Récupération des appareils des travailleurs à distance : comment récupérer, effacer et éliminer les actifs à grande échelle

Dès que la séparation d’un employé est confirmée, deux horloges se mettent en marche.

Le premier est votre MDM : déprovisionnement des comptes, révocation de l’accès VPN, acheminement du courrier électronique vers une boîte de réception morte. Cette partie est correctement câblée par la plupart des équipes informatiques.

La deuxième horloge est l’appareil lui-même et, pour les employés à distance, cette horloge fonctionne selon le système de l’honneur.

L’ordinateur portable est toujours chez eux. Les données de son disque dur SSD sont toujours intactes. La valeur sur le marché secondaire accumule toujours de la poussière dans une chambre d’amis quelque part.

Comme pour les deux horloges, les conséquences en aval se répartissent en deux catégories : financières et juridiques.

D’un point de vue financier, une flotte d’appareils non récupérés peut représenter une perte de valeur substantielle. Dans le cas d’un déploiement de 500 MacBook Pro M3, où les modèles M3 Pro récupèrent actuellement $1,450 à $1,650 sur le marché secondaire, La valeur à risque de ces ordinateurs peut atteindre plus de $700 000 euros. Même une modeste flotte de Dell Latitude 5540, dont le prix de vente est de environ $400 à $500 en bon état sur les plateformes de reconditionnement, Le coût de l’accès à l’information, à l’échelle, s’accumule rapidement. Sur le plan juridique, un appareil doté d’un disque SSD non nettoyé contenant trois ans d’accès aux courriels et aux fichiers de l’entreprise constitue un manquement aux règles de conformité.

La solution est procédurale et non technique. Un programme structuré de récupération à distance reposant sur une logistique de retour préconfigurée, des déclencheurs d’exclusion coordonnés par MDM et une désinfection certifiée à l’arrivée permet de mettre fin simultanément aux deux types d’exposition.

Comment élaborer une politique d’ITAD à distance

La récupération des appareils à distance est un problème ITAD, et pas seulement un problème logistique. Un ordinateur portable renvoyé dans une boîte prépayée sans avoir été préalablement effacé à distance ou désenrôlé dans le MDM constitue une responsabilité en matière de données en transit.

R2v3 Annexe B et NIST 800-88 s’appliquent aux appareils renvoyés à distance de la même manière qu’elles s’appliquent au matériel des centres de données. La norme ne crée pas d’échappatoire pour les biens récupérés dans les bureaux à domicile.

L’effacement à distance via MDM (Jamf, Microsoft Intune, Workspace ONE) doit être précédé d’une désinscription documentée de tous les services connectés au cloud.

Pourquoi le processus ITAD standard ne fonctionne-t-il pas pour les biens distants ?

L’ITAD traditionnel suppose que vous travaillez à partir d’un quai de chargement. Un fournisseur ITAD se présente avec une équipe, inventorie les racks ou l’armoire à appareils, emballe le tout et l’emporte. La chaîne de responsabilité est transférée au moment de l’enlèvement. La désinfection des données se fait sur place. L’ensemble de l’opération est confiné.

La main-d’œuvre à distance et hybride rompt avec toutes les hypothèses de ce modèle.

Il n’y a pas de quai de chargement. Il n’y a pas de représentant informatique dans le bâtiment. Le bien se trouve dans le bureau de quelqu’un, dans sa chambre d’amis ou dans le tiroir de la table de cuisine. L’employé peut ou non coopérer à la procédure de retour. L’appareil peut ou non avoir été traité avec soin. Il peut contenir des données personnelles mélangées aux données de l’entreprise, en fonction de la manière dont la politique de gestion des appareils a été configurée. Personne ne peut vérifier l’état de l’appareil avant qu’il n’arrive.

Le problème de la chaîne de contrôle commence au moment où l’appareil quitte les mains de l’employé. Si un ordinateur portable est renvoyé dans une boîte en carton au hasard, sans documentation préalable, sans suivi, et qu’il arrive dans un centre ITAD avec un statut de données inconnu, l’équipe qui le reçoit part de zéro en matière de conformité. Elle ne sait pas ce qu’il contenait, elle ne sait pas si un compte personnel est connecté et elle ne sait pas si l’inscription au MDM a été correctement clôturée.

Sous Exigences de base R2v3 6 et 7, En vertu de l’article 6 de la directive sur la protection des données, tous les équipements et composants susceptibles de contenir des données doivent être sécurisés et contrôlés afin d’empêcher tout accès involontaire jusqu’à ce qu’ils soient traités. Un dispositif expédié sans suivi, sans preuve d’effraction et sans contrôle de sécurité documenté ne répond pas à cette norme. En revanche, un appareil expédié dans un kit de retour muni d’une preuve d’effraction et d’un suivi de la chaîne de possession, précédé d’un désenrôlement MDM vérifié conformément à la norme NIST 800-88, est conforme à cette norme.

Ce qu’exige réellement un processus de retour à distance : 4 étapes

À des fins de planification, il est utile de diviser le retour du matériel à distance en quatre phases distinctes : la préparation avant la séparation, le retour physique, la sécurité en transit et le traitement ITAD.

Phase 1 : Préparation à la séparation

L’intervention la plus efficace en matière de récupération d’appareils à distance a lieu avant le départ officiel de l’employé.

Pour les départs planifiés (démissions avec préavis, départs en fin de contrat, réductions d’effectifs), les services informatiques et les ressources humaines devraient déclencher le flux de retour du dispositif au moment où la date de départ est confirmée. Cela signifie que deux choses se produisent en parallèle : le kit de retour est expédié et les préparatifs au niveau du MDM commencent.

Les préparatifs MDM avant le retour de l’appareil comprennent la suppression de l’employé de tout groupe d’accès conditionnel et la confirmation de l’état du chiffrement du disque complet de l’appareil (FileVault sur macOS, BitLocker sur Windows). Vérifiez que la clé de récupération est bloquée dans votre plateforme de gestion et que l’état d’inscription actuel de l’appareil et l’utilisateur assigné sont corrects. Ces informations accompagnent l’enregistrement de la chaîne de contrôle.

Pour les départs involontaires, il n’est pas possible de se préparer à la séparation. Le cahier des charges est différent : le verrouillage ou l’effacement à distance via MDM doit être exécuté le jour même de la séparation, et le kit de retour est envoyé immédiatement avec une date limite de retour claire. C’est là qu’il devient essentiel de disposer d’une capacité d’effacement à distance qui ne dépend pas de la coopération de l’employé.

Phase 2 : Le retour physique

Une étiquette d’expédition prépayée dans un courriel est une demande de retour. Un kit de retour est un système.

Un kit de retour fonctionnel pour les appareils d’entreprise comprend

• Une boîte d’expédition rigide ou semi-rigide adaptée au type d’appareil (un MacBook Pro est expédié différemment d’un Dell Latitude).
• Matériel d’emballage suffisant pour protéger l’appareil et les périphériques dans le cadre d’un transport standard.
• Un sceau ou un sac inviolable pour le dispositif lui-même
• Une étiquette de retour prépayée avec suivi
• Une carte d’instructions claire indiquant la date limite de retour et ce qu’il faut inclure
• un mécanisme de confirmation de l’étiquette ou du numéro de série, afin que l’établissement destinataire sache exactement quel appareil est censé se trouver dans la boîte

La carte d’instructions est plus importante que ne le pensent la plupart des équipes informatiques. Les employés qui retournent des appareils ne pensent pas à ce que contient le sac dans la housse de l’ordinateur portable, la brique de chargement dans le tiroir du bureau ou la carte SIM d’un téléphone professionnel. Des instructions claires sur ce qu’il faut inclure et sur ce qui se passe s’il manque des éléments amélioreront de manière significative l’exhaustivité des retours.

Les envois prépayés doivent être confiés par défaut à un transporteur offrant à la fois un suivi et une confirmation de signature, c’est-à-dire UPS ou FedEx Ground plutôt qu’USPS pour les biens de valeur commerciale. Un MacBook Pro d’une valeur supérieure à $1 000 sur le marché secondaire ne doit pas être expédié avec une étiquette non suivie.

Phase 3 : Sécurité en transit et chaîne de possession

R2v3 exige que les dispositifs de données soient identifiables et suivis depuis le point de contrôle jusqu’à la fin du processus d’assainissement. Pour les dispositifs renvoyés à distance, la chaîne de conservation commence au moment où le dispositif quitte la possession de l’employé, et non lorsqu’il arrive dans les locaux de l’ITAD.

En pratique, cela signifie que le kit de retour a besoin d’un numéro de suivi qui est comparé au numéro de série de l’appareil avant l’expédition. Lorsque le colis est suivi par le transporteur, cet enregistrement constitue la chaîne de contrôle pour la phase de transit. Lorsqu’il arrive au centre ITAD, la première étape consiste à vérifier le sceau d’inviolabilité et à confirmer le numéro de série de l’appareil par rapport à l’enregistrement pré-généré.

Un dispositif qui arrive dans une boîte endommagée avec un sceau brisé est signalé et documenté comme un problème d’intégrité potentiel avant qu’il n’entre dans le flux de traitement standard.

Phase 4 : Traitement de l’ITAD

Lorsque l’appareil arrive au centre ITAD, il entre dans le flux de traitement standard conforme à la norme R2v3. Il existe une étape supplémentaire spécifique aux appareils renvoyés à distance : la vérification du compte cloud.

R2v3 Annexe B Section 12 est explicite : tous les identifiants, mots de passe, verrous ou autres connexions à un service distant doivent être supprimés et ne plus être connectés à l’appareil. Pour un MacBook Pro renvoyé à distance, cela signifie qu’il faut vérifier que l’appareil n’est plus verrouillé, que l’identifiant Apple associé à l’appareil a été supprimé et que la synchronisation iCloud a été désactivée et dissociée avant que l’appareil ne soit renvoyé à un service à distance. NIST 800-88 l’assainissement logique s’exécute. Il en va de même pour les appareils Windows : La connexion au compte Microsoft et la synchronisation OneDrive doivent être vérifiées comme étant déconnectées.

Les employés ouvrent régulièrement des comptes personnels sur leurs appareils professionnels en dépit de la politique de gestion des droits d’accès. Un effacement à distance exécuté via Jamf ou Intune efface les données de l’entreprise et réimage l’appareil, mais il ne supprime pas toujours le compte iCloud personnel associé à l’identifiant Apple du matériel. Cela dépend du niveau de supervision de l’inscription. Pour les appareils qui ont été enrôlés manuellement plutôt que provisionnés via Apple Business Manager, Les solutions MDM ne peuvent pas supprimer le verrouillage d’activation sans la coopération de l’utilisateur, Ce qui signifie qu’un compte iCloud personnel lié au matériel peut survivre entièrement à un effacement par l’entreprise. La vérification par appareil à l’entrée est la confirmation la plus fiable.

Intégrer l’ITAD dans le processus d’intégration des ressources humaines

Le point d’échec le plus prévisible dans la récupération des appareils à distance est d’ordre organisationnel : l’informatique et les ressources humaines ne se parlent que lorsqu’il est trop tard.

Les RH gèrent l’événement d’intégration. L’informatique gère les actifs. ITAD gère la fin de vie des actifs. Dans la plupart des organisations, ces trois fonctions fonctionnent de manière séquentielle plutôt que parallèle, et c’est lors du transfert entre elles que les appareils disparaissent.

Un flux de travail intégré modifie la séquence. L’élément déclencheur de l’intégration, qu’il s’agisse d’une démission, d’un licenciement ou d’une fin de contrat, se déclenche simultanément dans la liste de contrôle de l’intégration des RH et dans le flux de récupération des appareils des TI. Les RH communiquent le délai de restitution et les conséquences à l’employé qui quitte l’entreprise. Le service informatique déclenche l’envoi du kit de retour et lance la préparation du MDM. Le fournisseur ITAD reçoit une pré-notification avec l’inventaire des appareils, les numéros de série et la fenêtre de retour prévue.

Lorsqu’un appareil arrive au centre ITAD, l’enregistrement existe déjà. L’équipe chargée du traitement n’est pas en train de rapprocher un bien inconnu d’un employé inconnu. Au contraire, elle clôture un enregistrement suivi avec une chaîne de possession connue.

Le tableau ci-dessous montre la différence entre un flux de travail intégré et non intégré pour une démission volontaire standard avec un préavis de deux semaines :

Le flux de travail intégré ne se limite pas au déploiement d’une nouvelle technologie. Il nécessite un déclencheur partagé, un transfert défini et un fournisseur capable de recevoir une notification préalable et de générer l’enregistrement de la chaîne de contrôle avant l’expédition de l’appareil.

Les actifs à distance non récupérés vous coûtent cher

Voici un schéma dans lequel il est facile de tomber : les appareils sont suivis lors de leur déploiement, et lorsque les employés partent sans les rendre rapidement, le bien est marqué “en attente de retour”. L’appareil est enregistré dans le système ITAM et y reste, parfois pendant des mois, parfois indéfiniment.

L’ampleur de ce problème est plus importante que ne le pensent la plupart des équipes informatiques. Les analystes de Gartner ont rapporté que les entreprises clientes récupèrent, au mieux, environ 50% d’ordinateurs portables auprès des travailleurs à distance. Une autre étude de Gartner a révélé que 30% de tous les actifs informatiques fixes des entreprises étaient des “fantômes”.” – enregistrés dans les systèmes mais non comptabilisés physiquement. Avec un taux de désabonnement annuel de 15% pour un parc de 1 000 appareils, même un taux de récupération de 70% signifie qu’environ 45 appareils disparaissent chaque année, Cela se traduit par des dizaines de milliers de dollars de pertes annuelles avant de prendre en compte le risque d’exposition aux données.

Les organisations qui mettent en œuvre des programmes de recherche structurés avec une logistique automatisée voient les taux de retour augmentent pour atteindre 90% ou plus, par rapport à la base de référence d’environ 50% pour les organisations qui n’ont pas mis en place de programmes formels.

Un programme de récupération structuré avec une procédure d’escalade définie, comprenant une communication de rappel, une notification au superviseur et une lettre de mise en suspens juridique si nécessaire, permet de récupérer cette valeur et de combler simultanément l’écart de conformité.