Une base de sécurité pour les appareils Apple
Une base de sécurité part des données et des comptes que vous devez protéger. Elle ne tient que si vous avez vérifié chaque mesure sur les appareils eux-mêmes et si vous savez quoi faire quand l’une d’elles échoue.
En bref
- Vérifiez chaque mesure sur l’appareil lui-même, par exemple que FileVault est activé et que la clé de récupération est bien arrivée dans votre MDM.
- Tenez une liste des appareils en retard sur les mises à jour et donnez une date de fin à chaque exception.
- Testez vos procédures de reprise avant un incident et désignez qui réagit à chaque alerte.
Protéger les accès et les données
Exigez un code adapté aux données que contient chaque appareil, et activez FileVault sur tous les Mac. FileVault protège un Mac perdu. Mais si quelqu’un oublie son mot de passe et que la clé de récupération manque, vous risquez de perdre l’accès à ce Mac. Conservez donc chaque clé de récupération en lieu sûr, par exemple dans votre MDM, et testez une récupération avec un administrateur autorisé. Réservez l’accès à ces clés à un petit groupe, car une clé de récupération ouvre le Mac.
Protégez les comptes professionnels par une authentification forte, pour qu’un mot de passe volé ne suffise pas à se connecter. Donnez à chacun les droits nécessaires à son travail. Gardez les accès administrateur sur des comptes séparés et revoyez-les quand quelqu’un change de poste.
Tenir à jour les systèmes et les apps
Fixez une version minimale de macOS, iOS et iPadOS et un délai pour chaque mise à jour, selon le risque et selon ce que vos apps prennent en charge. Le correctif d’une faille déjà exploitée ne peut pas attendre aussi longtemps qu’une mise à jour de fonctionnalités. Une fois le délai passé, regardez la version que chaque appareil signale et examinez ceux qui sont restés en retard. Les navigateurs et les apps métier reçoivent aussi des correctifs de sécurité. Suivez leurs mises à jour de la même façon.
macOS intègre Gatekeeper et XProtect, et Apple les met à jour entre deux versions de macOS. Vérifiez que vos réglages de mise à jour laissent passer ces mises à jour en arrière-plan. Si votre analyse des risques exige en plus une détection des menaces sur les appareils, testez cet outil supplémentaire sur votre propre matériel et vos propres logiciels avant de le déployer. Les agents de sécurité ont besoin d’extensions système et d’autorisations de confidentialité, et un conflit avec un autre outil peut n’apparaître que sur votre configuration.
Contrôler les apps et les connexions
Passez toujours par le même processus pour déployer les apps, et uniquement depuis des sources de confiance. Avant d’approuver une app, examinez les extensions système et les autorisations de confidentialité qu’elle demande, ainsi que l’accès dont dispose son éditeur. Une app approuvée peut quand même exposer des données si elle est mal configurée. Regardez donc aussi ses réglages.
Utilisez des connexions chiffrées et définissez l’accès réseau service par service. Testez les règles d’accès qui vérifient qui se connecte et dans quel état se trouve l’appareil. Une règle VPN globale peut passer à côté d’un compte volé ou d’une app qui laisse fuir des données, car elle ne contrôle que le chemin réseau.
Suivre les appareils qui s’écartent de la base
Tenez une liste des appareils qui ne contactent plus le MDM, qui ne sont pas chiffrés ou dont la version sort de la plage que vous prenez en charge. Si l’état de conformité décide de l’accès, vérifiez d’abord la date du dernier rapport. Donnez à chaque exception un responsable et une date d’expiration.
Si votre suite de sécurité surveille aussi les attaques, vérifiez quel composant s’en charge et désignez la personne qui reçoit ses alertes.
S’entraîner à la reprise avant d’en avoir besoin
Mettez par écrit comment vos collaborateurs signalent un appareil perdu, comment vous révoquez les sessions ouvertes dessus et comment la personne concernée se remet au travail. Testez une restauration depuis vos sauvegardes tant que rien n’en dépend. Décidez à l’avance quand vous conservez un appareil comme preuve, quand vous le coupez du réseau et quand vous l’effacez.
Un verrouillage ou un effacement à distance ne fonctionne qu’une fois que l’appareil a reçu la commande. Il doit donc être en ligne et encore géré par votre MDM. Vérifiez que la commande a bien été exécutée, et décidez ce que vous ferez d’un appareil qui ne revient jamais en ligne. Donnez à vos collaborateurs un seul contact clair pour les incidents de sécurité.
Selon ce que vous utilisez aujourd’hui, nous commençons par un examen de votre base de sécurité Apple ou par un test de vos procédures de reprise.
Recevoir les nouveaux articles par e-mail
Articles associés
Protéger les postes d’un parc Mac géré
Votre MDM configure vos Mac. Remarquer une attaque sur l’un d’eux est une autre tâche. Il faut quelqu’un qui s’en charge et qui réagisse quand une alerte tombe.
Comment comparer les plateformes MDM pour Apple
Les sites des éditeurs vous aident à dresser une première liste. Pour choisir, faites les mêmes tâches courantes sur un appareil de test avec chaque plateforme, puis regardez combien de travail chacune laisse à votre équipe.
Sécurité Apple et protection des données en Suisse et dans l’UE
Un MDM peut activer FileVault, exiger un code et enregistrer l’état de vos Mac, iPhone et iPad. Ces réglages et ces relevés vous aident à protéger les données. Quant à vos obligations légales, elles dépendent des données personnelles que vous traitez et des risques qui vont avec.
