BYOD et MDM : gérer les mobiles et les appareils personnels

Le BYOD (Bring Your Own Device, « apportez votre équipement personnel de communication ») désigne l'usage par les salariés de leurs propres appareils (smartphone, tablette, ordinateur) pour travailler. Le MDM (Mobile Device Management, gestion des terminaux mobiles) est le logiciel qui permet au service informatique d'inscrire ces appareils, de les configurer, d'y imposer des règles de sécurité et d'effacer les données de l'entreprise à distance. Ce chapitre compare les modèles d'équipement, explique ce que font un MDM et ses variantes, la séparation entre espace personnel et espace professionnel, et les règles que la CNIL impose pour les appareils personnels.

Quatre modèles d'équipement

Chaque modèle a ses avantages. Le BYOD ne coûte rien en matériel et évite au salarié de porter deux téléphones, mais l'entreprise ne contrôle ni l'âge de l'appareil, ni ses mises à jour, ni ce qui y est installé. Le COPE est souvent le meilleur compromis pour les smartphones : l'entreprise choisit des modèles maintenus, les gère entièrement, et le salarié peut quand même y installer ses applications personnelles dans un espace séparé. Le COBO convient aux appareils dédiés : terminal de livraison, tablette d'inventaire, téléphone d'astreinte.

Les risques du BYOD

• La fuite de données : un document professionnel copié dans une application personnelle (messagerie, stockage en ligne), une photo d'un document de client sauvegardée sur le compte personnel.
• La perte ou le vol d'un appareil qui contient la messagerie de l'entreprise, sans code de verrouillage.
• L'appareil obsolète ou modifié : un téléphone qui ne reçoit plus de mises à jour, ou débridé (jailbreak sur iPhone, root sur Android), dont les protections du système ne fonctionnent plus.
• Les applications malveillantes installées par l'utilisateur, qui lisent les notifications ou le presse-papiers.
• Le départ du salarié, qui part avec les données de l'entreprise sur son propre téléphone.
• Le respect de la vie privée : l'entreprise ne doit ni voir ni effacer les données personnelles du salarié.

Ce que dit la CNIL

La CNIL a publié en 2015 des recommandations sur le BYOD, toujours en ligne. Le principe : l'employeur doit concilier la sécurité de son système d'information avec le respect de la vie privée du salarié. Concrètement :

• L'employeur ne peut pas accéder aux éléments de vie privée stockés dans l'espace personnel de l'appareil, mais il doit pouvoir accéder au contenu professionnel.
• Les mesures de sécurité ne doivent pas entraver l'usage privé de l'appareil : interdire la navigation ou le téléchargement d'applications personnelles serait difficilement justifiable.
• L'effacement à distance ne peut viser que la partie professionnelle de l'appareil, jamais l'ensemble de ses données.
• L'employeur reste responsable de la sécurité des données de l'entreprise, même stockées sur un appareil personnel : il peut exiger des mesures de base, comme un code de verrouillage et un système à jour.
• Les règles sont écrites dans une charte à valeur contraignante (la charte informatique ou une politique dédiée), portée à la connaissance des salariés : appareils autorisés, mesures de sécurité, ce que l'entreprise peut voir et faire, procédure en cas de perte et au départ.

Ces règles tracent la frontière technique : en BYOD, la solution doit séparer l'espace professionnel de l'espace personnel, et n'agir que sur le premier.

MDM, MAM et UEM

Les solutions les plus répandues : Microsoft Intune (inclus dans plusieurs offres Microsoft 365), Omnissa Workspace ONE (anciennement VMware), Ivanti, Jamf pour les appareils Apple, Google pour les appareils Android et Chrome OS. Des solutions libres existent aussi, comme Headwind MDM pour Android.

Ce qu'un MDM permet sur un appareil inscrit :

• Inventorier : modèle, version du système, niveau de correctifs, espace, propriétaire.
• Configurer : profils Wi-Fi d'entreprise, VPN, messagerie, certificats, restrictions (appareil photo, captures d'écran, partage).
• Imposer la sécurité : code de verrouillage d'au moins six chiffres, chiffrement, version minimale du système, détection d'un appareil débridé.
• Déployer des applications depuis un catalogue, et les retirer.
• Évaluer la conformité : un appareil qui ne respecte pas les règles est déclaré non conforme ; l'accès conditionnel (dans Microsoft Entra ID, par exemple) lui refuse alors l'accès à la messagerie et aux documents jusqu'à sa mise en conformité.
• Agir à distance : verrouiller, localiser (appareil de l'entreprise), effacer entièrement, ou effacer seulement les données de l'entreprise (effacement sélectif, ou mise hors service).

Avec le MAM, sur un téléphone personnel non inscrit, l'entreprise protège les données dans ses applications : Outlook, Teams, OneDrive, Edge. Les règles de protection des applications peuvent exiger un code pour ouvrir l'application, chiffrer ses données, interdire le copier-coller et l'enregistrement vers des applications personnelles, bloquer les captures d'écran, et effacer les données professionnelles à distance. Le reste du téléphone échappe totalement à l'entreprise.

Séparer le personnel du professionnel

Les deux grands systèmes mobiles proposent une séparation native, que les MDM utilisent :

• Android Enterprise propose un profil professionnel : un espace séparé et chiffré à part, avec ses applications (marquées d'une petite mallette), que l'utilisateur peut mettre en pause le soir. L'entreprise gère le profil, pas le reste. Sur un appareil de l'entreprise, le mode entièrement géré donne le contrôle total, et l'inscription sans contact (zero-touch) configure le téléphone dès son premier démarrage.
• Apple propose l'inscription par l'utilisateur (User Enrollment) pour les appareils personnels : un volume chiffré séparé pour les données professionnelles, lié à un compte Apple géré, sans accès de l'entreprise aux données personnelles ni à l'identifiant de l'appareil. Pour les appareils de l'entreprise, l'inscription automatisée (ADE), via Apple Business Manager, place l'appareil sous gestion dès sa mise en service, en mode supervisé.

Et les ordinateurs personnels ?

Un ordinateur personnel ne se joint jamais au domaine de l'entreprise : le service informatique n'en maîtrise ni l'état ni les usages. Pour donner accès aux ressources depuis un PC personnel, on passe par :

• des applications web (messagerie, documents en ligne), protégées par l'authentification multifacteur et par des règles d'accès conditionnel (par exemple : consultation seule, sans téléchargement, depuis un appareil non géré) ;
• un bureau virtuel ou une session distante (VDI, Bureau à distance, Windows 365) : les données restent sur le serveur, le PC personnel n'affiche qu'une image ;
• la protection des applications pour le navigateur Edge, sur Windows comme sur mobile.

Mettre en place une politique de mobilité

1. Décider du modèle pour chaque population : COPE pour les commerciaux, BYOD toléré pour la messagerie des autres salariés, COBO pour les tablettes d'inventaire.
2. Écrire la politique dans la charte : appareils et versions de système acceptés, mesures imposées, ce que l'entreprise voit et peut faire, procédure en cas de perte ou de vol, procédure au départ.
3. Choisir et configurer l'outil : règles de conformité, accès conditionnel, applications, profils.
4. Tester avec un groupe pilote, recueillir les difficultés, rédiger les guides d'inscription pour les utilisateurs.
5. Inscrire les appareils et accompagner les utilisateurs.
6. Suivre : tableau de bord de conformité, appareils inactifs, versions de système trop anciennes.
7. Gérer les départs : effacement sélectif des appareils personnels, effacement complet et réaffectation des appareils de l'entreprise, révocation des accès.

Exercices

Exercice 1 sur 4 Choisir le modèle Réussi À revoir

Pour chaque population de Ravelle Conseil, choisis un modèle (BYOD, CYOD, COPE, COBO) et justifie en une phrase.

1. Les neuf commerciaux, qui ont besoin de la messagerie, du CRM et du téléphone en permanence.
2. Les comptables, qui veulent seulement lire leurs courriels sur leur téléphone personnel, de temps en temps.
3. Trois tablettes posées à l'accueil pour faire signer les documents aux clients.
4. Le téléphone d'astreinte du service informatique, qui passe de main en main chaque semaine.

Voir la réponseMasquer la réponse de l'exercice 1

1. COPE : des téléphones de l'entreprise, maintenus et entièrement gérés, sur lesquels les commerciaux peuvent aussi avoir leurs applications personnelles dans un espace séparé. Les données du CRM restent sur un appareil maîtrisé.
2. BYOD avec MAM : la messagerie dans Outlook protégé, sans inscrire le téléphone. L'usage est léger et l'entreprise ne finance pas d'appareil.
3. COBO : des appareils dédiés, en mode entièrement géré, verrouillés sur l'application de signature (mode kiosque).
4. COBO : un appareil de l'entreprise, à usage strictement professionnel, que l'on peut réinitialiser et réaffecter librement.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 4 Ce que l'entreprise peut faire Réussi À revoir

Julie utilise son iPhone personnel, inscrit en BYOD, pour la messagerie et Teams. Dis si l'entreprise a le droit et les moyens techniques de faire chaque action, en t'appuyant sur les recommandations de la CNIL.

1. Exiger un code de verrouillage de six chiffres.
2. Consulter ses photos pour vérifier qu'aucun document de client n'y est photographié.
3. Effacer tout le téléphone quand elle quitte l'entreprise.
4. Effacer les données d'Outlook et de Teams quand elle quitte l'entreprise.
5. Interdire d'installer Instagram sur le téléphone.
6. Interdire de copier un courriel professionnel dans WhatsApp.

Voir la réponseMasquer la réponse de l'exercice 2

1. Oui : c'est une mesure de sécurité qui protège les données professionnelles et n'empêche pas l'usage privé.
2. Non : les photos relèvent de l'espace personnel, auquel l'employeur ne peut pas accéder. Techniquement, l'inscription par l'utilisateur d'Apple ne le permet d'ailleurs pas.
3. Non : l'effacement à distance ne peut viser que la partie professionnelle.
4. Oui : c'est l'effacement sélectif des données de l'entreprise, prévu par la politique.
5. Non : c'est une mesure qui entrave l'usage privé de l'appareil.
6. Oui : les règles de protection des applications interdisent de faire sortir des données des applications professionnelles vers des applications personnelles. La mesure protège les données de l'entreprise sans toucher à l'usage personnel du téléphone.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 4 Un téléphone perdu Réussi À revoir

Un commercial signale à 19 h qu'il a perdu son téléphone, un appareil de l'entreprise en COPE, inscrit dans Intune, avec la messagerie et le CRM.

1. Quelles actions fais-tu, dans l'ordre ?
2. Le lendemain, il le retrouve chez un client. Qu'aurais-tu dû faire différemment si tu avais déjà lancé l'effacement complet ?
3. Si c'était son téléphone personnel en BYOD, qu'est-ce qui changerait ?

Voir la réponseMasquer la réponse de l'exercice 3

1. Verrouiller l'appareil à distance et tenter de le localiser (possible sur un appareil de l'entreprise, dans le respect de la politique). Si les chances de le retrouver sont faibles, ou si l'appareil contenait des données sensibles, effacer l'appareil. Révoquer les sessions de l'utilisateur (messagerie, CRM) et vérifier les connexions récentes. Noter tout dans un ticket, avec les heures.
2. Rien de grave : l'appareil de l'entreprise est réinscrit, les applications et les données se resynchronisent depuis le cloud. C'est l'intérêt d'avoir des données qui ne vivent pas seulement sur le téléphone. L'important était de protéger les données d'abord.
3. Sur un appareil personnel, l'entreprise ne peut ni le localiser ni l'effacer entièrement. Elle fait un effacement sélectif des données professionnelles et révoque les sessions. Le salarié reste libre de verrouiller, localiser et effacer son téléphone avec les outils de son fabricant.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 4 Rédiger la politique Réussi À revoir

Rédige les six à huit règles principales de la politique BYOD de Ravelle Conseil, telles qu'elles figureraient dans la charte informatique. Chaque règle tient en une phrase.

Voir la réponseMasquer la réponse de l'exercice 4

Une proposition :

1. Le BYOD est autorisé pour la messagerie, l'agenda et Teams, sur les smartphones et tablettes qui reçoivent encore les mises à jour de sécurité de leur fabricant.
2. L'appareil doit être protégé par un code de six chiffres au moins ou une donnée biométrique, et ne doit pas être débridé.
3. Les données professionnelles ne sont accessibles que dans les applications désignées par le service informatique (Outlook, Teams, OneDrive), protégées par un code.
4. Le copier-coller et l'enregistrement de données professionnelles vers des applications personnelles sont bloqués.
5. L'entreprise n'accède jamais aux données personnelles de l'appareil (photos, messages, applications, localisation).
6. En cas de perte ou de vol, le salarié prévient le service informatique sans délai ; l'entreprise efface alors les seules données professionnelles.
7. Au départ du salarié, les données professionnelles sont effacées à distance et les accès révoqués.
8. Un appareil non conforme perd l'accès aux données de l'entreprise jusqu'à sa mise en conformité.

Tu avais trouvé ?

Oui, j'avais bonPas encore