Configurations de sécurité et pratiques exemplaires pour protéger vos appareils mobiles (ITSM.80.002)

Dans le contexte numérique actuel, les appareils mobiles jouent un rôle crucial dans notre quotidien. Ils permettent d’améliorer la productivité et de faciliter la communication et les transactions. Leur importance ne se limite pas qu’à l’usage personnel, ils contribuent à l’efficacité et au succès des entreprises. Malgré les nombreux avantages des appareils mobiles, l’augmentation de leur utilisation a aussi accru le risque de menaces pour la sécurité et souligne le besoin de les protéger.

Sur le plan personnel, les gens dépendent fortement des appareils mobiles, comme les téléphones intelligents, les tablettes et les ordinateurs portables, pour stocker des renseignements importants, comme des contacts, des mots de passe, des courriels et des données personnelles. Par conséquent, il faut protéger ces appareils contre les accès non autorisés. De même, dans les organisations, les appareils mobiles sont des outils essentiels pour communiquer, collaborer et accéder à des données organisationnelles. Toutefois, la vulnérabilité inhérente de ces appareils en fait des cibles intéressantes pour les auteurs de menace. Une violation de sécurité met à risque les données personnelles des membres du personnel et de la clientèle, en plus d’entraîner des conséquences importantes pour l’organisation. Un accès non autorisé pourrait amplifier la gravité d’une violation de données et potentiellement compromettre des renseignements organisationnels confidentiels, des données du personnel et de la clientèle, et d’autres renseignements exclusifs.

Cette publication souligne les pratiques exemplaires fondamentales pour sécuriser les appareils mobiles dans le but de préserver l’intégrité de l’information sensible et de protéger les utilisatrices et utilisateurs, et les organisations contre de potentielles violations de données.

1 Introduction

En raison de la dépendance accrue aux appareils mobiles à des fins personnelles ou professionnelles, il est crucial pour les organisations d’assurer la sécurité des appareils mobiles. La sécurité des appareils mobiles concerne la mise en œuvre de mesures et de pratiques pour se défendre contre diverses menaces, y compris les atteintes à la vie privée et l’accès non autorisé à des données sensibles. La sécurité des appareils mobiles comprend aussi un éventail de stratégies et de technologies visant à assurer la confidentialité, l’intégrité et la disponibilité de l’information stockée sur les appareils mobiles.

1.1 Importance de la sécurité des appareils mobiles

Comme les employées et employés utilisent régulièrement les appareils mobiles pour accéder à des données et à des messages de nature professionnelle, il est essentiel pour les organisations de sécuriser ces appareils. Ces appareils sont vulnérables à diverses menaces de sécurité, comme des maliciels, des violations de données et des accès non autorisés. De nombreuses organisations ont des exigences relatives à la conformité et des exigences juridiques pour protéger les renseignements sur les membres du personnel et la clientèle.

Le fait de ne pas sécuriser les appareils mobiles peut entraîner des conséquences juridiques et des atteintes à la réputation. La mise en œuvre de mesures de sécurité mobile appropriées est une étape importante dans la prévention d’atteinte à la sécurité des données, la protection de l’information sensible organisationnelle et la protection des données sur la clientèle et les employées et employés. Une violation de sécurité dans un appareil mobile pourrait entraîner des conséquences financières importantes associées à la récupération des données et à des répercussions sur le plan juridique. Les mesures de sécurité des appareils mobiles sont aussi essentielles pour assurer la conformité et maintenir la confiance, la crédibilité et l’intégrité de l’ensemble de votre organisation.

Les publications suivantes du Centre pour la cybersécurité comprennent un éventail de stratégies, de lignes directrices et de pratiques exemplaires pour améliorer les mesures énoncées dans les cadres organisationnels :

• Sécurité des appareils lors des déplacements et du télétravail à l’étranger (ITSAP.00.188)
• Conseils sur les appareils mobiles à l’intention des voyageurs connus du public (ITSAP.00.088)
• Dispositifs mobiles et voyages d’affaires (ITSAP.00.087)
• Considérations de sécurité pour les modèles de déploiement de dispositifs mobiles (ITSAP.70.002)
• Sécurisation de l’entreprise et des technologies mobiles (ITSM.80.001)

1.2 Types de menaces de sécurité pour les appareils mobiles

Le fait de comprendre les divers types de menaces est essentiel pour protéger vos appareils et les données importantes qu’ils stockent.

Le contexte des menaces pour les appareils mobiles comporte plusieurs facettes et comprend ce qui suit :

• Applications malveillantes
• Vulnérabilités au niveau du réseau
• Exploits qui visent les faiblesses dans les appareils et les systèmes d’exploitation (SE) mobiles

La section suivante fournit un aperçu des vecteurs de menaces courants.

1.2.1 Applications malveillantes et maliciels

Lors du téléchargement et de l’utilisation d’applications, vous pouvez télécharger involontairement des maliciels et infecter votre appareil mobile, et, possiblement, l’environnement auquel il se connecte. Même les applications téléchargées à partir des magasins d’applications de l’appareil mobile peuvent représenter une menace en se faisant passer pour des applications légitimes. Elles peuvent effectuer des fonctions malveillantes, comme obtenir l’accès à distance, intercepter des messages texte, compromettre des données sensibles ou prendre le contrôle de l’appareil. Les chevaux de Troie font partie des menaces les plus courantes. Ce type de maliciel se fait passer pour un logiciel ou code légitime et comprend souvent des arnaques publicitaires et au clic.

Les auteurs de menace utilisent des chargeurs de maliciels pour injecter du code malveillant dans les applications qui semblent sécurisées, ce qui leur permet de se faufiler entre les mesures de sécurité initiales avant d’être détectés et supprimés. Une fois qu’un appareil mobile est compromis, ces applications peuvent exécuter diverses actions invasives, comme activer des enregistreurs de frappe, accéder aux fonctions audio et à la caméra, et obtenir des autorisations exhaustives sur l’appareil.

En plus des chevaux de Troie, les auteurs de menace peuvent cibler les appareils mobiles au moyen de diverses menaces de maliciels, notamment :

• Rançongiciel mobile qui chiffre les données contre une rançon;
• Hameçonnage mobile ou hameçonnage par message texte utilisant des liens trompeurs;
• Hameçonnage vocal (vishing) par appels téléphoniques;
• Espiogiciel qui surveille secrètement les activités de l’utilisatrice ou utilisateur;
• Publiciel qui affiche des publicités intrusives.

Ces menaces exploitent les vulnérabilités, utilisent le piratage psychologique et compromettent la confidentialité de l’utilisatrice ou utilisateur.

1.2.2 Maliciel par navigateur

Un maliciel par navigateur est un logiciel malveillant qui exploite les vulnérabilités dans les navigateurs Web, en utilisant des technologies Web pour compromettre l’appareil mobile. Contrairement aux applications téléchargées à partir de magasins d’application officiels, qui sont soumis à des analyses et à des inspections, les scripts de navigateur exécutent un code arbitraire envoyé par des serveurs distants sans aucune vérification ou inspection préalable, ce qui rend les attaques par navigateur très efficaces. Même si les navigateurs modernes mettent en œuvre des mesures de sécurité, comme la mise en bac à sable pour atténuer les répercussions des exploits de navigateur, les vulnérabilités existantes peuvent toutefois permettre au maliciel de contourner ces mesures et de compromettre potentiellement l’appareil mobile. Un sous-ensemble de cette menace comprend les applications Web qui peuvent être téléchargées à partir des magasins d’applications. Ces applications Web peuvent être téléchargées à partir d’un magasin d’applications mobiles, contenir un code minimal téléchargé sur l’appareil mobile et s’exécuter sur un navigateur Web par l’intermédiaire d’une interface utilisateur personnalisée. Le code ouvre une instance du navigateur système et affiche une page Web personnalisée qui peut initialement passer la vérification, car les auteurs de menace commencent par fournir du contenu bénin à distance, pour ensuite déployer du contenu malveillant.

1.2.3 Attaques visant le réseau

Les attaques sur le réseau ciblant les appareils mobiles présentent un éventail de cybermenaces qui exploitent des vulnérabilités dans les canaux de communication. Ces attaques peuvent prendre différentes formes, comme des attaques de type adversaire au milieu (AitM) et l’écoute électronique par réseau Wi-Fi, dont chacun représente des risques distincts.

1.2.4 Attaques de type adversaire au milieu

Dans les attaques de type AitM, les auteurs de menace interceptent l’échange d’information entre deux parties à leur insu. Cela peut se produire de diverses façons, y compris au moyen de transactions en ligne, de communications par courriel ou de transferts de données sur les réseaux. Les auteurs de menace mènent ces attaques pour manipuler l’information, voler des données ou introduire des logiciels malveillants.

Les appareils mobiles sont particulièrement vulnérables aux attaques AitM, par opposition au trafic Web qui emploie fréquemment le protocole HTPPS chiffré pour des communications sécurisées. Vous pouvez souvent déterminer si un site Web est sécurisé en recherchant le symbole de cadenas dans la barre d’adresse, ce qui fournit de l’information supplémentaire sur la sécurité du site. Dans le cas des messages texte (SMS) et de nombreuses applications mobiles utilisées pour les communications vocales et écrites, le chiffrement est souvent insuffisant, ce qui les rend vulnérables à l’interception.

1.2.5 Écoute électronique par réseau Wi-Fi et usurpation

L’écoute électronique par réseau Wi-Fi se produit lorsque des auteurs de menace interceptent le trafic Wi-Fi, en particulier sur un réseau Wi-Fi public non sécurisé. Cela peut potentiellement mener au vol de données, à l’accès non autorisé ou à l’installation de logiciels malveillants. Les appareils mobiles se connectant aux réseaux Wi-Fi ouverts sont particulièrement vulnérables à ces intrusions.

La norme WPA3 (Wi-Fi protection access 3) est la norme actuelle en matière de sécurité Wi-Fi, qui corrige quelques lacunes de la version précédente, c.-à-d. WPA2 (Wi-Fi protection access 2). Bien que la norme WPA2 convienne généralement à la plupart des cas d’utilisation, elle n’offre pas suffisamment de protection contre les attaques par désauthentification, un type de cyberattaque sur les réseaux sans fil. Lors d’une attaque par désauthentification, les auteurs de menace forcent la déconnexion des appareils sur un réseau Wi-Fi. Cette déconnexion peut ensuite être exploitée pour forcer l’appareil à se reconnecter, ce qui permet aux auteurs de menace d’observer la connexion initiale. Si une personne avec le mot de passe du réseau observe cette connexion initiale, elle peut déchiffrer la protection WPA2, ce qui expose toutes les données transmises. Cette vulnérabilité peut permettre aux auteurs de menace d’obtenir l’accès non autorisé à l’appareil ou exploiter les occasions des activités malveillantes.

Les normes WPA2 et WPA3 sont vulnérables aux attaques par usurpation. De telles attaques surviennent lorsqu’une personne ayant le mot de passe du réseau crée un réseau trafiqué qui usurpe le point d’accès réel et obtient l’accès au trafic transmis sur le réseau. Vous pouvez atténuer les risques en configurant la norme WPA3 pour utiliser le protocole SAE-PK (Simultaneous Authentication of Equals-Public Key). Dans cette configuration, même si un auteur de menace connaît le mot de passe du réseau, il a tout de même besoin de la clé privée correspondante pour réussir l’authentification. Malheureusement, cette capacité n’a pas été largement adoptée, et de nombreux points d’accès fonctionnent avec des paramètres par défaut plus faibles.

1.1.1 Techniques avancées de débridage

Les utilisatrices et utilisateurs qui souhaitent plus de privilèges pour obtenir un plus grand contrôle sur leurs appareils peuvent utiliser des techniques de débridage. Cela comprend le retrait des restrictions du logiciel imposé par le système d’exploitation afin d’obtenir des privilèges plus élevés, ce qui permet essentiellement aux utilisatrices et utilisateurs d’accéder et de modifier des parties du système de fichiers de l’appareil qui seraient autrement restreintes. Ce processus permet aux utilisatrices et utilisateurs de supprimer les applications par défaut non souhaitées ou d’installer les applications à partir de magasins non officiels.

Essentiellement, bien que le débridage permette aux utilisatrices et utilisateurs d’accroître la personnification et le contrôle, cela expose les appareils à des risques de sécurité plus élevés. Si les utilisatrices et utilisateurs ne mettent pas en œuvre d’autres contrôles de sécurité robustes, les auteurs de menace peuvent exploiter ces vulnérabilités pour accéder à plus de données et infliger plus de dommages que si les utilisatrices et utilisateurs conservent les autorisations du système d’exploitation par défaut.

1.1.2 Attaques de contournement de l’authentification multifacteur

L’authentification multifacteur (AMF) comprend généralement l’utilisation de méthodes de vérification multiples pour améliorer la protection des systèmes et des données sensibles. Ces attaques peuvent comprendre des mots de passe à usage unique, des jetons numériques ou l’authentification biométrique.

Les attaques de contournement de l’AMF comprennent un éventail de tactiques employées par des auteurs de menace pour contourner les couches supplémentaires de sécurité mises en œuvre par les systèmes d’AMF. Cela comprend l’hameçonnage vocal (vishing), une forme de piratage psychologique où les auteurs de menace ont recours à des appels téléphoniques pour inciter à dévoiler les codes AMF ou des détails sensibles, comme des renseignements personnels ou des données financières. Contrairement à l’hameçonnage traditionnel par courriel, l’hameçonnage vocal repose sur la manipulation de personnes au moyen de communications vocales. Les criminelles et criminels masquent leur numéro de téléphone et utilisent des programmes de modification de la voix pour créer des messages pré-enregistrés convaincants.

De plus, les attaques de contournement d’AMF peuvent :

• Exploiter les lacunes dans la mise en œuvre de mots de passe à usage unique;
• Intercepter ou manipuler les canaux de communication;
• Compromettre les systèmes d’authentification biométriques;
• Exploiter des techniques de piratage psychologique pour inciter les utilisatrices et utilisateurs à révéler leurs justificatifs d’authentification.

Une autre menace de sécurité de l’AMF dont il faut tenir compte est l’attaque par demande d’authentification répétée, aussi appelée bombardement d’AMF ou pollupostage d’AMF. Dans le cas de cette cyberattaque de piratage psychologique, les auteurs de menace submergent la cible avec de nombreuses demandes d’AMF jusqu’à ce que cette personne approuve la tentative de connexion. Le but est de faire pression sur la victime pour qu’elle confirme son identité au moyen de notifications, ce qui fournit une occasion pour les attaquants d’obtenir l’accès non autorisé à l’appareil ou au compte de la victime.

2 Pratiques exemplaires liées à la sécurité des appareils mobiles

Le fait de sécuriser les données sur les appareils mobiles est essentiel pour protéger vos renseignements personnels et les données sensibles de votre organisation. Les appareils mobiles sont des cibles intéressantes pour les auteurs de menace en raison de la quantité de renseignements personnels et potentiellement sensibles qu’ils contiennent. Un appareil mobile compromis peut fournir un accès non autorisé au réseau de votre organisation, ce qui menace à la fois la sécurité de votre information et celle de votre organisation.

La section suivante fournit des conseils sur les configurations de sécurité des appareils mobiles et des pratiques exemplaires que les utilisatrices et utilisateurs, et les organisations peuvent mettre en œuvre afin de renforcer leur posture de sécurité

2.1 Recommandations en matière de configuration de sécurité des appareils mobiles

Cette section décrit les diverses fonctionnalités de configuration disponibles sur les appareils mobiles et fournit des renseignements sur la façon dont les utilisatrices et utilisateurs peuvent les activer et les désactiver de manière sélective pour optimiser la sécurité de leurs appareils.

2.1.1 Activez l’authentification multifacteur

L’une des manières les plus efficaces de sécuriser votre appareil mobile comprend la mise en œuvre de mots de passe robustes et l’authentification multifactorielle, de préférence l’AMF résistante à l’hameçonnage, dans le processus de connexion. Bien que l’activation de l’AMF sur votre appareil mobile puisse comprendre la réception d’un message texte contenant un code sur votre téléphone, il est important de noter que les codes par SMS ne sont pas considérés comme une deuxième méthode d’authentification multifacteur robuste, car ils peuvent être interceptés et potentiellement compromis par des logiciels malveillants sur l’appareil. Le fait de choisir d’autres méthodes AMF plus sécurisées, comme les applications d’authentification, les clés d’accès, les jetons matériels, la communication en champ proche ou la biométrie, comme les empreintes digitales, la reconnaissance faciale ou le balayage de la rétine, est une meilleure approche pour l’authentification.

Le fait d’introduire cette étape supplémentaire dans le processus de connexion améliore la sécurité en fournissant une couche de protection supplémentaire. Cette protection supplémentaire rend la tâche plus difficile aux auteurs de menace d’accéder à votre compte, même s’ils connaissent votre mot de passe.

Il est essentiel d’éviter d’utiliser les mêmes mots de passe pour plusieurs comptes. Le fait de choisir des mots de passe uniques et de les mettre à jour régulièrement améliorera la sécurité. Pour atténuer les risques potentiels, en particulier si vous perdez votre appareil, évitez de stocker vos mots de passe dans les navigateurs ou de les noter sur un papier et de conserver celui-ci dans votre étui de téléphone.

Pour en savoir plus sur les mots de passe, les phrases de passe et l’AMF, consultez les publications suivantes :

• Pratiques exemplaires de création de phrases de passe et de mots de passe (ITSAP.30.032)
• Sécurisez vos comptes et vos appareils avec une authentification multifacteur (ITSAP.30.030)

2.1.2 Utilisez le réseau privé virtuel intégré

Dans les cas où il est inévitable d’utiliser un réseau Wi-Fi public, envisagez de mettre en œuvre des mesures de sécurité supplémentaires, comme utiliser le réseau privé virtuel (RPV) intégré dans votre appareil mobile pour chiffrer l’activité Internet. Cela fournit une couche de protection supplémentaire à la transmission des données et aide à se protéger contre les menaces potentielles sur les réseaux publics. Sachez que, même s’il est utile d’utiliser un RPV, celui-ci pourrait ne pas offrir une cybersécurité infaillible lorsqu’on accède à l’Internet public. Évitez d’utiliser les services RPV de tierces parties, car ils peuvent introduire des vulnérabilités informatiques qui peuvent compromettre votre confidentialité et la sécurité de l’ensemble du réseau. En évitant les RPV de tierces parties, vous atténuez le risque lié au fait de faire confiance aux fournisseurs externes avec le trafic de votre réseau et vos données.

2.1.3 Utilisez le chiffrement

Activez la fonctionnalité de chiffrement intégrée sur votre appareil mobile pour protéger les données stockées contre les accès non autorisés. Cette mesure de sécurité chiffre vos données, ce qui les rend accessibles seulement aux utilisatrices et utilisateurs autorisés. En utilisant la fonctionnalité de chiffrement intégrée, vous pouvez protéger votre appareil contre les compromissions potentielles et les accès non autorisés, en particulier dans des cas comme le vol.

2.1.4 Mettez à jour régulièrement vos appareils mobiles et vos applications

Pour éviter que les auteurs de menace accèdent à vos appareils et exploitent les vulnérabilités dans les logiciels et les applications, vous devriez activer les mises à jour automatiques et vérifier régulièrement les mises à jour manuelles pour veiller à ce que les systèmes d’exploitation (SE) et les applications installées soient à jour. Les mises à jour des SE et des applications comprennent généralement des correctifs de sécurité pour corriger les vulnérabilités connues. Le fait de mettre en œuvre ces mises à jour permet non seulement d’améliorer les fonctionnalités et la performance, mais aussi d’atténuer le risque de perte de données en raison de plantages ou d’erreurs. Si vous n’appliquez pas les mises à jour logicielles ou si vous négligez les correctifs des applications, vous pouvez créer des occasions pour les auteurs de menace, qui surveillent de près les vulnérabilités logicielles, de s’introduire dans votre réseau.

Consultez la publication Application des mises à jour sur les dispositifs (ITSAP.10.096) pour plus d’information sur les avantages de tenir à jour vos SE et applications.

2.1.5 Activez l’authentification utilisateur (verrouillage d’écran)

Étant donné la susceptibilité des ordinateurs portables et des téléphones intelligents à la perte ou au vol, en particulier dans des lieux publics, il est important de s’assurer que l’appareil a un écran de verrouillage. Le verrouillage d’écran sert de couche de défense, qui nécessite une authentification comme un NIP, un mot de passe ou une biométrie pour accéder à l’appareil et à son contenu. Cela permet non seulement de protéger les données personnelles et sensibles, mais aussi d’aider à prévenir l’utilisation non autorisée de l’appareil, ce qui renforce la sécurité globale de l’appareil.

2.1.6 Faites preuve de prudence lorsque vous accordez des autorisations

Faites preuve de prudence lorsque vous accordez des autorisations aux applications mobiles et évaluez si les autorisations concordent avec la fonctionnalité prévue de l’application. Gérez et examinez régulièrement les autorisations des applications pour restreindre les accès non nécessaires aux données sensibles. Autorisez seulement l’accès minimum nécessaire pour que l’application puisse exécuter ses fonctions prévues. Évitez d’accorder des autorisations qui ne semblent pas liées à l’objectif réel de l’application, particulièrement en ce qui a trait à la localisation, à la caméra et au micro. L’accès non nécessaire à de l’information sensible peut représenter des risques en matière de sécurité et de confidentialité.

Examinez attentivement les conditions générales d’utilisation et les énoncés de confidentialité, puisque la collecte de données relevant de ces conditions est considérée comme étant légitime dans toutes les plateformes mobiles. Les utilisatrices et utilisateurs, et les entreprises ne devraient pas se reposer sur des mécanismes d’anonymisation, comme des manières infaillibles pour prévenir les fuites de données ou protéger l’identité des utilisatrices et utilisateurs. Toute information dont une application a obtenu les autorisations d’accès devrait être considérée comme étant déjà divulguée et en dehors du contrôle de l’entreprise.

2.1.7 Désactivez les connexions automatiques

Afin d’atténuer le risque de menaces de sécurité potentielles, vous devriez désactiver les fonctions Bluetooth et Wi-Fi lorsque vous ne les utilisez pas. Ce faisant, vous pouvez minimiser votre exposition et réduire les vecteurs d’attaque et les points d’accès que les auteurs de menace peuvent exploiter.

Lorsque vous utilisez la technologie Bluetooth, activez la fonction permettant d’autoriser la connexion pour éviter les connexions automatiques. Malgré le fait que les appareils compatibles Bluetooth soient pratiques, ils sont vulnérables à diverses menaces de sécurité des appareils mobiles, comme l’atteinte à la vie privée et l’obtention d’un accès aux listes de contact exhaustives, aux renseignements personnels, aux justificatifs d’identité, aux courriels et au contenu des messages. Les risques suivants sont des exemples de risques que vous pourriez courir lorsque vous activez la technologie Bluetooth sur un appareil mobile :

• contrôle non autorisé de l’appareil;
• perturbations du fonctionnement;
• écoute clandestine des connexions audio;
• compromission des serrures intelligentes et des dispositifs de sécurité utilisés pour protéger les installations et les véhicules;
• attaques par mystification causant des nuisances et un déni de service;
• injection de données et de commandes malveillantes.

Le fait de désactiver la connexion automatique aux réseaux Wi-Fi publics améliore la sécurité globale en prévenant l’accès non autorisé, en réduisant le risque de cyberattaques et en préservant la confidentialité des utilisatrices et utilisateurs. Cela permet aux utilisatrices et utilisateurs de faire des choix éclairés et en toute connaissance de cause lorsqu’elles et ils se connectent à des réseaux, ce qui réduit la vulnérabilité à des menaces de sécurité potentielles associées aux environnements Wi-Fi publics.

Le fait de désactiver les fonctions Bluetooth et Wi-Fi requiert un effort intentionnel, ce qui met l’accent sur l’importance de la sensibilisation continue et de la gestion active de ces fonctions.

2.1.8 Désactivez le suivi de localisation

Le suivi de localisation sur un appareil mobile est une fonction utilisée pour surveiller et enregistrer votre emplacement géographique. Vous pouvez contrôler et gérer les paramètres de localisation dans le menu des paramètres ou des préférences du système de votre appareil. Bien que l’activation du suivi de localisation puisse améliorer la fonctionnalité des services, comme le mappage, la navigation et les applications basées sur la localisation, il est important de noter que, lorsque cette fonction est activée, l’appareil stocke et collecte constamment les données de localisation, ce qui représente un risque potentiel si des personnes non autorisées y accèdent. Pour préserver votre confidentialité, vous devriez désactiver les paramètres de suivi de localisation lorsqu’ils ne sont pas nécessaires.

Il est important de noter que, dans les dernières versions du SE, de nombreux appareils offrent l’option de choisir entre le suivi de localisation précis ou approximatif. Bien que le suivi de localisation approximatif puisse offrir une certaine confidentialité, ce ne sont pas toutes les applications qui peuvent bien fonctionner avec cette option sélectionnée. Même lorsque le suivi de localisation approximatif fonctionne, on ne devrait pas s’y fier uniquement, en particulier lorsque les données de localisation d’une personne sont considérées sensibles.

2.1.9 Désactivez le remplissage automatique

La fonctionnalité de remplissage automatique se trouve dans la plupart des navigateurs et des gestionnaires de mots de passe et est utilisée pour générer automatiquement les justificatifs d’ouverture de session sur des sites Web et des applications. Les auteurs de menace peuvent se cacher derrière des sites Web compromis et obtenir accès aux mots de passe enregistrés et à des renseignements personnels stockés dans le remplissage automatique, ce qui rend les utilisatrices et utilisateurs vulnérables au vol d’identité et à d’autres formes de cyberattaques. Vous pouvez éviter ces risques en désactivant cette fonctionnalité sur votre appareil.

2.1.10 Conservez les connexions sans fil en mode caché

Lorsque votre connexion sans fil est en mode caché, cela ajoute une couche supplémentaire de confidentialité et de sécurité, car votre réseau ne sera pas visible par d’autres à la recherche de réseaux Wi-Fi disponibles. De manière générale, conservez votre connexion sans fil en mode caché à moins que vous ayez besoin spécifiquement d’être visible aux autres.

2.1.11 Désactivez le débogage USB

Pour éviter l’accès non autorisé à votre appareil au moyen de connexions USB, désactivez le débogage USB lorsque celui-ci n’est pas nécessaire. Le débogage USB est une fonction qui permet à votre appareil de communiquer avec un ordinateur au moyen d’une connexion USB. Le fait de laisser le débogage USB activé lorsqu’il n’est pas activement utilisé peut créer un point d’entrée potentiel pour les auteurs de menace afin d’exploiter des vulnérabilités et d’obtenir le contrôle non autorisé de votre appareil.

2.1.12 Configurez les paramètres de navigateur

Vous pouvez améliorer la sécurité de votre appareil en configurant les paramètres de navigateur pour bloquer les fenêtres publicitaires, activer la fonction permettant l’arrêt du suivi et gérer les témoins. Les témoins, qui peuvent stocker de l’information liée aux justificatifs d’identité, pourraient être compromis si des auteurs de menace y accèdent. Vous devriez mettre à jour régulièrement votre navigateur à la version la plus récente pour corriger les vulnérabilités potentielles et toujours faire preuve de prudence lorsque vous naviguez sur le Web.

2.2 Pratiques exemplaires supplémentaires et conseils pour sécuriser votre appareil mobile

Cette section porte sur des conseils supplémentaires que vous devriez prendre en compte lorsque vous utilisez vos appareils mobiles. Ces conseils ne sont pas des suggestions de configuration, mais plutôt des pratiques exemplaires générales qui peuvent vous aider à renforcer la sécurité de vos appareils mobiles et à protéger vos renseignements personnels.

2.2.1 Utilisez des gestionnaires de mots de passe

Le fait de gérer de nombreux mots de passe peut être complexe et frustrant, et il est souvent difficile de tous se les rappeler. Comme mentionné précédemment, on recommande de désactiver la fonctionnalité de remplissage automatique des mots de passe sur votre appareil. De plus, il est important d’éviter de stocker des justificatifs d’identité dans des applications non protégées. Adoptez plutôt l’utilisation d’un gestionnaire de mots de passe, un répertoire sécurisé pour tous vos mots de passe, qui est protégé par un mot de passe principal unique accessible par vous seulement. Les gestionnaires de mots de passe permettent non seulement de simplifier la gestion des mots de passe, mais aussi d’aider à générer des mots de passe robustes, ce qui réduit les risques associés à la création de mots de passe prévisibles. Pour renforcer davantage la sécurité des mots de passe de vos appareils mobiles, veuillez envisager l’intégration d’un gestionnaire de mots de passe à une application d’authentification multifacteur (AMF).

Consultez la publication Conseils de sécurité sur les gestionnaires de mots de passe (ITSAP.30.025) pour plus d’information sur l’utilisation d’un gestionnaire de mots de passe.

2.2.2 Sauvegardez vos données

Si votre appareil mobile est compromis ou tombe entre de mauvaises mains, vous pourriez perdre toutes vos données, y compris vos contacts et photos. Le fait d’avoir une solution infonuagique qui effectue automatiquement des sauvegardes pour non seulement assurer la récupération des données, mais aussi renforcer la sécurité globale de l’information et faciliter la récupération advenant une compromission. Les sauvegardes automatiques permettent de sauvegarder les données durant des périodes de faible utilisation du téléphone. Bien qu’une sauvegarde infonuagique automatique convienne généralement aux données personnelles, vous devriez vérifier la compatibilité de cette fonctionnalité avec les politiques de service infonuagique de votre entreprise (par exemple, politiques sur la conservation des données, la résidence des données ou le chiffrement) avant de l’activer pour les données d’entreprise.

Il est important de savoir que les sauvegardes à distance sont vulnérables aux menaces potentielles. Pour aider à atténuer ces risques, vous devriez intégrer des pratiques de chiffrement dans le processus de sauvegarde. Pour ce faire, choisissez des solutions de sauvegarde sécurisées avec des fonctionnalités de chiffrement intégrées, ce qui permet d’assurer le chiffrement de bout en bout pour sécuriser les données lors de la transmission ou du stockage. La priorisation du chiffrement côté client ajoute une couche de protection supplémentaire en chiffrant les données sur l’appareil de l’utilisatrice ou utilisateur avant de les transmettre au serveur de sauvegarde à distance. Cette approche permet d’assurer que, même si un serveur est compromis, les données chiffrées stockées dans le nuage demeurent indéchiffrables sans la clé de déchiffrement correspondante.

2.2.3 Utilisez des outils de sécurité préventive

Lorsque vous téléchargez des applications ou des fichiers compromis sur votre appareil mobile, vous risquez de télécharger un maliciel. Une fois le maliciel activé, les auteurs de menace peuvent l’exploiter pour compromettre vos données, mettant ainsi à risque votre sécurité et votre confidentialité. Pour atténuer ce risque, assurez-vous que votre appareil est équipé avec les outils de sécurité préventive reconnus et à jour. Ces outils comprennent les logiciels antivirus, les pare-feu et les systèmes de détection et de prévention des intrusions. Certaines applications antivirus offrent des fonctionnalités supplémentaires, notamment ce qui suit :

• effacer les données en cas de perte de l’appareil;
• suivre et bloquer les appelantes et appelants suspects;
• relever les applications non sécurisées;
• effacer l’historique de navigation;
• supprimer les témoins.

Les pare-feu devraient être activés dans la mesure du possible pour améliorer la protection de votre appareil. Le fait d’intégrer des systèmes de détection et de prévention des intrusions dans les pratiques de sécurité mobile peut vous aider à détecter et à atténuer les menaces avancées qui peuvent contourner les pare-feu, et à y répondre. Ces systèmes peuvent renforcer la posture de sécurité globale de vos écosystèmes mobiles.

2.2.4 Méfiez-vous des applications mobiles non fiables

Il est important de faire preuve de prudence lors de l’installation ou de l’utilisation d’applications et d’éviter celles qui sont jugées non fiables. Méfiez-vous et choisissez soigneusement les applications que vous voulez installer ou celles auxquelles vous accordez des autorisations. Cela aide à réduire les risques potentiels pour vos données personnelles et votre appareil. Vous devriez télécharger les applications mobiles uniquement à partir des marchés ou magasins d’applications officiels. Toutefois, vous ne devriez pas vous reposer uniquement sur l’approbation ou la vérification des magasins d’applications, puisque de nombreuses applications peuvent collecter d’importantes données et représenter une menace en raison de la portée et de l’étendue des données collectées.

Sachez que certaines applications pourraient se déguiser en applications Web dont le contenu est fourni à distance (comme une page Web). Comme susmentionné, le contenu fourni à distance au moment de la vérification pourrait être totalement bénin, mais, plus tard, il pourrait changer pour du contenu Web malveillant comprenant un exploit sur navigateur.

Avant d’installer toute application dans un magasin d’application d’entreprise, nous vous recommandons d’utiliser des services de vérification tiers et des services de réputation d’applications, et de mener une inspection d’application interne.

2.2.5 Fermez vos sessions

Vérifiez régulièrement vos comptes de dispositif et déconnectez-vous des comptes non utilisés. Prenez l’habitude de vous déconnecter des applications mobiles chaque fois que vous avez fini de les utiliser. De plus, vous devriez éteindre votre appareil mobile et le rallumer chaque semaine comme mesure d’atténuation supplémentaire contre certaines cyberattaques, notamment le harponnage et les exploitations zéro-clic.

2.2.6 Ne laissez pas votre appareil mobile sans surveillance

Le fait de laisser vos appareils mobiles sans surveillance augmente le risque d’accès non autorisé et de vol, ce qui compromet potentiellement vos données sensibles. Il est important de toujours garder avec soi les appareils mobiles ou de les entreposer de manière sécurisée lorsqu’ils ne sont pas utilisés afin d’atténuer efficacement ces risques.

2.2.7 Évitez les stations de charge publiques

Dans la mesure du possible, vous devriez éviter de charger vos appareils mobiles dans des ports ou stations de charge publiques. Ils peuvent être un vecteur possible pour les auteurs de menace d’obtenir accès à votre appareil. Si vous devez charger votre appareil en utilisant un port public, envisagez d’utiliser un bloqueur de données USB pour bloquer et empêcher le transfert de données depuis votre appareil lorsque vous le branchez dans un port de charge.

2.2.8 Évitez de contourner les fonctionnalités de sécurité sur votre appareil mobile

Les fabricants intègrent des restrictions et des fonctionnalités de sécurité sur leurs appareils pour protéger les données et les appareils des utilisatrices et utilisateurs. Comme susmentionné, le fait de contourner les fonctionnalités de sécurité (débridage) revient à les supprimer. Si vous n’avez pas l’intention de mettre en œuvre d’autres contrôles de sécurité robustes, évitez de contourner les fonctionnalités de sécurité des fabricants, car l’appareil pourrait être exposé à une vulnérabilité accrue aux maliciels et à d’autres menaces à la sécurité.

2.2.9 Effacez les appareils avant leur élimination

Le fait d’effacer votre appareil avant de l’éliminer est une étape essentielle pour protéger les données sensibles contre les accès non autorisés. Cela comprend la suppression ou le nettoyage de manière sécuritaire de toutes les données afin d’éviter les risques liés à la confidentialité et à la sécurité, comme le vol d’identité et la fraude financière. Les méthodes appropriées d’effacement de données comprennent ce qui suit : effectuer une réinitialisation aux paramètres d’usine, utiliser un logiciel spécialisé ou détruire physiquement l’appareil.