4.3 BYOD, télétravail, données pro vs perso : le bon partitionnement

Le BYOD (Bring Your Own Device) désigne l'usage d'équipements personnels (smartphone, tablette, ordinateur portable) pour des tâches professionnelles. Dans les faits, l'usage est massif et largement informel : consulter sa messagerie professionnelle sur son téléphone personnel, photographier un document de travail, installer une application métier sur son propre appareil. Ces gestes sont rarement encadrés, et souvent invisibles pour la DSI.

Variantes proches :

• BYOD strict : équipement 100 % personnel + accès aux ressources pro
• COPE (Corporate Owned Personally Enabled) : équipement fourni par l'employeur avec usage perso autorisé
• CYOD (Choose Your Own Device) : choix dans un catalogue d'équipements fournis par l'employeur
• COBO (Corporate Owned Business Only) : équipement de l'employeur, usage perso interdit (le plus strict)

Cadre juridique français : le BYOD est autorisé mais doit être encadré par une charte informatique formelle (article L1121-1 du Code du travail). Deux limites encadrent ce que l'employeur peut exiger : l'article L1121-1 du Code du travail, qui n'autorise de restriction aux droits des personnes que si elle est justifiée par la nature de la tâche et proportionnée au but recherché, et l'article L1222-1, qui impose l'exécution de bonne foi du contrat de travail. En pratique : l'employeur ne peut ni imposer l'usage d'un équipement personnel, ni exercer une surveillance générale sur un appareil dont le salarié est propriétaire.

Le MDM (Mobile Device Management) et l'EMM (Enterprise Mobility Management) sont des solutions techniques qui permettent de séparer logiquement les données pro et perso sur un appareil unique :

• Partitionnement : sur Android Enterprise et iOS, création d'un « espace pro » isolé où sont installées les applis pro. Données pro et perso sont chiffrées séparément et ne peuvent pas se mélanger.
• Politique de sécurité : imposition de PIN/biométrie, chiffrement, mises à jour, restriction d'applications non approuvées dans le profil pro
• Effacement sélectif (wipe sélectif) : en cas de départ du salarié ou perte de l'appareil, l'admin peut effacer uniquement les données pro sans toucher aux photos de famille, contacts perso, applications privées
• Politique conditionnelle : accès aux ressources pro uniquement si l'appareil est conforme (à jour, chiffré, sans jailbreak)

Des solutions de gestion de flotte existent pour chaque environnement, souvent intégrées aux suites bureautiques d'entreprise. Le point important n'est pas le produit retenu mais le fait qu'aucun déploiement BYOD sérieux ne tient sans cette brique : sans conteneur professionnel isolé, l'employeur n'a que deux options, tout surveiller — ce que le droit lui interdit — ou ne rien maîtriser du tout.

Que vous soyez en BYOD, COPE ou télétravail avec équipement pro, 7 règles d'or garantissent une bonne séparation :

1. Pas de fichiers pro sur cloud perso : Dropbox, Google Drive, iCloud Drive perso ne sont pas des dépôts de documents d'entreprise. Utiliser les outils pro fournis (OneDrive Entreprise, SharePoint, Google Workspace pro)
2. Pas d'email pro depuis le client mail perso sans MDM/conteneurisation. Préférer l'app dédiée Outlook / Gmail séparée du compte perso
3. Pas de réutilisation de mots de passe entre comptes pro et perso (chapitre 3.1) — c'est le pont qui permet la compromission croisée
4. Pas de stockage de documents pro localement sur l'équipement perso sans accord employeur
5. Pas de capture d'écran ni de photo d'un document professionnel pour le partager par une messagerie personnelle — le fichier sort alors définitivement du périmètre de l'entreprise
6. Pas d'installation d'applications de provenance douteuse sur l'équipement utilisé pour le travail
7. Pas de partage de l'appareil avec famille / enfants si y figurent des données pro

Le télétravail s'est installé durablement : la part des salariés qui télétravaillent au moins occasionnellement est passée de 9 % en 2019 à 26 % en 2023 selon la DARES, et l'INSEE relevait au premier semestre 2024 que plus d'un salarié du secteur privé sur cinq était concerné. Les risques qu'il crée sont spécifiques :

• Wi-Fi domicile mal sécurisé : box opérateur avec mot de passe par défaut (souvent imprimé sur l'étiquette, partagé entre tous les anciens visiteurs)
• Cohabitants : enfants utilisant l'ordinateur pro, conjoint qui voit l'écran, visiteurs au domicile
• Objets connectés domestiques (IoT) : caméras, enceintes, télévisions connectées peuvent être compromises et observer / écouter
• Confidentialité des appels : visioconférences avec écran visible du voisinage, bruit de fond, écoutes possibles via fenêtres ouvertes
• Documents imprimés à domicile sans destruction sécurisée (poubelle commune de l'immeuble)
• Confusion vie professionnelle / vie personnelle : horaires débordants, droit à la déconnexion — sujet de négociation obligatoire au titre de l'article L2242-17 du Code du travail, et cadre du télétravail fixé par l'article L1222-9

Bonnes pratiques télétravail :

• Wi-Fi domicile en WPA3 avec mot de passe long, changé du défaut box
• Réseau invité séparé pour la famille, isolé du Wi-Fi pro
• Espace de travail dédié idéalement fermé (bureau séparé) ou écran orienté
• Casque audio pour les confidentialités des appels
• Destruction sécurisée des impressions (déchiqueteuse personnelle, ou retour au bureau pour destruction)
• Assistants vocaux et enceintes connectées désactivés dans la pièce où se tiennent les appels professionnels

Depuis 2023, les assistants conversationnels sont massivement utilisés au travail — le plus souvent sans aucune politique d'entreprise. Les risques sont réels :

• Fuite de données confidentielles : coller un contrat client, une analyse financière ou du code source dans un assistant grand public revient à le transmettre à un tiers, avec des conditions d'utilisation qui autorisent souvent la conservation et la réutilisation des contenus
• Hallucinations : l'IA peut produire des informations factuellement fausses présentées avec assurance. Si elles sont reprises sans vérification (juridique, médical, technique), conséquences graves
• Prompt injection : des contenus malveillants insérés dans des documents peuvent détourner l'IA pour exécuter des actions non souhaitées
• Phishing assisté par IA : utilisé contre vous (chapitre 2.1)

Politique recommandée pour les entreprises :

• Une solution d'IA sous contrat d'entreprise, assortie d'un engagement écrit de non-réutilisation des contenus soumis pour l'entraînement des modèles — c'est la différence principale avec les offres grand public
• Charte IA précisant ce qui peut / ne peut pas être partagé avec une IA
• Formation à l'usage responsable (vérification systématique des réponses, citation des sources, conscience des limites)
• Interdiction explicite du partage de données personnelles, secrets industriels, code source confidentiel avec des IA grand public

Pour le salarié : ne jamais coller dans une IA grand public ce que vous ne mettriez pas dans un email envoyé en clair à un inconnu. Si l'entreprise n'a pas de politique, demander au DPO ou RSSI avant tout usage avancé.

Le départ d'un salarié (démission, licenciement, fin de mission) est un moment critique en cybersécurité. Risques :

• Comptes orphelins non désactivés à temps → accès résiduels potentiellement utilisés par le salarié partant ou un attaquant qui le contraint
• Données pro restant sur équipements perso en BYOD (emails, documents, contacts clients)
• Téléchargements massifs juste avant le départ (vol de fichiers vers la concurrence)
• Accès dissimulés laissés volontairement en place par un salarié en conflit : compte technique créé pour l'occasion, clé d'accès à un service, règle de transfert automatique sur la messagerie
• Accès tiers : SSH, VPN, API keys, services SaaS personnels créés au nom de l'entreprise

Processus de sortie sécurisé (« offboarding ») à appliquer :

1. Désactivation immédiate de tous les accès (annuaire, VPN, SaaS) le jour J — pas le lendemain
2. Restitution du matériel pro (ordinateur, téléphone, badges, tokens FIDO2)
3. Wipe sélectif de l'espace pro sur équipements BYOD (le MDM le fait automatiquement)
4. Audit des actions du salarié dans les 30 jours précédents (recherche d'exfiltration)
5. Changement des mots de passe partagés auxquels il avait accès (comptes de service, coffres-forts d'équipe)
6. Notification aux interlocuteurs externes (clients, fournisseurs) du nouveau contact de référence