Note : Cette fiche concerne plus spécifiquement la séparation des usages pour des ordinateurs.
Le « BYOD », pilier du shadow IT
La séparation idéale des usages consiste à posséder des ordinateurs différents, entre usage professionnel et personnel. Cependant, votre employeur peut vous proposer ou tolérer le « BYOD », s’il n’a pas de DSI, ou pas conscience de certains risques encourus…
Voici quelques extraits de définition de Wikipédia :
BYOD :
BYOD, abréviation de l’Anglais « bring your own device », en français, PAP pour « prenez vos appareils personnels » ou AVEC pour « apportez votre équipement personnel de communication », est une pratique qui consiste à utiliser ses équipements personnels (smartphone, ordinateur portable, tablette électronique) dans un contexte professionnel.
https://fr.wikipedia.org/wiki/Bring_your_own_device
Shadow IT :
Le Shadow IT, ou Informatique fantôme, parfois appelé Rogue IT, désigne les systèmes d’information et de communication réalisés et mis en œuvre au sein d’organisations sans approbation de la direction des systèmes d’information. […] Pour ses détracteurs, le Shadow IT représente un risque pour l’organisation, les solutions de ce type étant réalisées au mépris des bonnes pratiques en vigueur, notamment en matière de qualité, de documentation, de sécurité, de fiabilité, etc.
https://fr.wikipedia.org/wiki/Shadow_IT
BYOD : des avantages, oui, mais aussi des risques…
Avec le BYOD, vous retrouvez à utiliser un 1 seul et même équipement pour votre vie personnelle ET professionnelle, ce qui engendre automatiquement une mise en danger de vos données personnelles ET professionnelles. Dans la pratique, cela signifie bien un risque de double préjudice en cas de vol, panne, infection, etc.
Compte tenu de ces risques, il est donc vivement recommandé, dans la mesure du possible, de séparer les usages en ayant bien 1 équipement informatique pour chaque usage.
Limitation des risques dans le cas d’un BYOD
Voici comment éliminer vous-même certains risques en cloisonnant vos usages :
Cette méthode de cloisonnement ne va cependant pas résoudre le problème en cas de perte, de panne ou de vol (double préjudice).
Méthode de mise en place d’un cloisonnement des utilisateurs et de leurs données
Finalité :
- Disposer d’1 compte administrateur que vous n’utilisez que pour installer / désinstaller les programmes et configurer votre machine. Ce compte doit disposer d’un mot de passe solide.
- Disposez de 2 comptes utilisateurs standards dédié à un usage personnel pour l’un et dédié à un usage professionnel pour l’autre. Un compte standard n’a, comme son nom l’indique, que des droits standards. Cela correspond au simple droit d’utiliser l’ordinateur (et à agir sur des paramètres qui ne représentent aucun risque pour la machine). Chaque compte doit avoir un mot de passe différent et solide.
Utiliser un compte standard plutôt qu’administrateur au quotidien limite les risques d’installation accidentelle de logiciels (potentiellement malveillants dans certains cas) ou de modifications système non désirées, car toute action nécessitant des droits élevés demande une confirmation explicite, avec la saisie d’un mot de passe. Ce type de compte réduit aussi l’impact des attaques informatiques en empêchant les logiciels malveillants d’exploiter pleinement les privilèges système, selon le principe de sécurité du « moindre privilège » (recommandé par l’ANSSI).
Parenthèse d’importance : le chiffrement des données
Il est recommandé de chiffrer les données de chaque utilisateur (en priorité l’utilisateur professionnel), voire le disque entier. Ainsi, en cas de perte / vol, les données d’ordinateur (au minimum les fichiers des utilisateurs) ne pourront pas (ou très difficilement) être exposées.
Il n’y a aucun lien sur le bouton ci-dessous, car la méthode peut varier selon la distribution et selon que vous le faites à l’installation, ou après.
Procédé :
Cas n°1 / Si votre machine est neuve, créez simplement votre premier utilisateur à l’installation (ou à la première utilisation dans le contexte d’une installation OEM) de votre ordinateur. Celui-ci sera l’utilisateur de type « Administrateur ». Nommez-le donc « Administrateur ». Créez ensuite dans les deux utilisateurs standards (l’un pour un usage privé, appelé par exemple « Privé » ou « Maison » et l’autre pour un usage professionnel, nommé par exemple « Travail » ou avec le nom de votre entreprise).
Cas n°2 / Si votre machine n’est pas fraîchement installée et que vous l’utilisez avec un unique compte administrateur depuis le début (la méthode varie selon que vous utilisiez Microsoft Windows, Apple OSX ou GNU/Linux) :
- Créez un autre compte administrateur depuis votre compte administrateur actuel. Après cela, il y aura donc 2 comptes administrateurs sur l’ordinateur, mais cela n’est que temporaire.
- Connectez-vous à ce nouveau compte administrateur
- Basculez votre compte administrateur d’origine en un compte utilisateur standard (abandon de privilèges) tout en le renommant de manière à le désigner comme un compte à usage professionnel (ou personnel). Note : Le compte qui aura été rétrogradé et renommé devra être celui pour lequel vous voulez éviter d’avoir à re-personnaliser l’interface et les logiciels. En effet, lorsque vous créez un nouveau compte, tous les logiciels et paramètres sont en réglage « usine ». Je vous conseille généralement de ne pas toucher au compte professionnel pour ne pas perturber votre « productivité ». Le nouveau compte créé en suivant sera donc dans ce cas un compte personnel.
- Créez ensuite (toujours depuis votre nouveau compte administrateur) un second compte utilisateur standard qui sera le compte personnel (ou professionnel).
- Séparez les données entre les deux comptes utilisateurs : Les données personnelles d’un côté, les données personnelles de l’autre. Il s’agit d’un simple déplacement de données. La méthode reste à votre convenance (en transvasant temporairement les données sur un disque dur ou une clé USB externe par exemple).
Méthode de gestion des utilisateurs sous différents systèmes d’exploitation :
Il n’y a aucun lien sur le bouton ci-dessous, car la méthode peut varier selon la distribution et selon que vous le faites à l’installation, ou après.
Séparation des usages de vos périphériques de stockage amovibles
Que vous ayez des ordinateurs différents ou que vous soyez en situation de « BYOD » ou de « COPE », la séparation des usages concerne aussi les périphériques de stockage amovibles tels que les clés USB, les disques durs externes, les cartes mémoire, etc.
Qu’il s’agisse d’ordinateurs séparés ou d’une même machine avec des utilisateurs dédiés à chaque usage, il ne faut pas connecter un de ces supports s’il est personnel à l’ordinateur ou à l’utilisateur professionnel et inversement.
Pourquoi ?
- Si jamais ce périphérique était « infecté », vous transmettriez le programme malveillant à votre ordinateur / utilisateur professionnel (et inversement), qui pourrait lui-même contaminer les serveurs et autres ordinateurs de l’entreprise, vous pourriez être tenu responsable (au moins partiellement, par négligence) des dégâts causés, devant votre employeur.
- Si vous mettez des données professionnelles (parfois réellement confidentielles) sur votre ordinateur / utilisateur personnel (et inversement), et que vous vous faites infiltrer ou voler votre ordinateur, vous pourriez être tenu responsable (par négligence) de la fuite des données professionnelles qui s’y trouvaient, devant votre employeur.
