Chapitre 5 — MDM, BYOD & Sécurité Mobile

La gestion des appareils mobiles est un défi croissant. Ce module couvre MDM, MAM, les politiques BYOD/COPE, les menaces mobiles et les meilleures pratiques de sécurité.

Stratégies de Gestion des Appareils Mobiles

Mémorisez ! MDM = gestion complète de l'appareil. MAM = gestion uniquement des applications. BYOD = l'employé utilise son propre appareil. COPE = l'entreprise fournit et l'employé peut utiliser à titre personnel. COBO = appareil d'entreprise uniquement professionnel.

Stratégie	Description	Contrôle IT	Privacy
BYOD	Bring Your Own Device — appareil personnel de l'employé	Faible	Élevée pour l'employé
COPE	Corporate-Owned, Personally Enabled — entreprise fournit, usage perso autorisé	Élevé	Moyenne
COBO	Corporate-Owned, Business Only — appareil d'entreprise, usage professionnel uniquement	Très élevé	Faible (pas d'usage perso)
CYOD	Choose Your Own Device — liste d'appareils approuvés parmi lesquels choisir	Élevé	Moyenne

MDM & MAM

MDM (Mobile Device Management) : solution de gestion centralisée des appareils mobiles. Peut pousser des politiques, installer/désinstaller des apps, effacer à distance (remote wipe), localiser l'appareil.
MAM (Mobile Application Management) : gère uniquement les applications d'entreprise sur l'appareil, sans contrôler l'appareil entier. Crée un "conteneur" d'apps d'entreprise séparé des apps personnelles.
EMM (Enterprise Mobility Management) : combine MDM + MAM + MCM (Mobile Content Management).
UEM (Unified Endpoint Management) : étend l'EMM pour gérer tous les endpoints : mobiles, PCs, laptops, IoT depuis une console unique.

Capacités MDM clés

Remote Wipe : effacement à distance de tout l'appareil (ou seulement le conteneur d'entreprise en MAM). Critique si perte/vol.
Geofencing : restreindre les fonctionnalités selon la localisation géographique (ex: désactiver la caméra dans les zones sécurisées).
Application Whitelisting/Blacklisting : autoriser ou bloquer des applications spécifiques.
Full Device Encryption : forcer le chiffrement de l'appareil.
PIN/Biometric Enforcement : exiger un code PIN ou biométrique pour déverrouiller.
OS Version Enforcement : bloquer les appareils sur des versions OS trop anciennes (non patchées).
Certificate Deployment : déployer des certificats pour l'authentification Wi-Fi 802.1X, VPN.

Menaces Mobiles

Menace	Description	Contre-mesure
Malware mobile	Apps malveillantes, souvent hors stores officiels (sideloading)	Interdire le sideloading, sources approuvées uniquement
Jailbreak/Root	Contourne les protections OS pour accès root	MDM détecte et bloque les appareils jailbreakés
SMS Phishing (Smishing)	Phishing via SMS avec liens malveillants	Formation, filtrage SMS
Rogue App	Apps légitimes en apparence mais malveillantes	Vérifier les permissions, stores officiels
Shoulder Surfing	Observation physique de l'écran dans les lieux publics	Filtres de confidentialité, comportements prudents
Bluejacking / Bluesnarfing	Bluejacking = envoyer des messages via Bluetooth. Bluesnarfing = accéder aux données via Bluetooth vulnérable.	Désactiver Bluetooth si non utilisé, pas de couplage inconnu

Astuce Examen

Bluejacking = envoyer du contenu non sollicité via Bluetooth (spam BT — nuisance). Bluesnarfing = accéder et voler les données (carnet d'adresses, emails) via Bluetooth sans autorisation — beaucoup plus grave. Différence clé pour l'examen.

Quiz — MDM, BYOD, Mobile

1. Un employé utilise son iPhone personnel pour accéder aux emails d'entreprise. L'entreprise veut pouvoir effacer les données d'entreprise si l'appareil est perdu, sans affecter les données personnelles. Quelle solution est la plus adaptée ?

MDM avec remote wipe complet de l'appareil Politique COBO — fournir un appareil d'entreprise uniquement MAM — gérer uniquement le conteneur d'applications d'entreprise Bloquer tout accès depuis les appareils personnels (BYOD refusé)

MAM crée un conteneur séparé pour les apps et données d'entreprise. En cas de perte, seul ce conteneur est effacé (selective wipe) — les photos et apps personnelles de l'employé ne sont pas touchées. Parfait pour BYOD.

2. Un employé "jailbreake" son iPhone pour installer des apps hors App Store. Quel est le risque principal de sécurité ?

L'appareil devient incompatible avec iOS mis à jour Les protections de sécurité iOS sont contournées, permettant l'installation de malwares et l'accès root La batterie se décharge plus vite L'appareil ne peut plus se connecter au Wi-Fi entreprise

Le jailbreak/root supprime les protections sandbox d'iOS/Android. Les apps malveillantes peuvent accéder à toutes les données de l'appareil, pas seulement leur sandbox. Les MDM peuvent détecter les appareils jailbreakés et refuser l'accès aux ressources d'entreprise.

3. La stratégie COPE (Corporate-Owned, Personally Enabled) signifie que :

Les employés apportent leurs propres appareils Les appareils sont propriété de l'entreprise et réservés au travail uniquement Les employés choisissent parmi une liste d'appareils approuvés L'entreprise fournit l'appareil mais autorise un usage personnel limité

COPE = l'entreprise achète et possède l'appareil (contrôle total) mais permet à l'employé de l'utiliser aussi à des fins personnelles. Plus de contrôle qu'en BYOD, meilleure expérience qu'en COBO.

4. La fonctionnalité "Geofencing" dans un MDM permet de : Restreindre ou modifier les fonctionnalités de l'appareil selon sa localisation géographique Localiser un appareil perdu sur une carte Bloquer les connexions Wi-Fi hors du périmètre entreprise Chiffrer les données quand l'appareil quitte le bureau

Geofencing = zones géographiques virtuelles. Ex: désactiver la caméra dans les zones de R&D, forcer la connexion VPN hors du réseau d'entreprise, bloquer l'accès aux apps sensibles si l'appareil est dans un pays à risque.

5. Quelle est la différence entre Bluejacking et Bluesnarfing ?

Bluejacking compromet les données ; Bluesnarfing envoie des messages non sollicités Les deux sont identiques — ce sont des synonymes Bluejacking envoie du contenu non sollicité (nuisance) ; Bluesnarfing accède et vole les données de l'appareil Bluejacking affecte iOS ; Bluesnarfing affecte Android

Bluejacking = envoi de messages/cartes de visite non sollicités via Bluetooth (nuisance, pas vraiment dangereux). Bluesnarfing = accéder au carnet d'adresses, messages, calendrier via Bluetooth sans autorisation — vol de données réel.

6. Quelle pratique BYOD est recommandée pour protéger la confidentialité des employés tout en maintenant la sécurité d'entreprise ?

MDM complet sur l'appareil personnel avec accès à tous les logs MAM avec conteneurisation — séparer les données entreprise des données personnelles Interdire BYOD et forcer tous les employés à utiliser un appareil COBO N'exiger que le chiffrement de l'appareil entier

MAM avec conteneurisation = meilleur équilibre. Les apps d'entreprise sont dans un conteneur chiffré et géré. L'IT ne peut pas voir les apps/photos personnelles. L'employé signe un accord acceptable d'utilisation pour le conteneur d'entreprise uniquement.

7. L'UEM (Unified Endpoint Management) diffère d'un MDM classique en ce qu'il : Se concentre uniquement sur les smartphones et tablettes Gère uniquement les appareils iOS Remplace entièrement Active Directory Gère l'ensemble des endpoints depuis une console unique : mobiles, PC, laptops, IoT

UEM = convergence MDM + gestion PC. Microsoft Intune, Jamf, VMware Workspace ONE gèrent tous les endpoints (iOS, Android, Windows, macOS, Linux) depuis une seule console. Simplifie la gouvernance et les politiques unifiées.

8. Quel est le risque principal du "sideloading" d'applications mobiles ? Les apps hors stores officiels ne passent pas par les vérifications de sécurité de Google Play / App Store Le sideloading est illegal dans tous les pays Cela consomme trop de batterie Les apps sideloadées ne peuvent pas accéder au réseau d'entreprise

Les stores officiels (Google Play, App Store) analysent les applications pour détecter les malwares. Les apps sideloadées contournent ces vérifications — risque élevé de malware. MDM peut interdire le sideloading via des politiques de restriction.

9. Un employé reçoit un SMS lui demandant de cliquer sur un lien pour "vérifier son compte bancaire". Cette attaque s'appelle : Vishing Phishing par email Smishing Spear phishing

Smishing = SMS Phishing. Les attaquants envoient des SMS frauduleux avec des liens vers des sites de phishing ou des numéros surtaxés. Vishing = Voice Phishing (appel téléphonique). Phishing = email. Spear phishing = phishing ciblé.

10. La fonctionnalité "Remote Wipe" dans un MDM est particulièrement importante pour : Améliorer les performances de l'appareil à distance Protéger les données d'entreprise en cas de perte ou vol de l'appareil Installer des mises à jour logicielles à distance Surveiller la localisation de l'appareil en temps réel

Remote Wipe = effacement à distance déclenché par l'IT si l'appareil est perdu ou volé. Protège les données d'entreprise sensibles en effaçant soit tout l'appareil (full wipe en MDM), soit uniquement le conteneur d'entreprise (selective wipe en MAM). Critique pour la conformité RGPD.