Points clés
- Le risque mobile se concentre de plus en plus sur l’exposition des données : les principales menaces d’aujourd’hui portent sur la manière dont les informations sont consultées, partagées et perdues, et non sur l’usage fait des appareils.
- Le contrôle total de l’appareil n’est pas toujours adapté : sur les appareils personnels ou à usage mixte, un verrouillage généralisé est peu praticable et mal accepté.
- Les contrôles centrés sur l’information protègent les données partout : l’objectif devient de sécuriser l’information, quel que soit le propriétaire de l’appareil.
- Cette évolution modifie la gouvernance et les rapports de confiance : responsabilités, attentes en matière de confidentialité et modèles d’application évoluent tous.
- Tout repose sur l’adhésion des utilisateurs : les stratégies fonctionnent mieux lorsque les objectifs de protection des données correspondent à la façon dont les utilisateurs travaillent réellement.
Aujourd’hui, tout le monde a un téléphone, y compris nos grands-parents. Et si cela paraît « normal » désormais, ce n’était pas le cas il y a encore quelques années. En effet, l’usage du téléphone mobile, en particulier dans un cadre professionnel, ne s’est vraiment généralisé qu’avec l’adoption du travail hybride. À l’époque, les modèles traditionnels de sécurité des appareils mobiles reposaient sur le contrôle de l’appareil, en supposant bien sûr que l’entreprise était propriétaire à la fois du matériel et du risque. (Nous développons ce point dans cet article : Travail hybride : les attentes face à la réalité informatique, les conclusions sans détour d’un nouveau rapport).
Mais avec des politiques BYOD en constante évolution, ce postulat n’est plus ni exact ni réaliste dans les MSP modernes. Les experts informatiques constatent qu’à mesure que les modes de propriété et d’utilisation changent, verrouiller un appareil (par exemple) n’est pas toujours la bonne réponse. D’où un glissement progressif vers des stratégies de gouvernance de l’information mobile, qui donnent la priorité à la protection des données qui comptent vraiment, où qu’elles se trouvent.
Les limites du contrôle centré sur l’appareil
Le contrôle total de l’appareil fonctionne au mieux lorsque l’entreprise possède le matériel et dicte son usage. C’est logique : on ne peut contrôler que ce que l’on possède.
Pourtant, il suffit d’observer les entreprises actuelles pour voir où les fissures sont apparues. Les appareils personnels ont soulevé des questions de confidentialité, car les utilisateurs ne voulaient pas que leur employeur gère leurs photos, leurs messages ou leurs applications privées. Les appareils à usage mixte ont brouillé ces frontières encore davantage, rendant extrêmement difficile, voire impossible, l’application de contrôles stricts sans nuire à l’utilisabilité quotidienne. À cela s’ajoutent les lois et réglementations locales, qui peuvent limiter ce qu’une entreprise est autorisée à surveiller ou à gérer sur des terminaux personnels. (Consultez ce guide complet de la protection des données clients pour une discussion plus approfondie.)
Dans ces situations, l’application de règles au niveau de l’appareil crée souvent des frictions. Les utilisateurs y résistent, l’adoption chute et les équipes informatiques passent plus de temps à gérer des plaintes qu’à réduire le risque réel.
L’information, véritable surface de risque
Lorsqu’un incident mobile survient, le dommage est rarement causé par l’appareil lui-même (même si cela arrive). Il est presque toujours lié à ce qu’il advient des données exploitées. Il suffit de lire nos histoires d’horreur informatiques pour voir combien d’entreprises en ont fait l’expérience.
Des informations sensibles ou à caractère personnel peuvent être consultées par la mauvaise application, partagées via des canaux non sécurisés puis revendues sur le dark web, ou perdues lorsqu’un appareil change de mains. Ces risques existent, que l’appareil soit verrouillé ou géré de façon souple. Se concentrer sur l’information plutôt que sur le matériel s’attaque à la cause du problème, et non à ses symptômes.
En protégeant la façon dont les données sont consultées, stockées et partagées, les entreprises peuvent réduire leur exposition même lorsqu’elles ne maîtrisent pas totalement le terminal.
Les priorités d’une gouvernance centrée sur l’information
La gestion moderne de l’information mobile suppose une gouvernance des données plus solide. Plutôt que de contrôler l’appareil lui-même, les responsables informatiques pilotent la façon dont ils gèrent les données pertinentes (et professionnelles). L’objectif est de réduire le risque sans prendre la main sur l’appareil tout entier.
- Protéger les données professionnelles plutôt que l’appareil entier : les politiques s’appliquent à l’information métier elle-même, comme les fichiers, les e-mails ou les applications de l’entreprise. Les entreprises peuvent ainsi sécuriser ce qui compte sans toucher aux données personnelles.
- Contrôler les modalités d’accès aux données : des règles définissent qui peut ouvrir les données professionnelles, dans quelles conditions et depuis quelles applications. Cela permet d’éviter les accès non autorisés, même si l’appareil n’est pas strictement verrouillé.
- Limiter le partage et la copie des données : les contrôles centrés sur l’information peuvent restreindre des actions comme la copie de données vers des applications personnelles ou leur partage via des canaux non sécurisés. Les fuites accidentelles diminuent sans que l’usage normal de l’appareil soit bloqué.
- Séparer les contenus professionnels et personnels : les données métier restent dans des périmètres définis, tandis que les contenus personnels demeurent privés. Cette séparation est essentielle pour préserver la confiance des utilisateurs, en particulier sur les appareils personnels.
- Appliquer les politiques de façon homogène sur tous les appareils : comme les contrôles suivent les données, les mêmes règles s’appliquent que l’utilisateur soit sur un téléphone, une tablette ou un autre terminal. La gouvernance devient plus prévisible et plus simple à gérer.
- Déplacer la responsabilité vers la gouvernance plutôt que vers le verrouillage : la sécurité repose sur des règles claires, une responsabilité identifiée et la gestion du cycle de vie des données, plutôt que sur des restrictions techniques rigides. Les équipes définissent davantage ce qui doit se passer qu’elles n’imposent ce que les utilisateurs ne peuvent pas faire.
Cette approche ne supprime pas le besoin de gestion des appareils, mais elle en modifie l’équilibre. L’appareil devient le conteneur, et la donnée devient la priorité.
Confiance, confidentialité et expérience utilisateur
Les stratégies centrées sur l’information ne fonctionnent que si les utilisateurs les comprennent. Un modèle de sécurité centré sur les données est efficace lorsque toutes les parties savent ce qui est protégé et quelles données précises sont surveillées.
Pour y parvenir, il est essentiel que votre service informatique communique clairement sur les enjeux de confiance, de confidentialité et d’UX (expérience utilisateur). Les utilisateurs doivent savoir quelles données sont encadrées, pourquoi cela importe, et ce que l’entreprise peut voir ou non. Lorsque les contenus personnels sont réellement laissés de côté et que les politiques se comportent de façon cohérente, les utilisateurs coopèrent bien plus volontiers.
À l’inverse, une mauvaise communication peut ruiner même les meilleurs contrôles techniques et favoriser l’informatique fantôme ou le contournement des politiques.
Dans quels cas l’approche centrée sur l’information a du sens
Soyons clairs : les approches centrées sur l’information ne conviennent pas à toutes les situations, en particulier dans les entreprises qui imposent des règles strictes sur le type de matériel utilisé par leurs employés, par exemple dans les secteurs très réglementés, où l’usage d’appareils personnels pour des données critiques est fortement déconseillé. Elles sont également inefficaces lorsque les appareils remplissent une fonction unique et figée, comme un système de point de vente ou une borne interactive. Dans ces cas, il faut disposer d’un contrôle total sur l’appareil.
Cela dit, ces stratégies sont très répandues dans les environnements où la propriété et l’usage des appareils sont mixtes. Elles sont particulièrement efficaces dans les cas suivants :
- Les employés utilisent leurs appareils personnels pour travailler (BYOD) : lorsque les utilisateurs sont propriétaires de leur téléphone ou de leur tablette, le contrôle total de l’appareil est souvent inacceptable. Protéger les données professionnelles permet de réduire le risque sans empiéter sur la vie privée.
- Des sous-traitants ou des intérimaires ont besoin d’un accès : les utilisateurs externes n’ont généralement besoin que d’un accès limité à certaines informations. Des contrôles axés sur les données facilitent l’octroi de cet accès sans accorder de larges autorisations sur l’appareil.
- Les usages professionnels et personnels sont étroitement mêlés : de nombreux utilisateurs passent d’applications personnelles à des applications professionnelles tout au long de la journée. Les contrôles centrés sur l’information autorisent cette souplesse tout en protégeant les données métier sensibles.
- La sensibilité des données varie selon les rôles : tous les utilisateurs n’ont pas besoin du même niveau d’accès à l’information. Les règles de gouvernance peuvent s’adapter au rôle, au contexte ou au risque, au lieu de traiter tous les appareils de la même manière.
À retenir : aucune stratégie unique ne convient à toutes les situations. Les programmes de sécurité des appareils mobiles les plus efficaces adaptent l’approche au modèle de propriété, aux attentes des utilisateurs et au risque réel, au lieu d’imposer partout un même modèle de contrôle.
Les pièges courants de la gouvernance
Sachant que ces stratégies dépendent fortement de votre cas d’utilisation, il peut être difficile de savoir lesquelles mettre en place pour vos besoins précis. Changer de stratégie peut en effet créer de nouvelles difficultés si la transition n’est pas bien menée.
Voici quelques obstacles fréquemment rencontrés par les entreprises :
- Croire que les contrôles sur l’information éliminent tout risque lié à l’appareil : protéger les données est essentiel, mais les appareils comptent toujours. Si les équipes négligent l’intégrité de l’appareil, les chemins d’accès ou l’hygiène de sécurité de base, des angles morts peuvent apparaître malgré des contrôles de données solides.
- Une responsabilité floue sur la propriété et le cycle de vie des données : lorsqu’on ne sait pas clairement qui est propriétaire des données métier, qui peut approuver les accès ou qui est chargé du nettoyage et de la révocation, l’application des règles devient irrégulière. Des écarts se creusent alors entre la politique et la réalité.
- Promettre plus de confidentialité qu’on ne peut en offrir : dire aux utilisateurs que leurs données personnelles ne sont pas touchées ne fonctionne que si les politiques se comportent exactement ainsi. Si les contrôles paraissent intrusifs ou imprévisibles, vous risquez de perdre très vite la confiance des employés.
- Aborder ce virage comme un sujet purement technique : changer de stratégie exige des politiques actualisées, une communication claire et un accord entre l’informatique, la sécurité et les métiers sur la façon de traiter les données.
En pratique, la gouvernance de l’information réussit ou échoue autant à cause des personnes et des processus que de la technologie. Des attentes claires, une responsabilité partagée et une communication honnête comptent tout autant que les contrôles eux-mêmes.
Assurer une bonne gestion de l’information mobile
À mesure que les environnements mobiles évoluent, de nombreuses entreprises abandonnent le contrôle total de l’appareil pour protéger l’information elle-même. Ce virage reflète l’évolution des modes de propriété, des attentes en matière de confidentialité et des risques concrets. Comprendre pourquoi cette transition se produit aide les équipes à choisir des stratégies de sécurité praticables, dignes de confiance et alignées sur la façon dont les gens travaillent réellement.
Sujets connexes :
