Sécurité Apple et protection des données en Suisse et dans l’UE
Un MDM peut activer FileVault, exiger un code et enregistrer l’état de vos Mac, iPhone et iPad. Ces réglages et ces relevés vous aident à protéger les données. Quant à vos obligations légales, elles dépendent des données personnelles que vous traitez et des risques qui vont avec.
En bref
- Déterminez quelles lois s’appliquent à vous et quels sont vos risques avant de choisir vos réglages MDM.
- Conservez des preuves datées de vos réglages et notez chaque exception.
- Sachez quel seuil d’annonce des violations vous concerne avant qu’un appareil ne disparaisse.
Savoir quelles règles s’appliquent
La loi fédérale sur la protection des données (LPD, souvent appelée nLPD) fixe les obligations liées au traitement des données personnelles. Reste à savoir si le RGPD s’applique aussi. L’article 3 du RGPD répond à cette question, selon le lieu où votre entreprise est établie et les traitements qu’elle effectue. Avoir un client dans l’UE ne suffit pas, à lui seul, à trancher.
Les règles de votre secteur et vos contrats peuvent ajouter leurs propres obligations. Vérifiez-les à part. ISO 27001 définit les exigences d’un système de management de la sécurité de l’information. Être certifié ISO 27001 et respecter la loi relèvent de deux évaluations distinctes.
Choisir les mesures en fonction de vos risques
Le droit suisse et l’article 32 du RGPD exigent tous deux des mesures techniques et organisationnelles appropriées. Ce qui est approprié dépend du risque. C’est donc par là qu’il faut commencer. Le chiffrement est une mesure importante. Aucun des deux textes ne fournit pour autant une liste de contrôle MDM qui garantirait la conformité une fois toutes les cases cochées.
Sur Mac, regardez d’abord FileVault et qui peut accéder aux clés de récupération. Un disque chiffré ne protège les données que tant que la clé reste en lieu sûr. Vérifiez ensuite qui a les droits d’administrateur sur chaque Mac et si les logiciels installés sont encore pris en charge. Sur iPhone et iPad, examinez les règles de code de déverrouillage, les apps gérées et la façon dont les données professionnelles peuvent en sortir. Les connexions aux données de l’entreprise doivent être chiffrées. Le besoin d’un VPN supplémentaire dépend de la façon dont vos collaborateurs accèdent à ces données.
Conserver des preuves exploitables
Notez chaque règle, qui en est responsable et les appareils qu’elle couvre. Conservez des preuves datées du chiffrement, des mises à jour et de toutes les exceptions que vous avez acceptées. Vérifiez quand chaque appareil a contacté le MDM pour la dernière fois. Le MDM ne connaît que l’état transmis par l’appareil lors de son dernier contact. Un relevé ancien ne peut donc pas prouver son état actuel.
Décidez qui peut consulter les journaux et les clés de récupération, et combien de temps vous les conservez. Les rapports MDM peuvent contenir des noms de collaborateurs ou d’autres identifiants. Il faut donc les protéger eux aussi.
Appareils personnels et appareils partagés
Si vos collaborateurs utilisent leur propre iPhone ou Mac pour le travail, expliquez-leur à l’avance quels contrôles ils acceptent et quelles données professionnelles le service informatique peut supprimer. Comme il s’agit de leur appareil privé, ils doivent savoir jusqu’où va le contrôle de l’entreprise. Avant le déploiement, testez la méthode d’inscription prévue et le comportement des apps avec celle-ci. Sur un appareil partagé, vérifiez que la personne suivante ne peut pas ouvrir la session de la précédente.
Votre politique sur les appareils personnels et professionnels doit préciser qui fournit l’assistance pour quels appareils et ce qu’ils deviennent quand quelqu’un quitte l’entreprise. La séparation technique entre données professionnelles et données personnelles doit correspondre aux apps réellement utilisées et aux endroits où vont les données.
Prévoir la perte d’un appareil
Quand un appareil disparaît, évaluez la situation rapidement. Déterminez quelles données il contenait, si FileVault ou un code le protégeait et si quelqu’un pourrait encore y accéder. Le chiffrement pèse dans cette évaluation, de même que le risque que la clé ait été exposée.
Le droit suisse et le RGPD n’appliquent pas le même seuil de risque à l’annonce d’une violation. Selon le RGPD, vous disposez en général de 72 heures après en avoir pris connaissance pour notifier la violation à l’autorité de contrôle, sauf si elle n’est pas susceptible d’engendrer un risque pour les personnes concernées. L’article 24 LPD vous oblige à l’annoncer au PFPDT dans les meilleurs délais lorsqu’elle entraîne vraisemblablement un risque élevé. Pour un même ordinateur portable perdu, une annonce peut donc être obligatoire selon une loi sans l’être selon l’autre. Consignez la décision et ses raisons avec la personne chargée de la protection des données ou des questions juridiques. Si l’on vous interroge plus tard, ce document explique pourquoi vous avez annoncé la violation ou non.
Nous pouvons passer en revue vos réglages MDM et les preuves que vous conservez, avec la personne qui s’occupe chez vous de la protection des données ou des questions juridiques.
Recevoir les nouveaux articles par e-mail
Articles associés
Une base de sécurité pour les appareils Apple
Une base de sécurité part des données et des comptes que vous devez protéger. Elle ne tient que si vous avez vérifié chaque mesure sur les appareils eux-mêmes et si vous savez quoi faire quand l’une d’elles échoue.
Appareils Apple personnels ou professionnels
C’est le propriétaire de l’appareil qui détermine ce que l’IT peut y contrôler et ce que vos collaborateurs sont en droit d’attendre de vous. Choisissez le modèle selon ce que chaque fonction fait sur l’appareil et selon les données qui s’y retrouvent.
Protéger les postes d’un parc Mac géré
Votre MDM configure vos Mac. Remarquer une attaque sur l’un d’eux est une autre tâche. Il faut quelqu’un qui s’en charge et qui réagisse quand une alerte tombe.
Gérer les appareils Apple dans le secteur de la santé
Un iPad ou un iPhone utilisé auprès des patients doit s’adapter à la façon dont travaillent le personnel infirmier et les médecins. Il ne doit montrer les données des patients qu’aux personnes autorisées à les voir. Vous n’en serez sûr qu’après avoir testé, avec le personnel qui s’en sert, la connexion, la relève, le Wi-Fi et ce qui se passe quand un appareil tombe en panne.
