Les petites équipes adoptent souvent BYOD pour une raison simple : le travail doit être effectué avant qu’un programme de périphérique formel existe. Un entrepreneur utilise un ordinateur portable personnel pour télécharger des fichiers. Un manager valide un tableau de bord depuis chez lui. Un fondateur vérifie un panneau d’administration depuis un téléphone lors d’un voyage.
Cette flexibilité peut être utile. Cela change également la question de sécurité.
Avec les appareils appartenant à l’entreprise, une équipe peut généralement définir plus directement le matériel, les paramètres, les mises à jour, le processus de support et la routine de désintégration. Avec BYOD, les appareils personnels apportent plus de variation. Un ordinateur portable ne peut être corrigé et utilisé que par une seule personne. Un autre peut être plus ancien, partagé à la maison, rempli d’applications personnelles ou utilisé dans plusieurs projets clients.
Un VPN peut vous aider dans un aspect important de cette situation : le chemin réseau. Il peut prendre en charge des habitudes d’accès à distance plus sûres lorsque les personnes se connectent depuis des réseaux domestiques, des hôtels, des espaces de coworking, des aéroports ou d’autres réseaux que l’entreprise ne gère pas. Mais il ne peut pas décider quels appareils personnels sont acceptables, appliquer chaque règle de compte, séparer les fichiers professionnels des fichiers personnels ou supprimer l’accès après le départ de quelqu’un.
C’est la réponse pratique pour les équipes BYOD : utilisez un VPN là où il convient, mais construisez le reste de la routine de sécurité d’accès à distance autour de lui.
BYOD n’est pas seulement une décision de connectivité
BYOD signifie « apportez votre propre appareil ». En pratique, cela signifie que les employés, sous-traitants ou partenaires utilisent des ordinateurs portables, des téléphones ou des tablettes personnels pour certaines tâches professionnelles.
Les directives BYOD du NCSC définissent cela comme un équilibre entre la convivialité, le risque, la profondeur de la gestion et la propriété des données d’entreprise. Ce cadrage est utile car il maintient la conversation hors du piège « il suffit de se connecter au VPN ».
Avant qu’un appareil personnel n’atteigne un compte professionnel, l’équipe doit savoir :
- Qui est autorisé à utiliser un appareil personnel à des fins professionnelles.
- Quels systèmes de travail sont autorisés à partir d’appareils personnels.
- Quel état de l’appareil est acceptable avant l’accès.
- Comment les données professionnelles peuvent être stockées ou synchronisées.
- Qui soutient l’appareil en cas de panne.
- Que se passe-t-il lorsqu’un appareil est perdu, vendu, réparé ou partagé.
- Comment l’accès est supprimé lors du départ.
Si ces réponses ne sont pas claires, l’équipe n’a pas vraiment de politique de byod. Il a des habitudes, des exceptions et des hypothèses. Un VPN peut rendre un itinéraire plus sûr, mais il ne peut pas transformer une propriété floue en règles claires.
Où un VPN aide les équipes BYOD
Un VPN est le plus simple à comprendre en tant qu’outil de chemin réseau. En fonction de la configuration et du produit utilisé, il peut aider à acheminer le trafic via un tunnel VPN crypté au lieu de laisser les utilisateurs dépendre uniquement du réseau local qu’ils utilisent.
C’est important pour BYOD, car les appareils personnels se connectent souvent à partir de réseaux échappant au contrôle de l’entreprise. Une équipe peut ne pas savoir si le réseau Wi-Fi d’un hôtel est bien configuré, si un réseau de coworking est rempli d’appareils inconnus ou si un routeur domestique est correctement entretenu.
Dans ce contexte, un VPN pour le travail à distance peut être un élément utile de la routine :
- Il donne aux utilisateurs un moyen défini de se connecter lorsqu’ils sont loin des réseaux de confiance.
- Il peut réduire l’exposition à certains risques liés aux réseaux locaux sur les réseaux Wi-Fi publics ou partagés.
- Cela peut faciliter la documentation des attentes en matière d’accès à distance pour les utilisateurs non techniques.
- Il peut s’asseoir à côté des contrôles de compte tels que MFA et des limites d’autorisation.
VPN Unlimited by KeepSolid peut s’intégrer à ce type de routine de travail à distance en tant qu’option VPN, à condition que l’équipe documente de quoi le VPN est responsable et ce qui doit être géré en termes de politique, de contrôle d’accès et d’hygiène des appareils.La clé est de définir les attentes. Un VPN peut prendre en charge un chemin de connexion plus sûr. Ce n’est pas la même chose que gérer l’appareil personnel.
Ce qu’un VPN ne résout pas
Les sources approuvées de BYOD et d’accès à distance vont dans la même direction générale : le risque BYOD est plus large que la connexion elle-même.
Un VPN ne répond pas automatiquement à des questions telles que :
- L’ordinateur portable personnel est-il mis à jour ?
- Le téléphone est-il partagé avec quelqu’un d’autre ?
- L’utilisateur a-t-il activé MFA ?
- Les fichiers professionnels sont-ils enregistrés dans le stockage personnel ?
- L’utilisateur a-t-il encore besoin d’accéder à ce système ?
- L’accès d’un entrepreneur a-t-il été supprimé après le projet ?
- Les utilisateurs sont-ils formés pour signaler les invites de connexion suspectes ou les appareils perdus ?
Les conseils d’accès à distance de NIST et de BYOD sont plus anciens, mais toujours utiles comme contexte fondamental ici : les réseaux externes et les appareils personnels nécessitent des contrôles en couches. Cela inclut les considérations relatives aux politiques, aux appareils clients sécurisés, à l’authentification, aux niveaux d’accès, au chiffrement, aux correctifs et aux points de terminaison. Un VPN appartient à ce modèle en couches plutôt que de le remplacer.
Pour les petites équipes, cette distinction évite deux erreurs courantes. La première consiste à traiter l’accès au VPN comme une autorisation permettant à tout appareil personnel d’accéder à n’importe quel outil de travail. La seconde consiste à considérer qu’une politique écrite est suffisante alors que personne ne vérifie l’accès, les mises à jour ou la désintégration.
Au revoir, la sécurité se situe entre ces extrêmes. C’est pratique, écrit et appartenant à quelqu’un.
Ce que votre politique BYOD devrait décider
L’article sur la politique BYOD de Deel est utile pour une raison pratique : il expose les types de décisions qu’une équipe distante doit définir avant que les appareils personnels ne deviennent normaux. Les détails varient selon l’entreprise, mais les catégories constituent une solide liste de contrôle de planification.
Éligibilité des appareils
Commencez par décider quels appareils peuvent être utilisés. Un ordinateur portable personnel utilisé par un employé ne présente pas le même risque qu’une tablette familiale partagée ou qu’un vieux téléphone qui ne reçoit plus de mises à jour.
Votre politique peut rester simple :
- Types d’appareils autorisés.
- Système d’exploitation minimum ou attentes de mise à jour.
- Si les appareils partagés sont autorisés.
- Que les appareils rootés, jailbreakés ou autrement modifiés soient interdits.
- Ce que les utilisateurs doivent faire en cas de perte ou de remplacement d’un appareil.
Évitez d’écrire une politique qui ne fonctionne que pour un environnement IT parfait si votre équipe n’y est pas encore. Mieux vaut clair et réaliste que strict et ignoré.
Contrôle d’accès
Tous les utilisateurs du BYOD n’ont pas besoin du même accès. Un entrepreneur qui modifie un document ne doit pas automatiquement recevoir les mêmes autorisations qu’une personne gérant la facturation, l’infrastructure ou les dossiers clients.
Les règles utiles incluent :
- Donner aux gens accès uniquement aux systèmes requis pour leur rôle.
- Exiger MFA pour les comptes importants.
- Évitez les comptes partagés où la responsabilité individuelle est importante.
- Examinez les autorisations selon un calendrier régulier.
- Supprimez l’accès rapidement lorsque quelqu’un quitte un rôle ou un projet.
C’est là que la sécurité de l’accès à distance devient plus large que l’utilisation du VPN. Le VPN peut faciliter l’itinéraire, mais les comptes et les autorisations nécessitent toujours leurs propres contrôles.
Traitement des données
Les appareils personnels brouillent les frontières. Un fichier téléchargé pour une tâche rapide peut rester dans un dossier personnel. Un téléphone peut synchroniser des fichiers avec un compte cloud personnel. Un ordinateur portable utilisé pour plusieurs clients peut mélanger les espaces de travail.
Une politique BYOD doit définir quelles données professionnelles peuvent être téléchargées, où elles peuvent être stockées, si les copies locales sont autorisées et comment les données doivent être traitées à la fin du travail.Pour les travaux réglementés, soumis à des contraintes contractuelles ou sensibles, les conseils généraux du blog ne suffisent pas. L’équipe doit aligner les règles BYOD sur ses propres exigences juridiques, HR, IT, client et de conformité avant d’autoriser l’accès aux appareils personnels.
Limites de surveillance et de confidentialité
Le BYOD est différent des équipements appartenant à l’entreprise car l’appareil appartient également à la personne. L’article de Deel souligne les limites de la surveillance et de la confidentialité dans le cadre de la conception des politiques. C’est un rappel utile pour les petites équipes : ne laissez pas les gens deviner ce que l’entreprise peut voir, prendre en charge, demander ou exiger sur un appareil personnel.
La politique doit expliquer ce qui est attendu sans aller trop loin dans l’usage privé. Si l’équipe a besoin d’un contrôle plus approfondi qu’un dispositif personnel ne peut raisonnablement prendre en charge, cela peut être le signe que le travail doit plutôt être effectué sur un équipement géré par l’entreprise.
Support et intégration
La prise en charge de BYOD peut devenir compliquée si personne ne définit la limite. L’entreprise vous aidera-t-elle à dépanner un ordinateur portable personnel ? Que se passe-t-il si une connexion VPN échoue avant une date limite ? Qui confirme que l’accès est supprimé lors du départ d’un entrepreneur ?
Écrivez ces réponses avant qu’il y ait un incident urgent. L’offboarding mérite une attention particulière car les petites équipes s’appuient souvent sur des relations informelles. L’accès devrait prendre fin parce que le travail est terminé, et non parce que quelqu’un s’en souvient des semaines plus tard.
Meilleures pratiques de sécurité du BYOD qui s’associent bien à l’utilisation du VPN
L’article de Keeper sur les meilleures pratiques BYOD renforce un point pratique : le VPN ou les règles d’accès à distance appartiennent aux autres contrôles. Pour une équipe IT-light, la version utile est une courte liste d’habitudes quotidiennes que les gens peuvent réellement suivre.
Ces bonnes pratiques de sécurité byod constituent un bon point de départ :
- Rédigez une politique BYOD en langage simple avant que l’accès aux appareils personnels ne devienne une routine.
- Exiger MFA pour les comptes professionnels importants.
- Gardez l’accès restreint et basé sur les rôles.
- Demandez aux utilisateurs de maintenir à jour les systèmes d’exploitation, les navigateurs et les applications principales.
- Définir quelles données de travail peuvent être téléchargées ou stockées localement.
- Séparez les données professionnelles et personnelles lorsque cela est possible.
- Évitez les appareils personnels partagés pour les travaux sensibles.
- Formez les utilisateurs sur le Wi-Fi public, les appareils perdus, les invites suspectes et les étapes de reporting.
- Révisez régulièrement l’accès.
- Supprimez l’accès pendant le départ, pas après un long délai.
Aucune de ces mesures ne doit être dramatique. La valeur vient du fait de rendre les attentes explicites. Les gens sont plus susceptibles de suivre une règle lorsqu’ils savent quand elle s’applique, à qui elle appartient et quoi faire en cas de problème.
Un simple message VPN pour les utilisateurs de BYOD
« Utiliser le VPN » est trop vague pour la plupart des équipes. Il n’indique pas aux gens quand se connecter, que faire en cas d’échec de la connexion ou quels risques subsistent.
Un meilleur message est plus spécifique :
- Utilisez le VPN lorsque vous vous connectez à partir de réseaux que l’entreprise ne contrôle pas, si cela fait partie du processus d’accès de votre équipe.
- Gardez MFA activé sur les comptes requis.
- N’utilisez pas l’accès VPN comme autorisation pour stocker des fichiers de travail où vous le souhaitez.
- N’utilisez pas d’appareil personnel pour un travail que votre rôle, votre accord client ou la politique de votre entreprise ne vous autorise pas.
- Signalez rapidement les appareils perdus, les invites de compte suspectes ou les comportements d’accès inhabituels.
- Renseignez-vous avant de déplacer les données professionnelles vers des applications ou un stockage personnels.
Ce langage maintient le VPN au bon endroit. Il prend en charge le chemin de connexion, tandis que la politique BYOD gère l’éligibilité des appareils, les règles de données, l’accès au compte, l’assistance et la désintégration.
Une liste de contrôle de préparation au BYOD pour une petite équipe
Avant que votre équipe ne dépende d’appareils personnels pour accéder régulièrement au travail, parcourez ces questions :
- Portée des appareils : quels ordinateurs portables, téléphones ou tablettes personnels sont autorisés ?
- Portée du rôle : quels utilisateurs, sous-traitants ou partenaires peuvent utiliser BYOD ?
- Portée du travail : quelles tâches sont acceptables à partir d’un appareil personnel ?
- Portée de l’accès : quels systèmes sont autorisés, limités ou interdits ?
- Conseils sur le VPN : Quand les utilisateurs doivent-ils se connecter via le VPN ?
- MFA : Quels comptes nécessitent une authentification multifacteur ?
- Mises à jour : quelle est la base de mise à jour de l’appareil attendue ?
- Règles relatives aux données : les utilisateurs peuvent-ils télécharger, stocker, synchroniser ou imprimer des fichiers de travail ?
- Signalement : qui les utilisateurs doivent-ils contacter après la perte d’un appareil ou une invite suspecte ?
- Offboarding : qui supprime l’accès et quand ?
- Rythme de révision : à quelle fréquence les autorisations et les règles BYOD seront-elles vérifiées ?
Si vous ne pouvez pas encore répondre à ces questions, n’essayez pas de résoudre le problème avec un VPN seul. Commencez par les décisions politiques, puis placez le VPN dans ce flux de travail.
Les plats pratiques à emporter
BYOD peut rendre les petites équipes plus flexibles, en particulier lorsque les personnes travaillent à la maison, en voyage, dans des espaces de coworking et sur des projets à court terme. Mais les appareils personnels apportent également moins de contrôle direct, plus de variations et nécessitent davantage de limites claires.
Un VPN peut être un élément utile pour un accès à distance plus sûr. Il peut prendre en charge un chemin réseau plus protégé lorsque des personnes se connectent à partir d’endroits que l’entreprise ne gère pas. Cela peut également faciliter l’explication des instructions de travail à distance.
Mais la sécurité byod dépend toujours de la politique, du MFA, des limites d’accès, des mises à jour des appareils, des règles de gestion des données, du comportement des utilisateurs et de la désintégration. Traitez le VPN comme une couche de ce système, et non comme l’ensemble du système.
##FAQ
Un VPN est-il suffisant pour une équipe BYOD ?
Non. Un VPN peut prendre en charge le chemin de connexion réseau, mais le BYOD dépend également de l’état de l’appareil, de la protection du compte, des autorisations, de la gestion des données, du comportement de l’utilisateur et de la désintégration. Cela devrait être une étape dans un plan plus vaste.
Que doit inclure une politique BYOD ?
Une politique pratique doit définir les appareils autorisés, les utilisateurs éligibles, les systèmes de travail autorisés, les exigences de sécurité, les règles de traitement des données, les limites de prise en charge, les attentes en matière de confidentialité, les rapports d’incidents et les étapes de désintégration.
Quand les travailleurs à distance doivent-ils utiliser un VPN ?
Cela dépend du processus d’accès de l’équipe. De nombreuses équipes incluent l’utilisation du VPN lorsque les personnes se connectent à partir de réseaux que l’entreprise ne contrôle pas, tels que le Wi-Fi public, les réseaux de voyage, les espaces de coworking ou les réseaux domestiques. La règle doit être écrite et associée au MFA, aux limites d’accès et aux attentes de l’appareil.
Quelles sont les failles de sécurité courantes du BYOD ?
Les lacunes courantes incluent les appareils obsolètes, les appareils personnels partagés, les règles de stockage de données peu claires, la faible protection des comptes, les autorisations excessives, les exclusions manquantes et les instructions vagues sur ce que les utilisateurs doivent faire lorsqu’un appareil est perdu ou qu’une connexion semble suspecte.
Le BYOD nécessite-t-il un examen juridique ou de conformité ?
Parfois. Si votre équipe gère des données réglementées, des informations sensibles sur les clients, des dossiers d’employés, des dossiers financiers ou des documents soumis à des restrictions contractuelles, alignez les règles BYOD sur vos exigences légales, HR, IT, contractuelles et de conformité avant de vous fier à l’accès aux appareils personnels.