TABLE RONDE TÉLÉTRAVAIL ET BYOD - François-Xavier Baude, Directeur des ressources humaines et des affaires médicales au CH de Blois Vincent Trély ...

François-Xavier Baude, Directeur des ressources humaines
et des affaires médicales au CH de Blois
Vincent Trély, Président de l’APSSIS
Tristan Savalle, ADVENS

TABLE RONDE
TÉLÉTRAVAIL ET BYOD

François-Xavier Baude, Directeur des ressources humaines
et des affaires médicales au CH de Blois

EXPÉRIENCE DU TÉLÉTRAVAIL
AU CH DE BLOIS
TÉLÉTRAVAIL ET BYOD

Expérience du télétravail au CHB
 Contexte juridique
     Introduction du télétravail dans le droit de la fonction
      publique :
          Article 133 de la loi n° 2012-347 du 12 mars 2012
               « Les fonctionnaires [….] peuvent exercer leurs fonctions dans
                le cadre du télétravail tel qu'il est défini au premier alinéa de
                l'article L. 1222-9 du code du travail. L'exercice des fonctions
                en télétravail est accordé à la demande du fonctionnaire et
                après accord du chef de service. […]
               Le présent article est applicable aux agents publics non
                fonctionnaires et aux magistrats.
               Un décret en Conseil d'Etat fixe, après concertation avec les
                organisations syndicales représentatives de la fonction
                publique, les conditions d'application du présent article,
                notamment en ce qui concerne les modalités d'organisation du
                télétravail »

Expérience du télétravail au CHB

 Contexte juridique

     Le décret n’a jamais été publié  cadre juridique flou

     Le CHB a donc défini lui-même les modalités d’application du
      télétravail après avis de ses instances consultatives

     Loi de 1983 portant droits et obligations des fonctionnaires :
      « Les fonctionnaires sont tenus au secret professionnel […], ils
      doivent faire preuve de discrétion professionnelle pour tous les
      faits, informations ou documents dont ils ont connaissance
      dans l'exercice ou à l'occasion de l'exercice de leurs
      fonctions ».

Expérience du télétravail au CHB

 Contexte
     Mise en place au CHB en juin 2013

     Motivations :
          Amélioration des conditions de travail :
                Conciliation vie professionnelle / vie personnelle

                Qualité de vie au travail (prévention des risques psychosociaux)

                Développement durable

                Handicap

Expérience du télétravail au CHB
 Modalités pratiques
     Télétravail fondé sur le volontariat

     Nombre de jours de télétravail défini dans le protocole
      propre à chaque agent

     L’environnement personnel de travail doit être propice au
      travail et à la concentration (possibilité de visite)

     Principe de réversibilité moyennant un délai de
      prévenance d’un mois

     Le télétravailleur bénéficie des mêmes droits et avantages
      que les autres professionnels (pas d’incidence sur la
      rémunération, entretien annuel d’évaluation, même
      déroulement de carrière,…)

Expérience du télétravail au CHB
Modalités pratiques
     Le CHB fournit, installe et entretient les équipements
      nécessaires au télétravailleur
     Ces équipements restent la propriété du CHB et seront
      restitués le jour de la cessation des fonctions ou de l’arrêt
      du télétravail
     Le CHB prend en charge les coûts liés à l’installation des
      logiciels et à la maintenance de l’équipement de travail
     Le télétravail bénéficie d’une assistance technique à
      distance assurée par le service informatique du CHB qui
      devra pouvoir prendre la main sur le poste informatique
      mis à disposition,
     Les lignes téléphoniques et internet utilisées sont celles du
      télétravailleur qui assume les frais de communication et
      d’abonnement

Expérience du télétravail au CHB
Modalités pratiques
     Le télétravailleur doit se conformer aux règles relatives à
      la protection des données utilisées et traitées à des fins
      professionnelles
     Le professionnel doit absolument veiller à ce que personne
      d’autre que lui ne puisse avoir accès aux données
      contenues dans son ordinateur
     Le télétravailleur s’engage à prendre connaissance et à
      respecter la charte d’utilisation du système d’information
      qu’il aura signé
     L’assurance du CHB couvre les vols et détériorations de
      l’équipement mis à disposition, sauf négligence grave de
      la part du professionnel

Expérience du télétravail au CHB
 Bilan d’étape
     La mise en œuvre du télétravail au sens strict concerne
      4 personnes :
          un technicien du service informatique,
          un technicien d’information médicale,
          un médecin DIM,
          un agent administratif de la DRH.

     Mais beaucoup d’agents travaillent à distance hors temps
      de travail (directeurs, cadres administratifs techniques ou
      soignants, médecins)

Expérience du télétravail au CHB

 Bilan d’étape
     Peu de demandes de télétravail

     Pourquoi ?
          La catégorie administrative et le personnel d’encadrement
           sont les seuls directement concernés (mais cela représente
           au moins 200 agents)

          Frein culturel (le cadre doit être disponible, proche de ses
           équipes donc forcément sur place, celui qui reste chez lui en
           profite forcément pour moins travailler, perte de contrôle de
           l’encadrement)

          Les secrétaires médicales ne sont pas encore concernées
           (mise en place de la dictée numérique au préalable)

Expérience du télétravail au CHB
 Points de vigilance en matière de GRH
     Gestion du temps de travail :
          Accroissement des plages de disponibilité personnelle,
           difficulté pour contrôler le travail effectif
          Nécessité de réguler temps de travail/temps personnel

     Préserver l’esprit d’équipe :
          les contacts entre salariés peuvent devenir plus rares, les
           discussions par mail se développent
          Difficultés pour préserver le collectif

     Management :
          Modalités de contrôle du salarié ?
          Projets et objectifs plus précis pour évaluer le télétravailleur

Vincent Trély, Président de l’APSSIS

GÉRER LES RISQUES
TÉLÉTRAVAIL ET BYOD

BYOD et Télétravail : gérer les risques

 Quelques chiffres :
      En 2013, 71% des collaborateurs interrogés utilisent à titre
       professionnel des matériels et solutions non mises à disposition
       par leur employeur (étude Markess International)

      Lors de la 12e édition des Assises de la Sécurité de Monaco
       (octobre 2012), Patrick PAILLOUX, DG de l’ANSSI, s’est
       fermement opposé au BYOD, argumentant qu’il n’existe aucune
       solution fiable pour répondre à la tendance.

      En 2012, selon le Ministère de l’Economie, 17% des salariés
       pratiquaient le travail à domicile (contre 20% chez nos voisins
       d’Europe du Nord). 5% le font en télétravail « nomade » (durant
       des déplacements). Les grandes entreprises favorisent plus le
       télétravail que les Administrations, puisque 40% des entreprises
       du CAC 40 disposaient en 2012 d’un accord de télétravail.

BYOD et Télétravail : gérer les risques

  Les problèmes :
       Dissémination de l’information

       Déficit de contrôle sur l’information

       Perte d’informations

       Fuite d’informations

       Introduction de virus ou malwares

       Surcharge technique pour les équipes avec la multiplication
        des supports

 => Déficit de management de l’information et
 problèmes de sécurité

BYOD et Télétravail : gérer les risques

  Le télétravail :
       Peut être encadré (réglementation, conventions et chartes) –
        Comme nous l’avons vu dans la présentation précédente

       Mise à disposition de matériel propriété de l’Etablissement et
        managé par la DSI

       Nécessité de cadrage précis avec les usagers (unicité d’usage,
        sécurité, respect de certaines règles)

 => Insertion dans le processus de management
 global de la DSI et application des règles
 associées

BYOD et Télétravail : gérer les risques

 Le BYOD :
       Difficile à encadrer !

       Souvent initié par les VIP…

       Très large panel de matériel

 MAIS
       Ne doit pas rester hors contrôle du SI !

       Ni fatalisme, ni lutte perdue d’avance

BYOD et Télétravail : gérer les risques

  Le BYOD : quelques principes
       Si BYOD il y a, c’est qu’un besoin existe

       Si un besoin existe, la réponse doit venir de l’Institution

       Alors pourquoi ne pas couvrir le besoin ?

       Exemples : si besoin d’un DD ou d’une clé USB => justification
        du besoin, réponse au besoin exprimé, sous contrôle de la DSI

       Cas des Smartphones : logiciel déterminant les zones privées /
        professionnelles

BYOD et Télétravail : gérer les risques

  Le BYOD : quelques principes
       Le BYOD dans le biomédical ?

       Il existe depuis des années… L’adjonction de composants
        matériels ou logiciels hors contrôle de la DSI est un vrai
        problème de gouvernance et de sécurité, sans doute le premier à
        régler

       Un article de Cédric CARTAU, RSSI du CHU de Nantes, dans le
        dernier DSIH – www.dsih.fr

  En conclusion : OUI, MAIS…

Tristan Savalle, Responsable des offres santé, ADVENS

ANTICIPER PLUTÔT QUE SUBIR !
TÉLÉTRAVAIL ET BYOD

Des cas différents à gérer

  BYOM : Bring Your Own Device
       L’utilisateur amène son matériel

  CYOM : Choose Your Own Device
       L’utilisateur choisit son matériel dans une liste

  COPE : Corporate Owned, Personnaly enabled
       L’utilisateur peut utiliser son matériel professionnel pour
        un usage personnel

  Télétravail

Etudier, encadrer et faciliter les usages

  Quels usages ?                                    exemple …
     Accès nomade / VIP à la messagerie            … oui mais que peuvent-ils contenir ?
      et l’agenda ?
     Accès nomade à des applications ?        Depuis où et Quoi ?
         Ex : information, référentiels,
                                                  N’importe où ?
            saisie de donnée, déport de prise
            de note…                              A la maison ?
         Médicales ou non médicales ?
                                                  Au travail ?
     Bureau déporté
                                                  Un poste de travail pro chez soi
                                                   (télétravail)
  Quelles données ?                              Un poste de travail perso au travail
     Des mails ou des agendas par                Un smartphone / une tablette…

Les bonnes pratiques (1/2)

 Connaître les usages & encadrer les usages
      Définir ce qui est acceptable et ce qui ne l’est pas
      Définir des règles d’éligibilité … avec les RH !

 Prévoir les scénarios de risques et les procédures adaptées
      Départ d’un utilisateur
      Perte d’un terminal
      Exposition d’un terminal à un tiers
      Installation d’un malware sur le terminal
      Respect & suivi de l’évolution des réglementations
      Etc.

 Responsabiliser l’utilisateur
      Nécessité d’une charte d’usage
      … voire d’avenant aux contrats de travail
      Sensibilisation aux risques, formation à l’usage

 Gérer le changement

Les bonnes pratiques (2/2)

 Sécuriser le terminal ou le système… bof !
      Impossible si le terminal est propriété de l’utilisateur, voire banalisé

 Sécuriser l’application
      Soit par développement de ses propres applications … peu envisageable
      Soit pas adaptation sur un framework sécurisé d’applications existantes … pas
       évident

 Sécuriser la donnée professionnelle
      En fonction des usages
      Nécessite des applications adaptées : non à l’application de messagerie
       standard de Apple ou de Android
      Sans nuire à la productivité et avec le moins d’impact possible sur les usages
       personnels

 Protéger le réseau
      Chiffrement de bout en bout, authentification mutuelle
      Pas d’accès sur le même réseau que le LAN

 Prévoir un support minimal adapté

Un grand oublié …. le support !

Les solutions industrielles … de quoi parle-t-on ?

  MDM : Mobile Device Management
       Gestion distante et centralisée des terminaux mobiles (parc, conf…)
       Gestion des politiques de sécurité
       “Nettoyage” du terminal distant

  MAM : Mobile Application Management
       Gestion des applications autorisées/non autorisées
       Gestion des versions des applications (upgrade, …)

  Containerisation
       Les applications tournent dans une bulle virtuelle sécurisée
       Ce qui se passe dans la bulle est géré (idem MDM)
       Tout ce qui est en dehors de la bulle n’est pas concerné
       Fournit souvent les services essentiels (mails, agendas tâches, partage…)
       Nécessite probablement une adaptation des autres applications !

  Virtualisation du poste de travail
       Peu adapté aux usages smartphones
       Bien adapté aux usages postes de travail