MDM (Mobile Device Management), administrer et sécuriser les terminaux d'entreprise

Gérer 200 smartphones, 80 ordinateurs portables et quelques tablettes répartis entre le bureau, le télétravail et la mobilité commerciale pose rapidement un problème très concret à la DSI. Les appareils ne sont plus dans le même bâtiment, n’utilisent pas tous le même système et n’appartiennent pas nécessairement à l’entreprise. Le Mobile Device Management (MDM) sert précisément à administrer ce parc distribué depuis une console commune, en appliquant des configurations, des politiques de sécurité et des règles de conformité adaptées au type de terminal et à son propriétaire. Il complète la gestion de la flotte mobile d’entreprise, qui traite de son côté les lignes, les opérateurs, les forfaits, les consommations et les coûts.

Le MDM s’inscrit ainsi dans une politique plus large de cybersécurité et de gestion des postes de travail. Un smartphone professionnel accède aujourd’hui à la messagerie, aux fichiers, au CRM, au VPN et parfois directement aux applications métiers. Son niveau de maîtrise ne peut donc plus dépendre uniquement des réglages effectués par son utilisateur.

Pourquoi le MDM est devenu central dans la gestion des terminaux mobiles

La généralisation du travail hybride et des usages nomades a déplacé une partie du système d’information hors des locaux de l’entreprise. Un smartphone se connecte alternativement au réseau mobile, au Wi-Fi domestique, à celui d’un hôtel ou d’un client. Un ordinateur portable peut passer plusieurs semaines sans revenir physiquement au bureau. Une tablette affectée à un point de vente peut, de son côté, rester allumée plusieurs années avec une seule application métier.

Le problème pour la DSI n’est pas simplement de savoir où se trouvent ces équipements. Il faut pouvoir vérifier leur niveau de conformité, distribuer les bons paramètres, retirer un accès lorsqu’un collaborateur quitte l’entreprise, maintenir les applications à jour et réagir lorsqu’un appareil est perdu ou compromis. Le Mobile Device Management fournit cette couche d’administration centralisée et évite que chaque terminal devienne un cas particulier traité manuellement.

Le niveau de contrôle n’est toutefois pas identique partout. Un smartphone personnel utilisé en BYOD doit préserver la séparation entre les données professionnelles et privées, alors qu’un terminal acheté par l’entreprise peut faire l’objet d’une administration beaucoup plus complète. Cette distinction entre propriété, usage et mode d’enrôlement est fondamentale pour comprendre ce qu’un MDM peut réellement faire.

Qu’est-ce qu’un logiciel MDM (Mobile Device Management) ?

Un logiciel MDM permet d’enrôler des terminaux dans un système d’administration, de leur appliquer des paramètres et des politiques, puis de suivre leur état depuis une console centrale. Selon les plateformes et les produits, ce périmètre peut couvrir les smartphones, les tablettes, les ordinateurs et certains terminaux spécialisés. Le terme MDM reste couramment employé, même si de nombreuses solutions ont élargi leurs fonctions vers l’EMM ou le UEM.

Le MDM ne remplace pas le système de sécurité du terminal. Il fournit le moyen de traduire une politique IT en règles concrètes et reproductibles. Une DSI peut par exemple imposer le chiffrement lorsque la plateforme le permet, distribuer des certificats, configurer un réseau Wi-Fi ou un VPN, installer des applications gérées, interdire certaines fonctions sur les appareils d’entreprise et vérifier qu’une version minimale du système est respectée.

Cette logique s’intègre naturellement dans une architecture Zero Trust. L’appareil n’est pas considéré comme fiable uniquement parce qu’il appartient à l’entreprise. Son état de conformité devient une information supplémentaire qui peut être rapprochée de l’identité de l’utilisateur et du contexte de connexion avant d’autoriser l’accès à une ressource sensible.

Les notions MDM, EMM et UEM sont parfois utilisées de manière interchangeable par les éditeurs, alors qu’elles correspondent historiquement à des périmètres différents. Le MDM part du terminal. L’EMM ajoute notamment la gestion des applications et des contenus mobiles. Le UEM cherche à réunir dans une même plateforme les postes de travail et les équipements mobiles. Ce glissement explique pourquoi une solution commercialisée aujourd’hui comme UEM reprend souvent l’ensemble des fonctions que l’on associait auparavant au MDM.

Comment fonctionne un système MDM ? Console, protocoles de gestion et enrôlement

Un système MDM s’articule autour d’une console d’administration et des mécanismes de gestion fournis par les systèmes d’exploitation. Il ne faut pas le réduire à un modèle dans lequel un serveur envoie systématiquement ses commandes à un agent installé sur chaque terminal. Selon l’OS et le produit, l’administration peut utiliser un profil de gestion, les services natifs de la plateforme, un Device Policy Controller Android ou un composant applicatif complémentaire.

Le NIST SP 800-124 Rev. 2 décrit cette gestion centralisée des terminaux comme l’une des briques permettant à l’entreprise d’appliquer ses politiques de sécurité à des appareils mobiles distribués. Apple et Google disposent ensuite de leurs propres mécanismes d’enrôlement et d’administration, avec des capacités différentes selon que le terminal appartient au collaborateur ou à l’organisation.

Tout commence donc par le choix du mode d’enrôlement. Un appareil personnel ne doit pas être administré comme un smartphone d’entreprise destiné exclusivement à un usage professionnel. De la même manière, une tablette placée en mode kiosque dans un entrepôt n’a pas besoin des mêmes libertés qu’un iPhone utilisé par un commercial.

Contexte	Propriété de l’appareil	Périmètre de gestion	Modes d’enrôlement courants
BYOD Android	Utilisateur	Applications et données professionnelles	Android Enterprise Work Profile
BYOD Apple	Utilisateur	Périmètre professionnel séparé	User Enrollment
Appareil Apple d’entreprise	Entreprise	Administration étendue selon le mode retenu	Apple Business Manager et Automated Device Enrollment
Appareil Android d’entreprise	Entreprise	Work Profile sur appareil détenu par l’entreprise ou gestion complète	Android Enterprise, zero-touch, QR code selon le scénario
Terminal dédié	Entreprise	Usage fortement restreint ou mode kiosque	Dedicated device, outils constructeurs ou mécanismes équivalents

Sur Android, le Work Profile isole les applications et données professionnelles dans un profil distinct du périmètre personnel. Sur les équipements Apple personnels, User Enrollment poursuit le même objectif de séparation en limitant le champ d’administration aux ressources professionnelles gérées. Le niveau de visibilité et les commandes disponibles dépendent donc du mode d’enrôlement et ne doivent jamais être présentés comme identiques entre BYOD et appareils détenus par l’entreprise.

Sur un parc professionnel maîtrisé, l’enrôlement peut être largement automatisé. Apple Business Manager associé à Automated Device Enrollment et Android Enterprise avec zero-touch permettent de préparer des terminaux avant leur remise aux utilisateurs. Le collaborateur reçoit alors un appareil qui rejoint son environnement de gestion dès sa première configuration, sans obliger l’équipe IT à manipuler chaque smartphone manuellement.

Les fonctionnalités d’une solution MDM pour la gestion des terminaux mobiles

Le périmètre fonctionnel d’une solution MDM dépend fortement du système d’exploitation, de la propriété du terminal, du mode d’enrôlement et du produit choisi. Certaines fonctions sont disponibles sur presque tous les environnements gérés, d’autres uniquement sur des appareils d’entreprise ou sur certaines versions des OS. C’est une distinction importante lorsque l’on compare des logiciels à partir de leurs fiches commerciales.

Gestion des paramètres réseau et de la connectivité

Le MDM peut distribuer automatiquement des paramètres Wi-Fi, des certificats, des comptes professionnels et des configurations de VPN d’entreprise. L’utilisateur n’a alors plus besoin de saisir manuellement une clé complexe ou d’importer lui-même un certificat pour rejoindre une ressource interne.

Cette approche est particulièrement utile lors de l’arrivée d’un nouveau collaborateur ou du renouvellement d’un appareil. Le terminal reçoit les paramètres associés à son profil au moment de l’enrôlement et peut être reconfiguré à distance si l’entreprise change de SSID, de certificat ou de méthode d’authentification. L’intérêt du MDM n’est donc pas seulement de bloquer des fonctions, mais d’industrialiser une configuration qui serait autrement répétée appareil par appareil.

Sécurité et conformité des terminaux

Les politiques MDM peuvent porter sur le verrouillage de l’appareil, les exigences de code ou de mot de passe, le chiffrement, certaines restrictions système, l’état de l’OS ou encore les applications autorisées. Les capacités exactes varient selon les plateformes et le type d’enrôlement. Un terminal entièrement géré offre généralement plus de contrôle qu’un appareil personnel enrôlé en BYOD.

Les plateformes de gestion peuvent également déclencher des actions à distance en cas de perte, de vol ou de départ d’un utilisateur. Il peut s’agir de retirer les données et configurations professionnelles, de verrouiller l’appareil ou, lorsque le terminal appartient à l’entreprise et que la plateforme l’autorise, de procéder à une réinitialisation plus complète. La distinction entre effacer les données professionnelles et effacer l’ensemble du terminal est essentielle dans un scénario BYOD.

Le MDM peut aussi participer à l’application du MFA et de politiques d’accès conditionnel lorsqu’il communique avec les outils d’identité. Ce n’est alors plus seulement l’identité de l’utilisateur qui compte, mais également l’état du terminal depuis lequel il tente d’accéder à une application.

Gestion des applications et séparation des données

Une plateforme MDM ou EMM peut distribuer des applications professionnelles, gérer certaines mises à jour, retirer une application et contrôler les échanges entre périmètres professionnel et personnel lorsque l’OS fournit ces mécanismes. Les catalogues d’applications gérées évitent que chaque collaborateur recherche puis configure lui-même les logiciels nécessaires à son activité.

Cette séparation est particulièrement importante avec la messagerie, le stockage cloud ou les outils collaboratifs. Une entreprise peut vouloir autoriser l’ouverture d’une pièce jointe dans une application professionnelle tout en interdisant son export vers une application personnelle non gérée. L’objectif n’est pas d’observer l’usage privé du terminal, mais d’empêcher qu’une donnée d’entreprise quitte involontairement son périmètre administré.

Gestion des identités et contrôle des accès

Le MDM prend davantage de valeur lorsqu’il échange avec l’annuaire et le fournisseur d’identité de l’entreprise. Entra ID, Active Directory, Google Workspace ou d’autres services d’identité peuvent servir à associer les terminaux aux utilisateurs, automatiser certaines affectations et exploiter l’état de conformité dans les décisions d’accès.

Un smartphone dont le système est trop ancien, qui ne respecte plus la politique de verrouillage ou qui a quitté le système de gestion peut ainsi être traité différemment d’un appareil conforme. Cette information peut alimenter une politique Zero Trust ou un mécanisme d’accès conditionnel. Le MDM apporte alors un signal sur l’état du terminal, mais la décision d’autorisation reste généralement orchestrée avec les composants d’identité et de sécurité de l’entreprise.

Gestion des applications et des mises à jour

Les capacités de mise à jour varient là encore selon les plateformes. Les applications gérées peuvent être distribuées et mises à jour depuis la console, tandis que certaines politiques permettent de contrôler ou planifier les mises à jour système sur les appareils compatibles.

Le MDM ne donne cependant pas à l’administrateur un pouvoir absolu sur tous les correctifs de tous les constructeurs. Android, iOS, Windows et macOS conservent chacun leurs propres mécanismes et restrictions. L’intérêt est de connaître l’état de version du parc, d’identifier les équipements qui sortent de la politique définie et d’automatiser ce qui peut l’être plutôt que de supposer que tous les terminaux sont à jour.

Inventaire, conformité et actions de remédiation

Le MDM maintient un inventaire des appareils enrôlés et de certaines caractéristiques utiles à leur administration. La console peut faire remonter le système installé, le modèle, l’état de conformité, les applications gérées ou encore la dernière synchronisation selon les possibilités offertes par l’OS et la solution.

Contrairement à une idée fréquente, un MDM n’est pas par nature une solution de sauvegarde des données des terminaux. La sauvegarde relève des services de backup, du stockage cloud ou des mécanismes propres aux plateformes. Le MDM peut préparer la configuration d’un appareil de remplacement, redistribuer les applications et réappliquer les politiques, mais cela ne signifie pas qu’il possède une copie exploitable de toutes les données présentes sur l’équipement.

Ces informations de conformité sont en revanche précieuses pour les audits et les opérations courantes. Une DSI peut identifier les terminaux devenus obsolètes, ceux qui ne communiquent plus avec la plateforme ou ceux dont la configuration ne respecte plus la politique attendue.

Localisation, mode perdu et géofencing selon les plateformes

La géolocalisation n’est pas une capacité universelle applicable à n’importe quel appareil enrôlé. Certaines solutions permettent de localiser des terminaux d’entreprise dans des scénarios spécifiques, notamment lorsqu’ils sont déclarés perdus, et certaines plateformes proposent également des mécanismes de Lost Mode. Les fonctions disponibles dépendent du système, de la propriété de l’appareil et du mode de gestion.

Le géofencing existe également dans certains produits pour déclencher une règle lorsqu’un appareil entre ou sort d’une zone déterminée, mais il ne constitue pas une fonction de base garantie par le standard MDM. Sur des terminaux personnels, ces sujets doivent en plus être cadrés avec beaucoup de prudence au regard de la vie privée, du droit du travail et du principe de proportionnalité.

Les bénéfices d’un logiciel MDM pour l’entreprise

Industrialiser l’administration des appareils

La première valeur du MDM apparaît au moment où les manipulations répétitives commencent à peser sur l’équipe IT. Configurer manuellement la messagerie, le Wi-Fi, le VPN et les applications sur cinq appareils reste supportable. Répéter la même opération sur cent smartphones répartis entre plusieurs agences ne l’est plus.

L’enrôlement et les profils de configuration transforment ces opérations individuelles en politiques applicables à des groupes de terminaux. Lorsqu’un paramètre change, la DSI modifie la règle plutôt que de reprendre chaque appareil. Lorsqu’un collaborateur quitte l’organisation, elle peut retirer le périmètre professionnel sans dépendre du retour physique immédiat de l’équipement dans les scénarios compatibles.

Garder une politique de sécurité cohérente hors du bureau

Un smartphone professionnel ne devient pas sûr simplement parce qu’il a été acheté par l’entreprise. Il peut rester plusieurs mois loin du réseau local, contenir des comptes d’accès au SI et se connecter quotidiennement à des infrastructures que la DSI ne contrôle pas.

Le MDM apporte une réponse opérationnelle à ce problème en vérifiant et en appliquant certaines règles au terminal où qu’il se trouve. Il rend la politique de sécurité transportable avec l’appareil, sans prétendre remplacer l’EDR, l’identité, le MFA, la protection de la messagerie ou les autres couches de défense.

Cette capacité peut également contribuer aux mesures de sécurité attendues dans des référentiels ou réglementations comme ISO 27001 ou NIS 2 lorsque l’organisation est concernée. Le MDM n’apporte pas à lui seul une conformité réglementaire. Il fournit en revanche des moyens techniques pour appliquer certaines politiques et produire des éléments de suivi sur l’état des terminaux.

Séparer correctement professionnel et personnel en BYOD

Le BYOD pose un problème particulier puisque le terminal appartient au collaborateur alors que certaines données qu’il contient appartiennent à l’entreprise. Une administration totale du téléphone serait disproportionnée et difficilement acceptable, tandis qu’une absence complète de gestion laisse les données professionnelles sans cadre.

Android Enterprise Work Profile et Apple User Enrollment répondent précisément à ce compromis en séparant le périmètre professionnel. La DSI administre les applications, comptes et données qu’elle fournit sans obtenir pour autant les mêmes droits que sur un appareil entièrement détenu et supervisé par l’entreprise. Cette distinction doit être documentée avant le déploiement afin que les collaborateurs sachent quelles informations sont visibles et quelles actions l’administrateur peut déclencher.

Réduire les écarts de configuration

Au fil du temps, un parc géré manuellement dérive. Certains appareils conservent une ancienne configuration VPN, d’autres n’ont plus le bon certificat, une application indispensable manque sur quelques terminaux et personne ne sait précisément lesquels.

Le MDM permet de rapprocher l’état réel de l’état attendu. La console montre les appareils qui respectent la politique et ceux qui nécessitent une action. Cette visibilité est souvent plus utile qu’une accumulation de fonctions de contrôle, parce qu’elle fournit enfin à la DSI une vue exploitable de la situation.

MDM, EMM et UEM : jusqu’où faut-il étendre la gestion des terminaux ?

Le MDM reste le point de départ conceptuel, mais le marché s’est largement déplacé vers des plateformes plus étendues. L’EMM, pour Enterprise Mobility Management, associe historiquement la gestion des appareils à celle des applications et des contenus. Le UEM, Unified Endpoint Management, cherche à réunir sous une même administration les smartphones, tablettes, postes Windows, Mac et parfois d’autres équipements.

La différence est importante dans une PME ou une ETI qui gère déjà ses ordinateurs avec une plateforme distincte. Ajouter un MDM uniquement pour les smartphones peut répondre au besoin immédiat, mais crée un deuxième outil d’administration. Une approche UEM peut au contraire réunir les politiques, l’inventaire et certains workflows, à condition que le produit soit réellement efficace sur les différents OS concernés.

L’ajout d’une solution EDR répond encore à un autre besoin. Le MDM gère l’état attendu du terminal et applique des règles, tandis que l’EDR recherche des comportements susceptibles de révéler une attaque. Les fonctions peuvent se croiser dans certaines suites de sécurité, mais les deux logiques restent différentes. Une plateforme UEM très complète ne doit donc pas être considérée automatiquement comme un substitut à une capacité de détection et de réponse.

Pour une DSI, la question utile n’est finalement pas de savoir quel acronyme est le plus moderne. Elle consiste à déterminer jusqu’où l’administration doit être unifiée, quelles catégories d’appareils doivent entrer dans le périmètre et quelles fonctions de sécurité sont déjà assurées par d’autres outils.

Comment choisir un logiciel MDM ou une solution Mobile Device Management ?

Comparer deux solutions MDM uniquement à partir du nombre de fonctionnalités conduit souvent au mauvais choix. Le premier critère est le modèle de parc à administrer, parce qu’une entreprise composée de smartphones d’entreprise homogènes n’a pas les mêmes contraintes qu’une organisation qui mélange Android, iPhone personnels, PC Windows, Mac et terminaux durcis.

Le support des systèmes doit être étudié précisément. Il ne suffit pas de lire « compatible Android et iOS » sur une fiche produit. Il faut vérifier les modes d’enrôlement pris en charge, les politiques réellement disponibles pour chaque plateforme, les versions minimales, la gestion des terminaux détenus par l’entreprise et le comportement en BYOD. Deux solutions annoncées compatibles avec le même OS peuvent proposer des niveaux d’administration sensiblement différents.

Le deuxième critère concerne justement l’enrôlement. Une solution destinée à gérer plusieurs centaines d’appareils doit s’intégrer aux mécanismes de provisioning des constructeurs et éviter autant que possible les manipulations manuelles. Apple Business Manager et Automated Device Enrollment côté Apple, Android Enterprise et zero-touch côté Android deviennent alors plus importants qu’une fonction secondaire visible dans une démonstration commerciale.

Le troisième critère est l’intégration avec le système d’information. Le MDM doit pouvoir s’articuler avec les identités, les groupes d’utilisateurs, les applications, les certificats et, lorsque l’architecture le prévoit, les mécanismes d’accès conditionnel et les solutions de sécurité. Un outil isolé oblige rapidement la DSI à dupliquer des règles et à maintenir des correspondances manuelles entre plusieurs référentiels.

Le quatrième critère porte sur le cycle de vie. Il faut regarder ce qui se passe lorsque le terminal est commandé, remis à l’utilisateur, remplacé, perdu, réaffecté puis retiré du parc. Une bonne solution MDM ne se juge pas uniquement au moment de l’enrôlement, mais sur toutes les opérations qui vont se répéter pendant plusieurs années.

Le cinquième concerne l’exploitation quotidienne. Les alertes doivent être utiles, les exceptions compréhensibles et les rapports suffisamment lisibles pour identifier rapidement un terminal hors politique. Une plateforme très puissante peut devenir contre-productive si chaque évolution nécessite une expertise rare ou si l’équipe ne dispose pas du temps nécessaire pour maintenir les profils.

Le modèle économique arrive ensuite. Les éditeurs peuvent facturer par appareil, par utilisateur ou intégrer le MDM dans une suite plus large. La comparaison doit donc porter sur le coût réel du périmètre retenu, y compris le déploiement, l’exploitation et les éventuelles fonctions supplémentaires nécessaires. Le prix d’une licence peu chère perd vite son intérêt si l’administration demande deux fois plus de temps ou si une deuxième solution doit être ajoutée pour couvrir les postes de travail.

La qualité de l’accompagnement mérite enfin d’être évaluée comme un critère technique à part entière. Définir les bons profils BYOD, préparer les groupes d’appareils, construire les politiques de conformité et tester les scénarios de retrait demande davantage qu’une activation de licence. Un intégrateur télécom et IT qui connaît les usages de mobilité peut aider la DSI à éviter les politiques trop permissives comme les restrictions inutiles que les utilisateurs finiront par contourner.

Exemples concrets de gestion des terminaux avec un MDM

Les différences entre politiques MDM deviennent plus parlantes lorsqu’on les confronte aux usages. Une même console peut administrer un smartphone de commercial, un terminal Android durci ou une tablette en libre-service, mais les profils appliqués n’ont pratiquement rien en commun.

Dans une équipe commerciale itinérante, l’objectif est de remettre à chaque collaborateur un smartphone prêt à travailler. Le MDM peut déployer la messagerie, la suite bureautique, le CRM, l’application de notes de frais, les certificats et la configuration VPN associée au profil du salarié. Si celui-ci change de fonction, son périmètre applicatif peut évoluer sans récupérer physiquement son téléphone. En cas de départ, les comptes et données gérés peuvent être retirés selon le mode d’enrôlement. Les aspects ligne, opérateur et abonnement restent quant à eux pilotés dans la gestion de la flotte mobile.

Dans la logistique ou l’industrie, le problème est différent. Les entreprises disposent souvent de terminaux Android durcis utilisés en entrepôt, en atelier ou sur les quais de chargement. Sans administration centralisée, une modification de l’application métier peut obliger à récupérer les appareils ou à dépendre d’une intervention locale. Avec un MDM compatible avec ce type de déploiement, la DSI peut distribuer les applications, suivre leur version et restreindre le terminal aux fonctions nécessaires à son usage. Le matériel devient alors un équipement métier administré plutôt qu’un smartphone générique laissé à la libre configuration de son utilisateur.

Les tablettes en point de vente ou dans les espaces d’accueil constituent un troisième scénario. Elles peuvent servir à présenter un catalogue, prendre une commande, enregistrer un visiteur ou donner accès à une procédure interne. Le mode kiosque permet de limiter fortement l’interface et d’empêcher l’utilisateur de sortir des applications autorisées. L’équipe centrale peut ensuite faire évoluer le contenu ou la configuration sans demander aux sites de manipuler chaque tablette.

Le BYOD impose une logique presque opposée. Sur le téléphone personnel d’un collaborateur, le bon niveau de gestion est celui qui protège les données de l’entreprise sans transformer la DSI en administrateur de sa vie numérique privée. Un Work Profile Android ou un User Enrollment Apple permet d’isoler ce qui relève du travail. Lorsqu’un collaborateur quitte l’entreprise, le périmètre professionnel peut être retiré sans remettre à zéro l’ensemble du téléphone dans les scénarios prévus pour cet usage.

Les environnements soumis à des exigences de sécurité fortes utilisent enfin le MDM comme l’une des sources de vérité sur l’état des terminaux. Le système peut indiquer qu’un appareil est géré, qu’il respecte la version minimale attendue et qu’il est conforme aux politiques définies. Associée à l’identité et aux contrôles d’accès, cette information aide à empêcher qu’un terminal sorti du cadre accède encore à certaines ressources. Le MDM ne constitue pas à lui seul une preuve de conformité globale, mais il rend vérifiable une partie des règles appliquées aux endpoints mobiles. Il prend alors sa place parmi les autres briques de cybersécurité managée.

FAQ sur le MDM (Mobile Device Management)

Un logiciel MDM est-il réservé aux grandes entreprises ?

Non. Une solution MDM peut être pertinente dès qu’une entreprise doit appliquer les mêmes règles de configuration et de sécurité à un nombre de terminaux qui devient difficile à administrer manuellement. Les offres cloud rendent ce type de gestion accessible aux PME sans imposer une infrastructure MDM hébergée dans leurs locaux.

Le MDM respecte-t-il la vie privée sur les appareils personnels ?

Oui, lorsque le terminal personnel est enrôlé avec un mode BYOD adapté. Android Enterprise utilise notamment le Work Profile pour isoler les applications et données professionnelles, tandis qu’Apple propose User Enrollment pour séparer le périmètre géré des données personnelles. Les informations et actions accessibles à l’administrateur dépendent toutefois de l’OS, du produit MDM et du mode d’enrôlement utilisé.

Quelle différence entre MDM, EMM et UEM ?

Le MDM se concentre historiquement sur l’administration et la sécurisation des terminaux mobiles. L’EMM étend ce périmètre à la gestion des applications, des contenus et des usages mobiles. Le UEM va plus loin en réunissant smartphones, tablettes, ordinateurs et parfois d’autres catégories d’équipements dans une même plateforme d’administration.

Quelle différence entre un MDM et un EDR ?

Le MDM applique des configurations, des politiques de conformité et des règles d’administration aux terminaux. L’EDR analyse l’activité des endpoints pour détecter et traiter des comportements suspects ou malveillants. Les deux répondent donc à des fonctions différentes et peuvent être intégrés dans une même architecture de sécurité lorsque le niveau de risque le justifie.

Le MDM Android est-il différent du MDM iOS ?

Oui. Android s’appuie sur Android Enterprise, avec notamment le Work Profile pour les usages mixtes et des modes fully managed ou dedicated pour les appareils détenus par l’entreprise. Apple utilise ses propres mécanismes de gestion et d’enrôlement, dont Apple Business Manager, Automated Device Enrollment et User Enrollment. Les objectifs sont proches, mais les capacités et les modes d’administration diffèrent selon les plateformes.

Comment se déroule le déploiement d’un MDM en entreprise ?

Le déploiement commence par l’inventaire des terminaux, des systèmes d’exploitation, des propriétaires des appareils et des usages métiers. La DSI définit ensuite les politiques et les modes d’enrôlement adaptés, puis teste le paramétrage sur un groupe pilote avant de généraliser progressivement le déploiement. La méthode dépend notamment de la part de BYOD et de terminaux détenus par l’entreprise.

Le MDM peut-il s’intégrer à la cybersécurité existante ?

Oui. Selon la solution retenue, le MDM ou l’UEM peut échanger avec l’annuaire et le fournisseur d’identité, les mécanismes d’accès conditionnel, les outils de sécurité des endpoints, le SIEM ou l’ITSM. L’état de conformité du terminal peut alors participer aux décisions d’accès aux ressources de l’entreprise au lieu d’être traité comme une information isolée.

Combien coûte une solution MDM pour une PME ?

Le prix dépend du mode de licence, du nombre de terminaux ou d’utilisateurs, des systèmes couverts et des fonctions incluses. Certaines offres facturent une gestion MDM de base, tandis que d’autres intègrent le MDM dans une suite UEM ou de sécurité plus large. Le coût doit donc être comparé avec le temps d’administration, le déploiement et l’accompagnement, et pas uniquement avec le prix unitaire de la licence.