Politique relative aux terminaux mobiles et à l’usage de terminaux personnels

La Politique relative aux terminaux mobiles et à l’usage de terminaux personnels (P34) fournit un cadre de gouvernance robuste pour l’utilisation sécurisée des terminaux mobiles et des terminaux personnels au sein de l'organisation. Son objectif principal est de protéger la confidentialité, l’intégrité et la disponibilité des données de l'organisation auxquelles on accède ou qui sont traitées via des terminaux tels que les smartphones, tablettes, ordinateurs portables et autres dispositifs portables, y compris dans les scénarios de terminaux appartenant à l'entreprise et d’usage de terminaux personnels (usage de terminaux personnels). Le champ d’application de la politique est complet et s’applique à tous les employés, prestataires, stagiaires et prestataires tiers qui accèdent aux ressources de l'entreprise via des terminaux mobiles. Elle couvre un large éventail de terminaux, allant des smartphones, tablettes et ordinateurs portables aux dispositifs intelligents hybrides et dispositifs portables, et précise que la conformité est requise indépendamment du modèle de propriété. Les accès couverts incluent les VPN, les bureaux à distance, les applications hébergées dans le cloud, la messagerie, les outils de communication et les plateformes de synchronisation de fichiers, répondant ainsi aux réalités variées, hybrides et de télétravail de l'entreprise moderne. Les objectifs clés incluent la minimisation des risques de prévention des fuites de données, l’application standardisée des contrôles de sécurité et le soutien à l’alignement réglementaire (tel que ISO/IEC 27001, GDPR et DORA). Pour y parvenir, la politique prescrit des exigences techniques et procédurales telles que l’enrôlement obligatoire dans une solution de gestion des terminaux mobiles (MDM), le chiffrement des terminaux, des contrôles d’authentification (y compris l’authentification multifacteur obligatoire), l’application d’une liste blanche d’applications et la surveillance continue de la conformité en temps réel. Elle restreint également les pratiques qui augmentent le risque, telles que l’utilisation de terminaux jailbreakés/rootés ou d’applications installées par sideloading. Le document précise des rôles et responsabilités clairs pour les parties prenantes, notamment le Responsable de la sécurité des systèmes d’information (RSSI)/Responsable de la sécurité pour le pilotage de la politique et la gestion des incidents ; les administrateurs informatiques/administrateurs MDM pour le provisionnement des accès, la mise en application et la surveillance ; les Ressources humaines (RH) et le Juridique et conformité pour la vie privée, le consentement et la supervision disciplinaire ; les responsables hiérarchiques pour la conformité locale ; et les utilisateurs finaux pour le respect au quotidien et la notification des incidents. L’accès en usage de terminaux personnels est conditionné au consentement de l’utilisateur aux contrôles techniques et à la surveillance par l'organisation des partitions de travail, avec des garanties fortes pour la vie privée personnelle. Les exigences de gouvernance imposent un enrôlement strict des terminaux, une surveillance continue, des conteneurs sécurisés pour les données de l'entreprise, la journalisation d’audit des accès et un processus structuré pour les approbations, les exceptions et les mesures d’atténuation des risques. La politique fournit des mécanismes de gestion des exceptions, exigeant une documentation formelle, une revue des risques et des mesures compensatoires lorsque nécessaire. La mise en application et la conformité sont soutenues par des sanctions définies en cas de non-conformité, la journalisation des incidents et l’autorité d’effacement à distance et de suspension des accès. L’actualité et l’efficacité de la politique sont maintenues via des revues annuelles et des mises à jour intermédiaires déclenchées par des facteurs réglementaires, technologiques ou opérationnels. Enfin, P34 est étroitement intégrée aux politiques connexes de l'organisation (p. ex., politique de sécurité de l’information, Politique de télétravail, Politique de classification et de traitement de l’information, Politique de journalisation et de surveillance et Politique de réponse aux incidents (P30)), garantissant que tous les aspects de la sécurité mobile et de l’usage de terminaux personnels sont traités dans le cadre d’un SMSI plus large. Cette approche holistique assure la productivité opérationnelle tout en restant conforme aux principales normes et réglementations.