La téléphonie d’entreprise a beaucoup évolué. Une PME peut aujourd’hui utiliser des lignes associées à une box professionnelle, un standard téléphonique hébergé dans le cloud, des téléphones IP, des applications installées sur les ordinateurs ou les smartphones, voire une solution de communications unifiées regroupant plusieurs de ces usages.
Pour les utilisateurs, téléphoner reste simple. Mais derrière cette simplicité, la téléphonie repose désormais souvent sur des comptes, des équipements connectés, des applications, des interfaces d’administration et des services accessibles via Internet.
Cette évolution apporte davantage de souplesse et de mobilité. Elle modifie également les risques auxquels la téléphonie de l’entreprise peut être exposée.
Fraude téléphonique, détournement d’un compte, accès non autorisé à une administration ou utilisation abusive d’une ligne : comment savoir si sa téléphonie est correctement protégée et ce que couvre réellement son offre ?
En bref...
Une solution de téléphonie professionnelle intègre généralement des mécanismes de sécurité mis en œuvre par son opérateur ou son éditeur. Mais cela ne signifie pas que tous les risques liés à son utilisation par l’entreprise sont automatiquement couverts.
Les protections proposées avec les offres télécom peuvent également concerner des périmètres différents : connexion Internet, réseau, postes de travail, smartphones, comptes ou services téléphoniques.
Certaines de ces protections peuvent par ailleurs compléter des dispositifs déjà présents dans l’environnement informatique de l’entreprise, couvrir les mêmes besoins et, dans certains cas, interférer avec eux.
Sécuriser sa téléphonie suppose donc de comprendre comment elle fonctionne, ce qui est déjà protégé et ce qui reste à maîtriser.
Pourquoi la téléphonie d’entreprise est-elle aujourd’hui davantage exposée ?
Pendant longtemps, la téléphonie d’entreprise reposait sur des systèmes relativement isolés du reste de l’informatique. La généralisation de la téléphonie IP et des services cloud a progressivement changé cette organisation.
Selon la solution utilisée, un collaborateur peut aujourd’hui téléphoner depuis un poste fixe connecté au réseau de l’entreprise, une application installée sur son ordinateur ou son smartphone, au bureau comme à distance. Cette dépendance au réseau rend également la continuité de la connexion Internet importante pour certains usages téléphoniques.
La téléphonie peut également s’appuyer sur des comptes utilisateurs, une interface d’administration accessible en ligne, différents équipements réseau ou des services hébergés chez un opérateur ou un éditeur.
Cela ne signifie pas que la téléphonie IP est moins sûre par nature. Cela signifie que les éléments à protéger et les possibilités d’accès sont plus nombreux qu’avec une simple ligne téléphonique.
Toutes les entreprises ne disposent cependant pas du même environnement. Une ligne fixe associée à une box professionnelle et un standard cloud utilisé par plusieurs dizaines de collaborateurs ne présentent ni les mêmes fonctionnalités ni exactement les mêmes risques.
Quels sont les principaux risques de fraude ou de piratage ?
Une fraude téléphonique peut prendre différentes formes selon la solution utilisée.
La compromission d’un compte peut par exemple permettre à une personne non autorisée d’utiliser une ligne ou certaines fonctions de téléphonie.
Un accès à l’administration peut permettre de modifier des paramètres ou des droits.
Un terminal ou une application insuffisamment protégé peut également constituer un point d’entrée.
L’utilisation frauduleuse de la téléphonie peut alors générer des appels non autorisés, parfois vers des destinations fortement facturées. Mais les conséquences ne sont pas uniquement financières.
Une compromission peut aussi perturber les appels entrants ou sortants, rendre certaines fonctions indisponibles, mobiliser du temps pour identifier et corriger l’incident ou affecter les échanges avec les collaborateurs, les clients et les partenaires.
L’importance d’un incident dépend donc autant de la faille elle-même que de ses conséquences sur l’activité de l’entreprise.
Il faut également distinguer ces situations de l’usurpation du numéro d’appelant, parfois appelée « spoofing ». Le numéro d’une entreprise peut être affiché frauduleusement lors d’un appel sans que son standard ou ses comptes aient nécessairement été compromis.
Voir son numéro utilisé dans une tentative de fraude est donc préoccupant, mais cela ne prouve pas à lui seul que la téléphonie de l’entreprise a été piratée.
Toutes les solutions de téléphonie IP présentent-elles les mêmes risques ?
Non. Le terme « téléphonie IP » recouvre aujourd’hui des réalités très différentes.
Une petite entreprise peut essentiellement utiliser les lignes incluses avec sa box professionnelle. Une autre peut disposer d’un standard hébergé dans le cloud avec plusieurs numéros, des groupes d’appels, des applications mobiles et des utilisateurs travaillant à distance. Une troisième peut utiliser une solution de communications unifiées intégrée à son environnement informatique.
Le niveau d’exposition dépend donc notamment de l’architecture retenue, des fonctionnalités activées, du nombre d’utilisateurs, des possibilités d’accès à distance et de la manière dont la solution est administrée.
Parler de téléphonie IP ne permet donc pas, à lui seul, de déterminer le niveau de risque d’une entreprise.
C’est aussi pourquoi une protection adaptée commence par la compréhension de la solution réellement utilisée, plutôt que par l’application d’une liste générique de mesures de sécurité.
« Cybersécurité incluse » : que protège réellement l’offre ?
C’est probablement l’un des points les plus difficiles à apprécier lorsqu’un dirigeant compare des offres professionnelles.
Une offre télécom peut aujourd’hui associer accès Internet, téléphonie, standard, mobilité et différents services présentés sous les termes de sécurité ou de cybersécurité.
Mais derrière ces appellations peuvent se trouver des protections très différentes.
Certaines concernent par exemple la connexion et les flux réseau. D’autres relèvent plus largement de la protection informatique de l’entreprise, notamment des ordinateurs ou des smartphones. D’autres encore sont directement intégrées au service de téléphonie ou à son infrastructure.
Une protection du réseau, une protection des postes et une protection des comptes ou services téléphoniques peuvent se compléter, mais elles ne sont pas interchangeables.
La présence d’un firewall ou d’une solution de protection des ordinateurs ne permet donc pas, à elle seule, de conclure que tous les risques liés à la téléphonie sont couverts. Inversement, une solution téléphonique disposant de ses propres mécanismes de sécurité ne protège pas nécessairement l’ensemble du système informatique de l’entreprise.
Il faut également tenir compte de ce qui est déjà présent dans l’entreprise et, plus largement, de la manière dont les différentes composantes de son informatique interagissent entre elles.
Une protection proposée avec une offre télécom peut répondre à un besoin non couvert, compléter un dispositif existant ou couvrir en partie un périmètre déjà pris en charge par d’autres outils ou services informatiques.
Ce recouvrement n’est pas uniquement une question de coût. Deux solutions de sécurité agissant sur un même périmètre peuvent parfois entrer en conflit et perturber leur bon fonctionnement. Ajouter une protection sans tenir compte de celles déjà présentes peut alors produire l’effet inverse de celui recherché.
La difficulté n’est donc pas seulement de vérifier qu’une offre comporte le mot « sécurité », mais de comprendre quel élément est protégé, contre quels risques et comment cette protection s’insère dans l’environnement existant.
Comment comparer la sécurité de deux offres de téléphonie ?
Le prix mensuel et la liste des fonctionnalités sont naturellement importants. Mais ils ne suffisent pas toujours à comparer deux solutions.
Deux offres peuvent par exemple toutes deux annoncer une protection de cybersécurité sans protéger les mêmes éléments, intégrer des services différents dans leur tarif de base ou proposer certaines protections en option.
Avant de comparer leur niveau de protection, quelques questions permettent de rendre les offres plus lisibles :
- Quelles protections sont réellement incluses et lesquelles sont optionnelles ?
- Protègent-elles l’accès Internet, le réseau, les équipements, les comptes, la téléphonie ou plusieurs de ces éléments ?
- Certaines de ces protections sont-elles déjà assurées par les outils ou services informatiques de l’entreprise ?
- Les protections proposées complètent-elles l’existant ou couvrent-elles en partie le même périmètre ?
- Avant de proposer ou d’activer ces protections, l’environnement informatique déjà en place a-t-il été pris en compte ?
- Comment sont protégés les comptes utilisateurs et les accès d’administration ?
- Qui gère les droits et les fonctionnalités accessibles aux utilisateurs ?
- Existe-t-il des mécanismes permettant d’identifier une utilisation inhabituelle ?
- Quelles conséquences une défaillance de sécurité pourrait-elle avoir sur l’activité ?
- Qui doit intervenir en cas de fraude ou de compromission ?
Deux offres affichant un prix ou des fonctionnalités proches ne couvrent donc pas nécessairement le même périmètre.
À l’inverse, une offre comportant davantage de services n’est pas nécessairement mieux adaptée si certains répondent à des besoins déjà couverts.
Comparer une solution de téléphonie professionnelle consiste donc aussi à regarder ce qu’elle apporte réellement à l’environnement existant de l’entreprise, plutôt qu’à additionner les fonctionnalités proposées.
Comment savoir si sa téléphonie d’entreprise est correctement protégée ?
Un dirigeant n’a pas besoin de connaître le fonctionnement détaillé des protocoles utilisés par sa téléphonie pour poser les bonnes questions.
Il doit en revanche pouvoir identifier clairement :
Comment fonctionne notre téléphonie et de quels services dépend-elle ?
Qui administre notre téléphonie ?
Qui dispose des accès administrateur ?
Comment sont gérés les comptes et les droits des utilisateurs ?
Quelles protections sont assurées par notre opérateur ou notre éditeur ?
Quelles protections sont déjà présentes dans notre environnement informatique ?
Les protections de notre téléphonie ont-elles été définies en tenant compte de celles déjà présentes dans notre environnement informatique ?
Quelles conséquences une défaillance de sécurité de notre téléphonie pourrait-elle avoir sur notre activité ?
Comment une anomalie peut-elle être détectée ?
Qui intervient si une fraude ou une compromission est suspectée ?
Si certaines de ces réponses sont difficiles à obtenir, le premier besoin n’est pas nécessairement d’ajouter une nouvelle solution de sécurité.
Il peut simplement être de comprendre l’environnement existant, les protections déjà présentes et les éventuels besoins qui restent à couvrir.
La sécurité d’une téléphonie commence par la compréhension de son environnement
La téléphonie professionnelle reste simple à utiliser, mais son fonctionnement s’est profondément transformé. Derrière un téléphone de bureau ou une application peuvent désormais intervenir des comptes utilisateurs, des services cloud, des équipements réseau, des postes de travail, des smartphones et différents accès à distance.
Les opérateurs et éditeurs sécurisent leurs infrastructures et leurs services. L’entreprise doit néanmoins s’assurer que les protections proposées correspondent à son environnement, à ses usages et aux risques auxquels elle est réellement exposée.
Lors du choix d’une solution, le prix ne peut donc pas être le seul élément de comparaison. Une offre moins chère n’est pas nécessairement moins adaptée, pas plus qu’une offre plus coûteuse ne garantit à elle seule une meilleure protection.
Ce qui compte est l’adéquation entre les besoins de l’entreprise, les services réellement inclus, les protections déjà présentes et celles qui restent éventuellement nécessaires.
Sécuriser sa téléphonie ne consiste donc pas à multiplier les protections, mais à comprendre ce qui doit être protégé, ce qui l’est déjà et ce qui reste à maîtriser.
