Confidentialité: mon employeur peut-il accéder à des informations sensibles s'il paie mon abonnement mobile? J'ai acheté le matériel moi-même
J'ai acheté le téléphone portable moi-même, mais mon employeur a payé l'abonnement mobile.
Quelles données peuvent-ils voir et quels sont les risques potentiels pour la confidentialité? Autant que je sache, ils voient les numéros que j'ai appelés (uniquement les appels traditionnels, pas via les applications VoIP), mais ils ne voient pas le trafic Internet individuel.
J'utilise également l'iPhone pour le serveur Microsoft Exchange Server de l'entreprise.
Ils pourront très probablement voir une facture détaillée indiquant qui vous avez appelé et quand. Ils pourront également voir l'utilisation des données mobiles.
Si le téléphone est inscrit dans le système de gestion mobile de l'organisation, ils peuvent être en mesure de surveiller et de contrôler l'utilisation des applications ainsi que de surveiller et de contrôler le trafic Internet.
MISE À JOUR: Dans le pire des cas, ils pourraient potentiellement installer une surveillance complète et installer des choses comme les enregistreurs de frappe, cela est cependant très peu probable. De plus, selon la partie du monde dans laquelle vous vivez, il y a des restrictions sur ce qu'ils peuvent collecter légalement, en particulier sans consentement.
La meilleure chose à faire est de demander à votre entreprise ce que vous pouvez et ne pouvez pas utiliser le téléphone. S'il s'agit d'une grande organisation, ils doivent avoir une politique de sécurité et une politique d'utilisation acceptable.
Mes réflexions sur un téléphone géré par l'entreprise ou un contrat payé par l'entreprise, et votre entreprise Exchange. J'inclus les informations pertinentes pour les appareils iPhone (car le contrôle du montant varie selon les plateformes mobiles).
Téléphone
Si vous utilisez Exchange ActiveSync pour accéder à la messagerie/contact/calendrier de votre entreprise, notez que si ActiveSync , votre entreprise peut:
- Configurer un téléphone mobile pour la synchronisation
- Désactiver un téléphone mobile pour Exchange ActiveSync
- Activer un périphérique pour Exchange ActiveSync
- Afficher une liste de périphériques pour un utilisateur
- Configurer le verrouillage du mot de passe du périphérique
- Récupérer un mot de passe d'appareil
- Effectuer un Effacement à distance sur un téléphone mobile
- Installer des certificats SSL sur un téléphone Windows Mobile
- Configurer les téléphones mobiles pour se synchroniser avec Exchange Server
Apple et Google ont également des options de gestion centralisée similaires. D'autres services ou logiciels tiers peuvent effectuer des tâches similaires.
Si votre téléphone a été configuré avec Google G Suite , votre entreprise peut:
- Synchronisez automatiquement les e-mails, les calendriers et les contacts avec les appareils des utilisateurs.
- Activez ou désactivez des fonctionnalités telles que les widgets d'écran de verrouillage, Siri, My Photo Stream, Handoff et iCloud Photo Sharing.
- Protégez les données gérées de votre organisation en contrôlant les applications pouvant être utilisées pour ouvrir des documents et des pièces jointes.
- Contrôlez la sauvegarde et la synchronisation Apple® iCloud® et activez le cryptage de sauvegarde. Appliquez des contrôles de gestion des appareils, tels que l'effacement des comptes, le chiffrement et le verrouillage de l'écran.
- Protégez vos données professionnelles avec les applications G Suite, telles que Gmail, Google Drive et Google Agenda. Pour plus d'informations, voir Obtenir des applications mobiles pour les appareils iOS.
Si votre entreprise utilisait Apple Device Enrollment , elle peut accéder, entre autres:
- Proxy réseau global pour HTTP
- Autoriser iMessage, Game Center, iBooks Store, AirDrop, Find My Friends
- Autoriser la suppression des applications
- Autoriser le contenu généré par l'utilisateur dans Siri
- Autoriser l'installation manuelle des fichiers de configuration
- Autoriser les restrictions de con fi guration
- Autoriser le couplage avec des ordinateurs pour la synchronisation de contenu
- Autoriser la modification du compte
- Autoriser la modification des paramètres de données cellulaires
- Autoriser l'effacement de tout le contenu et des paramètres
- Limitez les connexions AirPlay avec la liste blanche et les codes d'accès en option
- Activer Siri Filtre blasphème
- Mode d'application unique
- Paramètres d'accessibilité
Notez qu'une sauvegarde à distance inclut beaucoup d'informations sur votre téléphone (applications installées, etc.). Je suis presque certain que votre entreprise pourrait accéder à ces informations si elle le souhaitait.
Contrat
Cela dépend si votre employeur paie simplement votre contrat ou s'il est le propriétaire du contrat et a donc accès aux outils en ligne de l'opérateur mobile.
S'ils sont propriétaires du contrat, ils peuvent certainement accéder à la liste détaillée des appels téléphoniques (y compris les numéros, l'heure et la durée). Ils peuvent également être en mesure d'accéder à votre utilisation des modèles de données Internet (ce qui peut révéler certaines de vos habitudes).
Je ne connais aucun fournisseur (Europe/Espagne) qui permette aux clients d'accéder à une liste détaillée des sites Web visités ou des adresses IP consultées, mais je peux me tromper ici. J'en doute, car cela nécessiterait que votre fournisseur de téléphone fasse une inspection approfondie des paquets et maintienne des installations d'exploration de données et de journaux assez coûteuses ...
Informations générales
Quiconque utilise son téléphone pour accéder aux ressources de son entreprise (même en vérifiant simplement le courrier via POP3/IMAP) révèle généralement sa position géographique approximative à son entreprise de façon périodique.
Si vous utilisez le proxy ou le VPN de votre entreprise pour accéder à l'une de leurs ressources, notez que votre trafic Internet ou votre comportement de navigateur peut être transmis via les serveurs de votre entreprise, ce qui leur permettrait de suivre les sites que vous visitez (et le contenu si ces sites n'utilisent pas HTTPS).
Si votre entreprise a installé des certificats personnalisés sur votre téléphone, elle pourrait également afficher le trafic HTTPS si vous utilisez son proxy.
TL; DR
En résumé, je vous recommande de:
- Découvrez si votre téléphone est inscrit à un système de gestion à distance.
- Vérifiez le type d'informations que votre compagnie de téléphone fournit à leurs clients (professionnels) sur leurs contrats.
- Vérifiez si votre entreprise a installé des logiciels supplémentaires, des paramètres proxy/vpn ou des certificats sur votre téléphone (au cas où vous leur auriez remis votre téléphone à tout moment OR leur a permis l'administration à distance).
En plus des autres points qui ont été soulevés, de nombreux sites Web utilisent un message SMS sur votre téléphone mobile comme une forme d'authentification à deux facteurs, même si la meilleure pratique actuelle n'est pas de le faire). Ainsi, ils pourraient à tout moment détourner des messages vers votre numéro vers eux-mêmes et les utiliser pour reprendre vos comptes Internet, même les comptes que vous n'utilisez jamais avec le téléphone.
Le titulaire d'un contrat peut presque toujours voir l'activité de ce contrat, à savoir les numéros appelés et très probablement l'utilisation d'Internet, à savoir les sites que vous visitez et la quantité de données que vous avez utilisées pour y accéder. Dans la plupart des régions du monde, votre employeur a le droit de surveiller vos activités sur les services fournis par les entreprises, et beaucoup utilisent ce droit. Certaines industries sont réglementées et ont une obligation pour surveiller ce que vous faites, et dans ces cas, vos appels peuvent être enregistrés et votre trafic Internet réellement enregistré afin que vos actions puissent être reconstruites - c'est un cas rare.
Si vous contrôlez votre appareil réel, ils ne peuvent pas voir ce que vous faites dessus, mais vous ne pouvez pas supposer que tout ce que vous faites sur votre téléphone d'entreprise est privé, car les connexions qu'il établit leur donneront beaucoup d'informations. Vous pouvez utiliser TOR, mais personnellement, si vous faites des choses que vous voulez vraiment garder privées, vous feriez mieux d'obtenir votre propre contrat pour votre téléphone.
Il existe deux niveaux d'accès (d'accord, faites-en trois), selon les options proposées par le transporteur (avec "offert" signifiant "offert à votre employeur").
Certes, tout le trafic facturable est transmis à votre employeur, alors:
- les numéros appelés et, presque sûrement mais pas nécessairement, les appels reçus même lorsqu'ils ne sont pas facturables.
- SMS/MMS envoyés (mais pas leur contenu)
- statistiques de trafic réseau (c.-à-d. volume en gigaoctets, mais pas son contenu).
La carte SIM peut acheminer votre trafic vers un groupe MPLS privé et le faire analyser/filtrer. Combien ou peu, cela dépend de nombreux facteurs. Potentiellement, tout (sauf le cryptage HTTPS, et même dans ce cas, sauf les attaques MitM) pourrait être accessible sans que vous soyez plus sage. Cela inclut également le contenu SMS/MMS. Votre employeur ne doit pas simplement payer votre navigation, il doit fournir une SIM sur mesure.
Plus simplement, tout le trafic peut être acheminé via un VPN dédié, quels que soient les paramètres de l'appareil . Ainsi, votre navigation s'effectue efficacement à partir d'un appareil à l'intérieur de l'entreprise de votre employeur. Les mêmes règles s'appliquent que pour # 2, mais cette situation peut être apparente en traçant ou en vérifiant simplement votre adresse IP source apparente et/ou en comparant l'adresse IP du périphérique interne (par exemple 10.123.45.6) et ce qui apparaît à un site tiers tel que WhatIsMyIp.com (par exemple $ IP_IN_YOUR_EMPLOYER_NETWORK). Cela peut être fait même avec votre propre carte SIM à l'intérieur.
Je suis entièrement d'accord avec la réponse de @ TheJulyPlot: demandez votre employeur
une. Ce qui est autorisé sur cet appareil,
b. Si la navigation privée (c'est-à-dire VPN tiers) est autorisée.
Si la réponse à (b.) Est NON, alors vous devriez acheter un deuxième appareil ou chercher un appareil à double SIM - mais, tout d'abord, demandez si que est autorisé. J'ai eu une fois une position où je n'étais pas autorisé à apporter mon propre téléphone - ou tout autre type de gadget électronique, y compris mon non-réseau PDA (!) - à l'intérieur des locaux. Vous don ' Je ne veux pas débourser beaucoup d'argent pour un appareil que vous ne pouvez pas utiliser.
Note finale (en particulier pour le cas n ° 3): dans certaines circonstances, vous pourriez obtenir un flak non seulement pour quelque chose vous l'a fait mais pour quelque chose qui l'était vous a envoyé . Considérez donc à qui vous donnez (ou avez déjà donné) ce numéro de téléphone. "Déplacer" votre propre carte SIM avec un numéro dans les comptes de votre employeur pourrait se retourner de façon spectaculaire s'ils s'opposaient à certains SMS envoyés par une petite amie trop attachée ou similaire).