MDM : sécuriser et gérer la flotte mobile d'une entreprise

Gérer l'appareil ou ses seules applications

Derrière ces sigles, une PME n'a besoin de retenir qu'une distinction. Le MDM, gestion des appareils mobiles, prend en charge l'appareil entier : ses réglages, sa sécurité, ses applications. Le MAM, gestion des applications mobiles, ne gère que les applications professionnelles et leurs données, sans toucher au reste du téléphone. Le NIST, l'institut américain des normes et de la technologie, relève que les utilisateurs préfèrent cette approche quand l'appareil leur appartient. Les deux se combinent, et Microsoft recommande systématiquement le MDM pour les appareils fournis par l'entreprise. L'EMM, parfois appelé UEM, désigne enfin selon le NIST une suite plus large, qui peut réunir ces fonctions, une défense contre les menaces mobiles et d'autres outils.

Ce que fait un MDM au quotidien

L'appareil est d'abord inscrit, par l'utilisateur lui-même ou automatiquement dès sa première mise en route. L'outil lui pousse ensuite les réglages de l'entreprise : compte de messagerie, Wi-Fi, accès VPN, applications. Il vérifie aussi des règles de conformité, que Microsoft illustre par un code de déverrouillage et le chiffrement sur un téléphone, ou par BitLocker, le pare-feu et l'antivirus sur un PC Windows. Un appareil qui ne les respecte pas peut alors se voir refuser l'accès à la messagerie ou aux fichiers partagés. Et si un commercial perd son téléphone entre deux rendez-vous, l'administrateur peut l'effacer à distance, courriels et fichiers de l'entreprise compris.

Ce que l'employeur voit et ne voit pas

Demandez à un salarié d'installer le Portail d'entreprise, l'application d'Intune, et la question arrive vite : son employeur pourra-t-il lire ses messages ? Pour Intune, la documentation de Microsoft est nette : l'entreprise ne voit jamais l'historique d'appels et de navigation, les courriels et les SMS, les contacts, le calendrier, les mots de passe ni les photos. Elle voit le propriétaire, le modèle, le numéro de série, le système et l'IMEI de l'appareil. Sur un téléphone personnel, elle ne voit que les quatre derniers chiffres de son numéro, ne peut pas localiser l'appareil et, sauf réglage contraire, ne connaît que les applications qu'elle gère. Sur un téléphone Android personnel, Intune crée en outre un profil professionnel : les applications et les données de travail y sont isolées, et le reste du téléphone n'est pas touché.

BYOD : la CNIL et l'ANSSI divergent

Faut-il pour autant laisser chacun travailler sur son propre téléphone, ce qu'on appelle le BYOD ? Pour la CNIL, c'est un choix de l'employeur, qui peut l'interdire ou l'autoriser sous conditions : cloisonner la partie professionnelle, chiffrer les échanges, exiger une authentification robuste et encadrer le tout dans une charte informatique. La fiche de la CNIL sur l'informatique mobile conseille même un MDM pour les appareils personnels autorisés, mais l'employeur ne peut ni consulter leur espace personnel ni en entraver l'usage privé. L'ANSSI, dans ses recommandations sur le nomadisme numérique, est plus stricte : seuls des appareils gérés par l'entreprise ou par un prestataire mandaté devraient accéder au système d'information, et l'usage d'équipements personnels est à proscrire. Sa note plus ancienne sur les ordiphones recommandait déjà une solution de gestion des terminaux mobiles et, sauf cloisonnement vérifié, des téléphones professionnels dédiés.

Les appareils que nous gérons

Chez KERIONIS, la gestion des appareils fait partie du Pack Sérénité, avec Microsoft 365 Business Premium, et c'est nous qui l'administrons. Nous gérons les ordinateurs portables, les smartphones et les tablettes de votre entreprise, avec Microsoft Intune ou TinyMDM, une autre solution MDM. Si un appareil est perdu, nous avons la main pour l'effacer à distance ; votre messagerie peut aussi être fermée aux appareils absents de notre gestion. Au départ d'un salarié, nous coupons ses accès depuis un seul endroit. Hors du Pack Sérénité, la gestion des appareils reste possible dans un contrat sur mesure.

Et les téléphones personnels ?

Nous n'inscrivons pas les téléphones personnels des salariés dans notre gestion des appareils. Reste à décider si ces téléphones peuvent accéder aux outils de travail : c'est un choix de l'employeur, à faire selon les données à protéger et les usages réels. Ce choix s'écrit dans la charte informatique. Nous aidons à la rédiger, en partant des outils que vous utilisez, postes nomades compris.

Qu'est-ce qu'un MDM ?

Un MDM, ou mobile device management, est un outil qui gère à distance les appareils de l'entreprise : inscription, réglages de sécurité, applications, contrôle de conformité et effacement en cas de perte ou de vol. Microsoft Intune en est un exemple, compris dans Microsoft 365 Business Premium.

Quelle différence entre MDM et MAM ?

Le MDM gère l'appareil entier ; le MAM ne gère que les applications professionnelles et leurs données, sans toucher au reste. Le MAM convient surtout aux appareils personnels, et les deux approches peuvent se combiner.

L'employeur peut-il voir le contenu d'un téléphone géré ?

Avec Intune, non : selon la documentation de Microsoft, l'entreprise ne voit ni les messages, ni les photos, ni l'historique d'appels ou de navigation. Elle voit en revanche le modèle, le système, le numéro de série et l'IMEI de l'appareil. Sur un appareil personnel, la CNIL interdit de consulter l'espace privé.

Que faire si un téléphone professionnel est perdu ?

Prévenir aussitôt l'administrateur, qui coupe les accès et efface l'appareil à distance, puis le faire bloquer sur les réseaux grâce à son IMEI. La perte d'un téléphone contenant des données personnelles s'inscrit au registre des violations, et se notifie à la CNIL dans un délai maximal de 72 heures si elle présente un risque pour les personnes.