Introduction

Data from Statista suggests that almost every person owns at least one personal device they can use to communicate with coworkers, access company networks, or complete other forms of work. This ubiquitous nature of Internet-connected devices was particularly handy during the pandemic. Facing shelter-in-place orders, organizations found it easier to implement remote working protocols, with most employees already owning personal desktops, laptops, smartphones, or tablets.
However, many organizations were unprepared for the increasing security risks linked to remote working and personal device usage.

According to our Enduring from Home: COVID-19’s Impact on Business Security report, remote working resulted in a spike of 20% in cybersecurity breaches. 24% of our survey respondents said their organizations paid unexpected costs due to cybersecurity breaches.

Although the COVID-19 threat may be diluting, organizations continue to allow personal device usage to improve productivity and employee morale and reduce costs. However, they do so without sufficient mobile security.

As research from Zippa shows, 75% of employees use their devices for work. Some don’t even inform their IT departments that they’re utilizing personal devices for company-related matters.

Implementing BYOD (Bring Your Own Device) policies is important in securing remote employees from threats. A robust BYOD policy can also shield your organization, clients, and business partners from several cybersecurity risks.

Signification de BYOD

Que signifie BYOD ?

Commençons par la question la plus évidente : que signifie BYOD ? BYOD signifie Bring Your Own Device (Apportez votre propre appareil). Comme son nom l'indique, il s'agit d'utiliser des appareils personnels pour le travail.

Définition de BYOD : Que signifie BYOD ?

Companies implement BYOD policies to let employees use personally owned laptops or smartphones for work-related activities. At the same time, some schools carry BYOD policies to let children use their devices in the classroom.

Work-related BYOD tasks can include checking emails, connecting to company networks, and downloading and using company data and software.

But a BYOD policy is about more than allowing or disallowing people to use personal devices for official activities. Good BYOD guidelines set a framework for safe personal device usage.

For instance, a BYOD policy may outline that employees can only use personal devices for work when on a privacy VPN (Virtual Private Network) that improves their online security. Or it may ask workers to sign agreements outlining their responsibilities for top password security.

Exemples de BYOD et risques

• Les smartphones : Selon Pew Research Center, 85 % des Américains possèdent un smartphone. Les acteurs de la menace peuvent s'attaquer à ces appareils pour réaliser une violation de données.
• Tablettes : SelonStatista, la plupart des adultes américains possèdent au moins une tablette. Ces cousins plus grands des smartphones sont tout aussi vulnérables que ces derniers aux cyberattaques. 
• Ordinateurs personnels : La plupart des ménages américains possèdent un ordinateur personnel, qu'il s'agisse d'un ordinateur de bureau ou d'un ordinateur portable fonctionnant sous Windows, d'un Mac ou d'un MacBook. Presque tous les ordinateurs personnels peuvent être infectés par des logiciels malveillants. Oui, même les Mac peuvent être infectés par des virus et d'autres types de logiciels malveillants. 
• Ordinateurs portables : Les ordinateurs portables peuvent présenter des risques de sécurité plus importants que les ordinateurs de bureau et les smartphones pour de multiples raisons. Les employés qui utilisent des ordinateurs portables pour travailler dans des restaurants, des centres commerciaux et des aéroports peuvent être confrontés à des risques de sécurité réseau sur des réseaux WiFi publics non sécurisés. Les ordinateurs portables sont également plus vulnérables que les smartphones aux infections par des logiciels malveillants tels que les virus. Enfin, contrairement aux ordinateurs de bureau, les ordinateurs portables peuvent être égarés ou volés. 
• les clés USB : Les clés USB personnelles peuvent être un vecteur d'infection pour les virus, les chevaux de Troie ou les ransomwares. Les acteurs de la menace peuvent également utiliser les clés USB pour des attaques d'ingénierie sociale telles que l'appâtage.
• Disques durs : Comme les clés USB, les disques durs portables peuvent être un vecteur d'infection pour les logiciels malveillants. Des fonctions de sécurité telles que le contrôle des périphériques peuvent contribuer à réduire le risque d'attaques de logiciels malveillants introduits par des périphériques portables non autorisés.

Comment fonctionne le BYOD ?

Le BYOD permet aux employés d'utiliser des appareils personnels pour le travail tout en acceptant les politiques relatives à l'utilisation de ces appareils. Il repose sur un système de confiance. Les organisations sont convaincues que leurs employés n'utiliseront pas à mauvais escient les données, les applications, les noms d'utilisateur et les mots de passe de l'entreprise. Avec le BYOD, les entreprises attendent également de leur personnel qu'il utilise les appareils personnels de manière responsable.

Meilleures pratiques en matière de politique BYOD

Une politique efficace en matière de BYOD peut décrire les éléments suivants

• Types d'appareils que les employés peuvent utiliser dans le cadre de leur travail.
• Liste des applications d'entreprise accessibles à partir d'appareils personnels.
• Les notes de Centre d'aide accordées aux appareils personnels.
• Type de données sensibles qu'un appareil personnel peut stocker.
• Installation du logicielEndpoint Detection and Response (EDR) sur les appareils personnels utilisés dans le cadre professionnel.
• Installation d'un logiciel de traçage des appareils et d'effacement des données de l'entreprise. 
• Mise à jour et correction des protocoles.
• Utilisation de comptes VPN d'entreprise pour la sécurité du réseau.
• Procédures de sauvegarde des données.
• Liste des applications inscrites sur la liste noire.
• Plans d'urgence en cas d'attaques de cybersécurité et de perte d'appareils.
• Prévoir le départ des employés.
• Politique de remboursement des frais encourus dans le cadre du travail.

Employees may also have to agree to rules that invade their privacy and personal freedoms in order to use personal devices for work. For instance, some organizations may install monitoring tools to ensure that employees are working during company hours. Other companies may demand that staff avoid visiting high-risk websites on personal machines.

Organizations usually implement cybersecurity training courses as a part of their BYOD policies too. For instance, any employee using personal devices for work must undergo basic online security training that covers phishing attack mitigation practices, good password hygiene, and more.

L'importance de la sécurité du BYOD

BYOD security is essential because we’re creatures of habit and threat actors are on the prowl for endpoint vulnerabilities.

As mentioned, employees are habitually using personal devices for work. Some fail to inform IT departments of personal device usage. Even high-profile figures like national leaders are not immune to breaking protocol and using personal devices to manage sensitive files.

So, what’s the big deal? Well, BYOD security risks are higher because personal devices are usually less secure than company machines. Personal devices may not have cybersecurity tools. Employees may also use personal devices for riskier activity, like visiting unsafe websites, downloading potentially malicious software, or implementing modifications.

Good BYOD security policies reduce the risk of:

• Ransomware et autres attaques de logiciels malveillants.
• Extorsion.
• Exfiltration de données.
• Perte de données.
• Attaques d'ingénierie sociale.

Solutions de sécurité BYOD

The best BYOD security solutions can improve security visibility, reduce endpoint risk, and offer incident management. Two of the top BYOD security tools include Endpoint Detection and Response (EDR) solutions and Managed Detection and Response (MDR) services.

In the EDR vs. MDR comparison, what is best for your organization?

EDR solutions leverage threat hunting, data analysis, and remediation to remediate various online attacks. Such attacks targeting remote devices may include malware like ransomware, brute force, and zero-day inclusions.

On the other hand, MDR is a service that meshes threat intelligence technologies and the human aspect of top experts. MDR delivers round-the-clock monitoring and detection, proactive threat hunting, prioritization of alerts, correlated data analysis, managed threat investigation, and remediation.

The primary difference between the two solutions is scale. In a nutshell, EDR solutions enhance a business’s cybersecurity measures but need resources and IT personnel. MDR services combine threat intelligence with human expertise. With MDR, your business gains outsourced cybersecurity professional services at a reasonable cost, reducing in-house alert fatigue.

And instead of just detecting and responding, your organization can expertly hunt cyberthreats with MDR by utilizing past and newly reported indicators of compromise (IOCs).

We believe that MDR can drive business growth in the following ways:

• Réduction du temps d'attente : Plus un acteur de la menace dispose de temps pour s'infiltrer dans votre réseau par le biais d'un point de terminaison vulnérable, plus il peut faire de dégâts. Le MDR peut arrêter les mouvements latéraux avant qu'ils ne s'enveniment en tirant parti d'une approche de chasse active fondée sur la recherche.
• Gestion des ressources : Votre équipe informatique a peut-être mieux à faire que d'observer votre environnement à toute heure de la journée. La fatigue due à une surveillance constante peut entraîner des pertes de données et des arrêts d'exploitation. Une équipe MDR stimule la croissance en libérant des ressources.
• Amélioration des produits/services : Avec plus de temps et de ressources, vous pouvez stimuler la croissance de votre entreprise. Vous pouvez également mettre en œuvre des politiques BYOD avec plus d'assurance, ce qui permet de réduire les coûts, d'améliorer le flux de travail et d'augmenter les revenus.

Votre entreprise doit répondre aux questions suivantes lorsqu'elle choisit une solution de sécurité BYOD :

• Quels sont les types de risques auxquels mon organisation est confrontée ?
• Qui gérera les solutions de sécurité ?
• De quelle expertise et de quel temps mon équipe informatique dispose-t-elle pour gérer la charge de travail liée à la sécurité ?
• Mon entreprise a-t-elle besoin d'une solution clé en main ou dispose-t-elle des compétences nécessaires en matière de cybersécurité pour utiliser le système EDR ?
• Quelles sont les limites des ressources de mon organisation ?

Avantages et inconvénients du BYOD : Avantages et inconvénients du BYOD

Permettre aux employés d'utiliser des appareils personnels dans le cadre de leur travail présente des avantages et des inconvénients. Les principaux avantages du BYOD sont la réduction des dépenses opérationnelles et l'amélioration de la productivité. Les risques les plus importants concernent les failles de sécurité. Certaines organisations disposant de ressources suffisantes réduisent les risques associés au BYOD en fournissant aux employés des smartphones et des ordinateurs portables de l'entreprise.

Avantages du BYOD

Réduction des coûts

Le BYOD permet aux entreprises de transférer les coûts du matériel et des logiciels de l'employeur à l'employé. Avec le BYOD, les entreprises économisent sur les achats, la maintenance, les mises à niveau, le remplacement et d'autres dépenses.

Familiarité avec la technologie

La familiarisation avec la technologie qu'ils possèdent déjà rend les employés plus efficaces. En revanche, apprendre à utiliser un nouvel ordinateur portable ou un téléphone mobile doté d'un système d'exploitation inconnu peut prendre du temps.

Une meilleure technologie

Les entreprises fournissent généralement des appareils et des ordinateurs de base à leurs employés afin de réduire les coûts. En comparaison, leurs employés disposent d'appareils personnels plus modernes, capables d'exécuter des applications de productivité plus rapidement.

Embarquement rapide

La formation des nouveaux employés à l'utilisation d'appareils de l'entreprise dont les logiciels et le matériel ne leur sont pas familiers peut prendre beaucoup de temps. En outre, l'expédition du matériel de l'entreprise peut être coûteuse et prendre des semaines. Avec une politique BYOD, les nouveaux employés peuvent commencer à travailler beaucoup plus rapidement.

Des niveaux de productivité plus élevés

Certaines études suggèrent que les employés BYOD pourraient être plus efficaces. Ils pourraient également travailler davantage par jour. Par exemple, un examen interne du programme BYOD d'Intel montre que la productivité a augmenté de près d'une heure par jour.

Commodité

Les employés qui possèdent des ordinateurs portables et des smartphones personnels et professionnels sont confrontés à l'inconvénient d'utiliser, de stocker, de transporter et d'entretenir plusieurs appareils. Il est plus difficile de suivre et d'utiliser des appareils multiples dans la poche ou le sac pour le travail. En revanche, les employés peuvent facilement passer d'une utilisation professionnelle à une utilisation personnelle sur un seul appareil.

Manque de contrôle sur le matériel

Les entreprises peuvent installer différents types d'outils de surveillance, de localisation et de sécurité sur un appareil personnel, mais elles doivent toujours faire confiance à l'employé pour qu'il respecte les directives de l'entreprise. En fin de compte, elles n'ont pas autant de contrôle sur les appareils personnels que sur le matériel de l'entreprise.

Risque de logiciels malveillants

Les appareils personnels et ceux de l'entreprise sont vulnérables aux logiciels malveillants par le biais d'attaques d'hameçonnage sur les courriels ou les messages textuels. Cependant, les appareils personnels peuvent être plus exposés, car les employés peuvent les utiliser pour visiter des sites web malveillants ou télécharger des pages contenant des logiciels malveillants. 

Vulnérabilité à une violation de données

Une politique BYOD rend une organisation plus vulnérable à une violation de données. Par exemple, des personnes non autorisées ayant accès à un appareil personnel peuvent l'utiliser pour exfiltrer des données. D'anciens employés mécontents peuvent également utiliser des applications de l'entreprise sur des appareils personnels pour s'attaquer à des données.

Appareils volés et perdus

Selon Gartner, un ordinateur portable est volé toutes les 53 secondes. Un ordinateur portable ou un appareil égaré transportant des données d'entreprise ou accédant aux réseaux de l'entreprise peut représenter un risque important pour la cybersécurité.

Piratage

Même avec de bonnes politiques de sécurité, le BYOD signifie que votre organisation a plus de points d'extrémité vulnérables. En d'autres termes, les pirates disposent d'une plus grande surface d'attaque pour cibler votre entreprise.

Accès à un réseau WiFi non sécurisé

Les employés qui utilisent leurs propres appareils pour le travail et leurs besoins personnels n'hésitent pas à consulter leurs courriels ou à communiquer sur les médias sociaux sur des connexions WiFi non sécurisées. Sur de telles connexions, toutes les données d'un appareil sont vulnérables, qu'il s'agisse de données personnelles ou de celles de l'entreprise.

Manque de respect de la vie privée

Une politique BYOD peut entraîner des problèmes de confidentialité pour l'employé et l'organisation. Les données sensibles d'un employé peuvent être exposées à l'équipe informatique de l'entreprise. De même, la propriété intellectuelle, les supports marketing et autres informations confidentielles d'une organisation peuvent être exposés à toute personne contrôlant l'appareil personnel d'un employé.

Distractions

Bien que les données suggèrent que le BYOD améliore la productivité, les appareils personnels peuvent être plus distrayants pour certaines personnes qui peuvent avoir des applications de divertissement sur leurs appareils personnels. Même les recherches effectuées sur un appareil personnel peuvent être plus distrayantes, car les cookies donnent lieu à des publicités en ligne plus ciblées.

Utilisateurs multiples

Les gens sont susceptibles de ranger leurs appareils fournis par l'entreprise après les heures de travail, mais il n'en va pas de même pour les appareils personnels. Dans un foyer occupé, un modèle BYOD signifie qu'un appareil contenant des actifs de l'entreprise peut être accessible au partenaire d'un membre du personnel, à ses enfants et à ses invités. Des personnes extérieures peuvent voir des informations classifiées, ouvrir des liens d'hameçonnage ou télécharger des applications sur liste noire sur un appareil personnel, ce qui entraîne des fuites de données.

CYOD vs BYOD

CYOD est l'abréviation de Choose Your Own Device (choisissez votre propre appareil). Dans le modèle CYOD, les employés peuvent choisir parmi un nombre limité d'appareils approuvés par l'entreprise pour le travail. Ces appareils sont généralement achetés et gérés par l'entreprise. Le modèle CYOD offre aux organisations une plus grande sécurité tout en donnant aux employés la liberté de choisir un matériel qui leur est familier.

COPE vs BYOD

COPE est l'abréviation de Company Owned Personally/Enabled. Dans le cadre d'un programme COPE, un employé peut utiliser un smartphone de l'entreprise pour certaines fonctions personnelles de base, comme les appels et la messagerie. Les programmes COPE permettent aux salariés de n'utiliser qu'un seul appareil, même s'ils peuvent en avoir deux. Par exemple, ils peuvent passer d'un appareil de l'entreprise à un appareil personnel après les heures de travail. COPE offre aux organisations une excellente sécurité tout en donnant aux employés un peu de flexibilité.

L'histoire du BYOD

Bien que le terme BYOD ait été inventé par le fournisseur de services VoIP BroadVoice en 2004, il n'est devenu populaire qu'en 2009, lorsqu'Intel s'est rendu compte que ses employés utilisaient des appareils personnels pour se connecter au réseau de l'entreprise. Quelques années plus tard, le fournisseur de services informatiques Unisys et le fournisseur de logiciels Citrix Systems ont également remarqué que le BYOD devenait une tendance.

L'avenir du BYOD sur le lieu de travail

Despite the security risks, BYOD shall continue to be a feature of workplaces in the future. Organizations reap significant benefits from BYOD, including enhanced productivity, faster onboarding, lower costs, and higher earnings. Employees enjoy familiarity, flexibility, and creativity.

Expect larger organizations to mitigate BYOD risks with stronger security policies, better endpoint protection, and greater control over personal devices. Smaller businesses may continue BYOD with a Bring Your Own Security (BYOS) setup, packaged with computer hygiene training, VPN usage, data encryption policies, and fair guidelines.

In a report called BYOD and Enterprise Mobility – Global Market Trajectory & Analytics, Global Industry Analysts (GIA) claims that the market size for BYOD and enterprise mobility will jump from over $84.4 billion in 2022 to $157.3 billion by 2026, rowing at a CAGR of 16.7% over the analysis period. Is your organization ready?

Ressources en vedette

• Qu'est-ce que endpoint detection and response (EDR) ?
• Qu'est-ce que la détection et la réponse gérées (MDR) ?