le S.I. ne doit pas sacrifier les contrôles ni la sécurité 27% Utilisateurs prêts à payer leur config. de travail, avec ou sans autorisation de l entr. Gérer BYOD, BYOA, BYOID... 13
Pour l entreprise, un terminal de plus? 14
Les tendances : à chacun son App 15
Le BYOD apporte Avantages Défis Productivité individuelle, réactivité, qualité de service Souplesse de travail, gain de temps (déjà en service, transports) Environnement et services applic. choisis par l utilisateur (0 formation) Coûts d acquisition en baisse (si l entreprise ne participe pas) Support, Helpdesk, dépannages sur plusieurs environnements OS Propriété des données Protection des data sensibles Gestion configurations, OS, vers. et déploiement d applications Coûts d exploitation, support et sécurisation accès & terminaux 16
Le point de vue de l'anssi Patrick Pailloux, DG de l ANSSI 17
Le point de vue de l'anssi Patrick Pailloux, DG de l'anssi Face au BYOD : "La sécurité, c est aussi le courage de dire Non!" "Il faut entrer en résistance vis-à-vis de la liberté totale de l usage des nouvelles technologies en entreprise" Guide ANSSI de 40 règles d'hygiène IT Une liste publique de mesures simples Un guide en 13 étapes à télécharger : http://www.ssi.gouv.fr/img/pdf/guide_hygiene_informatique _anssi.pdf 18
BYOD vs Corporate Configurations BYOD : bring your own device Respect des préférences de chaque utilisateur Economie d'achat sur les terminaux, pas sur les accès Soutien et helpdesk multi-environnements, n versions... Contrôle des terminaux des salariés Des configurations maîtrisées de bout en bout Des matériels de secours (spare) Un helpdesk limité à un ou deux environnements Envisageable pour la plupart des salariés Mais quid du CoDir, stagiaires, clients, prescript.? 19
BYOA vs Corporate Applications BYOA : bring your own Application L'utilisateur apprécie son logiciel de design, PAO... Formats de fichiers standards? Qu'en est-il de la productivité d'équipe? Provenance réelle de l'application (Cheval de Troie)? Catalogue de services d'entreprise Un portail d'applications internes et externalisées Des services pré-testés et intégrés les uns aux autres Un contrôle des licences, des coûts, des usages Des partages de données et un helpdesk simplifiés 20
BYOID vs SSO BYOID: Bring your id+password imposé de bas en haut Fusion & confusion identifiants privés / Pro Disparition des frontières sphères privé / Pro Quelle politique / limite de gestion des accès? SSO : 1 authentification unique sur le réseau, centralisée et propagée aux réseaux et aux applis. Simplification des droits d'accès Mutualisation et traçabilité des accès (logs) Réduit les coûts et délais de maintenance Mais, le serveur d'authentification devient SPOF L'usurpation d'identité fait boule de neige 21
Daikin face aux défis de la mobilité VIDEO CLIP Daikin #1 22
Les menaces principales Intrusions, attaques, rootkits, Web infectés... Serveurs, postes de travail, mobiles compromis Chevaux de Troie, Keyloggers, Botnets, Virus... Vulnérabilités Systèmes => correctifs d'os Vulnérabilités Langages+Apps => màj Java, PDF... APT : Advanced Persistent Threats Menaces persistances avancées (panoplie d'outils) Attaques rares mais SDK disponibles avec exemples Attaques ciblées, polymorphes, parfois multi-os L'évolution des menaces en 2013? 23
Qu est-ce qui change? 24
Les Frontières Organisationnelles Disparaissent
J ai besoin de continuer de travailler ce soir Je vais envoyer ces données via email
Error 552: Sorry, this message exceeds your maximum size limit. Dropbox YouSendIt Windows Live
Cela ne me concerne pas n est ce pas?
Regardons de plus près votre réseau 900 Entreprises / Collectivités 120,000 heures de trafic inspectées
Prolifération des données Smartphones et Apps Partagées 90% des organisations autorisent l hébergement de données professionnelles sur les Smartphones 1 Source 1 Check Point Mobility Survey, Dec. 2012 2 Check Point Security Report, Jan 2013 69% des données professionnelles partagées utilisent des services de Cloud Public 2 Les Données sortent sur des environnements non maitrisés
Les applications de Partage et de Stockage Dropbox 70 Windows Live 51 Curl YouSendIt Sugarsync PutLocker 25 22 13 10 Source: Check Point Security Report 2013, 900 companies, 120,000 of traffic monitored 80% des Organisations utilisent des applications de partage et de stockage de fichiers
La Fuite de Données dans les Organisations 54% Des Organisations ont subis de la fuite de données Source: Check Point Security Report 2013, 900 companies, 120,000 of traffic monitored [Restricted] ONLY for designated groups and individuals
Et où vont toutes ces données? 93% Des Organisations autorisent l usage des appareils mobiles à des fins professionnelles Source: Check Point Mobile Survey, March 2013, 790 IT professionals
Les frontières disparaissent Smartphones et Tablettes Partage des données Clés et PériphériquesUSB Email Les données partent vers des environnements non maitrisés
Les risques Appareils Perdus ou volés Données téléchargés sur le Web Partage de Données avec des Tiers
Les risques Appareils Perdus ou volés Données téléchargés sur le Web A new version of Zeus malware designed for mobile devices has stolen 36 million euros from more than 30,000 customers. Partage de Données avec des Tiers Des Malware sur les appareils mobiles
La Sécurité, des à prioris répandus Protéger l équipement, à tous prix (même si cela bloque l activité professionnelle) Gérer TOUS les équipements Est-ce Bloquer vraiment les Apps réaliste de? Partage de Fichier Contraindre tout dans le Périmètre
Protéger la donnée prof. ou qu elle soit utilisée Disponible partout Correspondre aux besoins des utilisateurs UNE solution Multi-Couches
Contrôler les Accès et les Usages des donnés professionnelles Smartphones et Tablettes Clés et périphériques USB Partage des données Disponible Partout Chiffrer les données dans les environnements non maitrisés Mettre des Droits d Accès et des Mécanismes d Authentification pour accéder aux données Pouvoir révoquer les accès aux données si besoin
Coffee Break 40
Daikin : la solution retenue VIDEO CLIP Daikin #2 41
Quelques bonnes pratiques juridiques Le BYOD ne peut être imposé aux salariés une réflexion préalable sur les aspects sécurité sur la défense de la vie privée des salariés une proposition sur la base du volontariat Réviser la Politique de Sécurité Remise à plat par les terminaux des salariés Le Responsable du Traitement doit prendre Toutes les précautions utiles pour interdire à un tiers non autorisé l'accès aux données perso. (Art. 226-17 Code Pénal : 5 ans + 300 KE) Déclarer à la CNIL les failles de sécu S.I. pouvant entraîner vol data Autres précautions juridiques face au BYOD? 42
Bonnes pratiques organisation. et techniques Conformité : Etablir 1 charte d'usage informatique (pédagogie) Imposer qq pré-requis techniques (sensibilisation) Gérer le parc, y compris les BYOD (suivi MDM) Appliances de sécurité : FW, VPN, IPS, AV, AS, etc.. Filtrage des protocoles réseaux (souvent faible) Filtrage applicatifs et XML (Web services) Filtrage URLs (listes noire / blanche...) Logs de sécurité (activés, consultés et corrélés) Autres précautions techniques face au BYOD? 43
Le BYOD force à revoir Les achats informatiques : Subv., Apps, accès 3G/4G, Contenus professionnels... Le helpdesk : soutien des utilisateurs La sécurité des accès et des données Sauvegardes & destruction data sensibles Les règles de sécurité IT La gouvernance IT Sélection Services Déploiement Applicatifs 44
Cartographier = Dresser la carte (évolutive) des menaces IT pesant sur l'entreprise 63% des entreprises françaises ont déjà formalisé leur politique de sécurité (Clusif 2012) Dans 82% des cas, la politique de sécurité a moins de trois ans la Direction Générale s implique de plus en plus dans son élaboration 45
7 étapes pas à pas pour contrôler le BYOD 1 Analyser les risques 7 Mener un audit régulier 6 Surveiller les flux critiques 2 Définir l accès aux données sensibles 5 Planifier la synchronisation et la protection des données 3 Organiser le soutien technique 4 Personnaliser l infrastructure mobile 46
Protéger la donnée prof. ou qu elle soit utilisée Disponible partout Correspondre aux besoins des utilisateurs UNE solution Multi-Couches
Contrôler les Accès et les Usages des donnés professionnelles Smartphones et Tablettes Clés et périphériques USB Partage des données Disponible Partout Chiffrer les données dans les environnements non maitrisés Mettre des Droits d Accès et des Mécanismes d Authentification pour accéder aux données Pouvoir révoquer les accès aux données si besoin
Sur les équipements mobiles ***** Utiliser la donnée professionnelle à partir d une application sécurisée Seul les utilisateurs authentifiés accèdent au Container Professionnel
Sur les équipements mobiles Utiliser la donnée professionnelle à partir d une application sécurisée Lire et utiliser ses emails de manière sécurisée Utiliser ses documents de manière sécurisée
Sur les périphériques et les clés USB Utiliser les données professionnelles dans un répertoire protégé Données Personnelles La donnée n est pas chiffrée La donnée est accessible à tous Données Professionelles La donnée est chiffrée La donnée est accessible uniquement aux utilisateurs et équipements autorisés
Partager les documents Utilisez et Partagez des documents de manière sécurisée La Donnée est chiffrée au moment de sa création L accès est uniquement permis aux utilisateurs autorisés Authorized Non Authorized
Partager les documents Accès transparent aux documents depuis n importe quel équipement
Impliquez les utilisateurs, fournissez leurs les outils Autorisez le BYOD Gérez uniquement les données professionnelles Correspondre aux besoins des utilisateurs Impliquez et Eduquez les utilisateurs
Bring Your Own Device - BYOD Personal data & apps NOT MANAGED Business information MANAGED Utiliser les équipements personnels dans le cadre professionnel Seule la donnée prof. est gérée Supprimer à distance les données prof.
Impliquer et Eduquer les utilisateurs Salaries Communiquer avec des messages simples
Protéger la Donnée avec une solution Multi-Couches Interaction Multi Layered Solution Une politique simple à gérer Des Incidents facile à résoudre
Check Point, Votre fournisseur de solution de Sécurité Mobile Sécurité du Mobile Permettre le BYOD sécurisé Sécurité du Document Permettre le partage de document de manière sécurisé DLP Empécher les données sensible de s'échapper de l'entreprise Sécurité du poste de travail Protéger les données présentes sur les PCs et les périphériques USB
Daikin : les évolutions prévues VIDEO CLIP Daikin #3 59
Le futur des services mobiles sécurisés Comment améliorer : la sécurité des services mobiles? la qualité des services mobiles? la réactivité des services mobiles? le coût d'exploitation des services mobiles? 60
Questions 61