Pourquoi Morgan Stanley distribue des iPhone restreints à ses banquiers en voyage en Chine

Des fonctionnalités volontairement limitées

Les appareils distribués seraient étroitement contrôlés par les systèmes informatiques de la banque et offrent beaucoup moins de fonctionnalités que les téléphones professionnels habituels des employés.

D’après les informations disponibles, ils permettraient principalement :

• l’accès aux e‑mails professionnels
• l’utilisation d’applications de réunion ou de visioconférence

En revanche, l’accès à certaines ressources internes — comme les bases de données de l’entreprise, les téléchargements de fichiers volumineux ou certains systèmes internes — serait limité ou absent. Les détails techniques complets n’ont toutefois pas été rendus publics.

Cette approche suit un principe classique de cybersécurité appelé « minimisation des données » : si un appareil est perdu, inspecté ou compromis, il contient le moins possible d’informations sensibles.

Le rôle des nouvelles lois chinoises sur les données

Depuis une dizaine d’années, la Chine a adopté plusieurs lois majeures qui encadrent fortement la gestion et la circulation des données sur son territoire.

Parmi les plus importantes :

• la Cybersecurity Law (2017), qui établit le cadre général de la régulation de la cybersécurité et de la gouvernance des données.
• la Data Security Law (2021), qui classe les données selon leur sensibilité et impose des restrictions sur leur transfert hors de Chine.
• la Personal Information Protection Law – PIPL (2021), qui réglemente la collecte et le transfert international des données personnelles.

Ensemble, ces lois instaurent un système dans lequel certaines données doivent rester stockées en Chine et où les transferts transfrontaliers peuvent être soumis à des procédures d’évaluation ou à des obligations réglementaires spécifiques.

Des analyses gouvernementales américaines indiquent également que certaines données stockées en Chine pourraient être accessibles aux autorités dans le cadre de la législation nationale sur la sécurité, ce qui constitue une préoccupation pour les entreprises détenant des informations stratégiques ou confidentielles.

Une tendance qui dépasse Morgan Stanley

La politique d’appareils restreints de Morgan Stanley s’inscrit dans un mouvement plus large observé chez les banques et multinationales opérant en Chine.

Pour continuer à travailler sur le marché chinois tout en respectant les réglementations locales et les obligations de confidentialité internationales, plusieurs institutions financières ont entrepris de :

• séparer certains systèmes informatiques entre la Chine et le reste du monde
• limiter les flux internes d’informations
• héberger des données localement
• créer des infrastructures technologiques dédiées au marché chinois.

Morgan Stanley a par exemple déjà déplacé plus de 200 développeurs technologiques hors de Chine continentale, notamment vers Hong Kong et Singapour, après un durcissement des règles concernant l’accès aux données stockées localement.

Ce que révèle cette stratégie

La distribution d’appareils restreints illustre comment les tensions géopolitiques — notamment entre les États‑Unis et la Chine — influencent désormais directement les politiques de cybersécurité des grandes entreprises.

Plutôt que de se retirer du marché chinois, beaucoup de groupes internationaux adoptent des stratégies de compartimentation :

• segmentation des systèmes informatiques
• limitation des données accessibles lors des déplacements
• utilisation d’appareils dédiés pour certains pays
• séparation partielle des infrastructures technologiques.

Dans la pratique, cela signifie que les employés se rendant dans certaines juridictions voyagent de plus en plus avec des appareils « propres », configurés spécialement pour ces missions.

Pour les banques internationales, l’objectif reste le même : continuer à opérer dans l’une des plus grandes économies du monde tout en réduisant le risque que des informations financières, stratégiques ou liées aux clients soient exposées — que ce soit par obligations réglementaires, inspections d’appareils ou incidents de cybersécurité.