Focus sur les risques mobiles, BYOD, Shadow IT et cloud¶

1. Objectif du cours¶

Identifier les principaux risques liés aux usages mobiles, BYOD et Shadow IT et présenter les outils et réponses opérationnelles pour détecter, prioriser et traiter ces incidents. Mettre en évidence la place essentielle de la sensibilisation utilisateur.

2. Notions et définitions essentielles¶

MDM (Mobile Device Management) : solution de gestion et supervision des terminaux mobiles pour contrôler applications et configurations.
Shadow IT : usages et services IT (SaaS, stockage, apps) déployés par les utilisateurs hors du référentiel DSI, créant des angles morts.
CASB (Cloud Access Security Broker) : outil pour visualiser et contrôler l'usage des services cloud non référencés (ex. Cisco Umbrella, Netskope cités).
SIEM : système d'alerte et corrélation de logs détectant incidents (ex. transferts suspects).
NDR : détection d'anomalies réseau signalant connexions sortantes suspectes.
Synchronisation automatique : mécanisme client qui réplique des répertoires locaux vers cloud perso, potentiellement exfiltrant.
Services de partage / cloud perso : WeTransfer, Mega, Google Drive, Dropbox — sources de fuite ou exposition via liens publics.
Extension de navigateur non validée : module pouvant capter/transmettre des données sans traçabilité.

3. Fonctionnement et principes¶

Les outils se complètent : MDM contrôle terminaux et installations, CASB visualise usages SaaS, SIEM corrèle événements, NDR analyse trafic réseau, et la surveillance DNS détecte flux vers domaines non approuvés.
Les angles morts naissent quand des services ou synchronisations opèrent hors supervision DSI (flux invisibles, stockage sur serveurs tiers).
Priorisation des réponses : analyser la criticité (nature des données, volume, automatisme) avant action radicale pour éviter faux positifs et préserver continuité d’activité.
La sensibilisation utilisateur reste la première ligne de défense : outils techniques sont indispensables mais insuffisants si les comportements ne changent pas.
Exemples concrets cités : incident Sanofi lié à mise à jour malveillante; fuite de brevets via synchronisation automatique d’un centre R&D.

4. Commandes et manipulations¶

Non abordé dans ce cours

5. Sécurité et bonnes pratiques¶

Sensibiliser les utilisateurs aux risques du Shadow IT et aux bonnes pratiques (première défense).
Déployer et maintenir un MDM pour contrôler applications et équipements mobiles.
Mettre en place CASB et surveillance DNS pour visualiser et bloquer usages cloud non approuvés.
Configurer SIEM pour détecter transferts volumineux et corréler alertes.
Auditer les accès et renforcer contrôles en cas d’usage de SaaS personnels identifié.
Avant blocage, analyser la nature et le volume des données transférées (éviter interruptions injustifiées).
Bloquer et désinstaller les applications non référencées, puis sensibiliser l’utilisateur pour prévenir récidive.
En cas de connexions suspectes détectées par NDR, mener une investigation d’intégrité système.

6. Points essentiels à retenir pour le TSSR¶

Shadow IT = flux et usages hors contrôle DSI → angles morts à combler.
La sensibilisation des utilisateurs est prioritaire ; les outils ne remplacent pas la formation.
MDM = contrôle des terminaux ; indispensable pour smartphones professionnels.
CASB + surveillance DNS = visibilité sur les services cloud non référencés.
SIEM = corrélation et alertes (ex. transferts volumineux) ; toujours analyser criticité avant action.
NDR détecte connexions sortantes suspectes nécessitant investigation.
Extensions de navigateur non validées et messageries externes échappent souvent à la traçabilité.
Synchronisation automatique peut provoquer exfiltration continue sans intervention humaine.
Réponses graduées : bloquer, analyser, auditer, informer selon criticité.
Préserver la continuité d’activité en évitant réactions trop brusques basées sur faux positifs.

7. Tableau récapitulatif¶

Outil / Élément	But principal	Détecte / Protège contre
MDM	Gestion des terminaux mobiles	Applications non référencées, configurations non conformes
CASB	Visibilité/control des SaaS	Usage de services cloud non approuvés
SIEM	Corrélation d'alertes	Transferts volumineux, événements corrélés
NDR	Analyse trafic réseau	Connexions sortantes suspectes
Surveillance DNS	Filtrage et détection	Flux DNS vers domaines cloud non approuvés

8. Vérifications pratiques¶

SIEM : présence d’une alerte signalant un transfert de fichiers volumineux vers l’externe.
CASB : rapport indiquant usage d’un service SaaS personnel non référencé.
DNS : logs montrant flux vers domaines de stockage cloud non approuvés.
MDM : inventaire listant installation d’application mobile non référencée ou suppression effective après blocage.
NDR : journal montrant connexions sortantes anormales ou suspectes.
Analyse documentaire : extrait/échantillon et volume des fichiers transférés pour évaluer criticité.

9. Flashcards Anki¶

Qu'est-ce que le Shadow IT ? :: Usages IT (services, apps, cloud) déployés par les utilisateurs hors du contrôle de la DSI. Quelle est la première ligne de défense contre le Shadow IT selon le cours ? :: La sensibilisation des utilisateurs. Quel rôle principal joue un MDM ? :: Contrôler et superviser les terminaux mobiles et les applications installées. Que permet un CASB ? :: Visualiser et contrôler l'usage des services cloud non référencés. Quel outil détecte un transfert volumineux vers l'extérieur via corrélation d'événements ? :: SIEM. Quel risque représente une synchronisation automatique vers un cloud personnel ? :: Exfiltration automatisée et continue de données. Quel danger peut provenir d'une extension de navigateur non validée ? :: Capture non contrôlée de données et transmission vers serveurs tiers. Que recommander avant de bloquer un accès utilisateur après une alerte ? :: Analyser la nature des données, le volume et le caractère automatique ou volontaire du transfert. Quels services de partage peuvent exposer des données via liens publics ? :: WeTransfer, Mega (services de partage cités). Que doit-on faire après détection d'une application mobile non référencée par MDM ? :: Bloquer l'application et sensibiliser l'utilisateur.