MDM et gestion unifiée des terminaux : mesurer la couverture réelle du parc.

Le MDM (Mobile Device Management) est la gestion centralisée des terminaux d’une organisation, et l’UEM (Unified Endpoint Management) l’étend aux postes de travail. L’indicateur à mesurer avant tout achat d’outil est le taux de couverture réel : la part des équipements qui accèdent aux ressources de l’organisation et qui sont inscrits et conformes. Cette page donne la formule et la méthode de mesure, la lecture d’un parc hétérogène et la règle à fixer pour les terminaux personnels, où la CNIL et l’ANSSI n’ont pas la même position. Elle prolonge notre couverture du poste de travail.

Ce que recouvrent le MDM et l’UEM

Définition. Le MDM (Mobile Device Management) regroupe l’inscription d’un appareil mobile dans un référentiel, l’application de politiques de configuration et de sécurité, le déploiement d’applications et la vérification de sa conformité. L’UEM (Unified Endpoint Management) applique la même logique à l’ensemble des terminaux, postes de travail compris. Le sigle MDM désigne aussi le Master Data Management, la gestion des données de référence, qui n’est pas traité ici.

Le NIST (publication SP 800-124 révision 2, mai 2023) couvre deux modèles de déploiement, les appareils fournis par l’organisation et les appareils personnels utilisés au travail. Il décrit aussi les solutions de gestion centralisée (MDM et EMM) et les technologies de protection des terminaux.

Le taux de couverture réel : la formule et la mesure

Le taux déclaré se calcule sur le parc que la console connaît. Le taux réel se calcule sur tous les équipements qui accèdent aux ressources de l’organisation, y compris ceux que la console ne voit pas.

Formule. Taux de couverture réel = équipements inscrits et conformes / équipements qui accèdent aux ressources de l’organisation.

Le dénominateur se relève hors de la console, dans les journaux d’authentification de l’annuaire sur une période de référence, 30 jours par exemple. Le numérateur se relève dans la console de gestion. Leur écart donne la liste des équipements à traiter. Le guide de l’ANSSI sur le nomadisme numérique (version 2.0, 14 novembre 2023) demande déjà de lier chaque poste nomade à un utilisateur identifié dans l’outil de gestion d’équipements (recommandation R5).

Un terminal non inscrit échappe aux politiques de configuration, au déploiement piloté des correctifs et à la vérification de conformité. Une règle d’accès conditionnel qui exige un terminal conforme le bloque. Une règle qui ne s’applique qu’aux terminaux inscrits ne le voit pas. Le comportement dépend de la configuration, et c’est le premier point à vérifier.

Cinq catégories d’équipements sortent facilement du périmètre de la console.

Un parc hétérogène : un mode d’inscription par famille

Le parc réunit plusieurs familles d’équipements. Chacune s’inscrit et se gère différemment.

Deux options existent. Une console unique couvre l’ensemble de façon imparfaite et se gouverne plus simplement. Des outils spécialisés bien maîtrisés, avec consolidation des indicateurs, sont plus efficaces sur les périmètres particuliers. Le choix dépend de la part des équipements atypiques dans le parc, qu’il faut donc chiffrer.

La posture d’un terminal : un signal d’accès aux limites connues

La conformité d’un terminal devient un signal de décision d’accès : version du système, correctifs appliqués, chiffrement actif, agent de sécurité opérationnel, absence de contournement des protections du système. Cette articulation fait partie du modèle Zero Trust. Elle n’a de valeur que rapportée à un utilisateur authentifié, ce qui renvoie à la gestion des identités.

Le guide de l’ANSSI recommande de bloquer les postes non conformes et de les rediriger vers une zone de remédiation isolée (recommandation R15, section 3.3.8). Il en donne aussi la limite : un contrôle de conformité ne garantit pas l’absence de compromission, car un attaquant disposant de droits d’administrateur local peut modifier le comportement de l’agent de vérification.

Deux réglages rendent la règle tenable. La granularité consiste à graduer selon la sensibilité de la ressource, en autorisant par exemple la messagerie tout en bloquant les applications critiques. La remédiation autonome consiste à laisser le collaborateur rétablir sa conformité sans ticket, faute de quoi chaque blocage devient une demande de support.

Terminaux personnels : ce que disent la CNIL, l’ANSSI et le Code du travail

Le BYOD (Bring Your Own Device) désigne l’usage d’équipements personnels dans un contexte professionnel. L’employeur choisit de l’autoriser sous conditions ou de l’interdire. Il reste responsable des données stockées sur un appareil qu’il ne maîtrise pas physiquement ni juridiquement (CNIL, page publiée le 19 février 2015).

Lues ensemble, ces positions laissent peu de marge. Les mesures que l’ANSSI associe à un conteneur (magasin d’applications privé, désactivation de services inutiles, filtrage de la navigation) touchent à l’usage privé de l’appareil, que la CNIL juge difficile à restreindre. Le cloisonnement est la bonne pratique que cite la CNIL, et l’ANSSI le juge insuffisant seul.

La décision se prend par sensibilité des ressources. Les ressources sensibles restent réservées aux équipements gérés. Pour les autres, un équipement personnel peut être admis dans un espace cloisonné, à trois conditions : une charte écrite portée à la connaissance des personnes, un effacement limité au contenu professionnel, une alternative proposée à ceux qui refusent. Les deux premières conditions reprennent la CNIL. La troisième est une pratique de terrain, car un refus sans alternative incite au contournement.

Cinq chantiers, dans l’ordre

1. Mesurer la couverture réelle avec la formule ci-dessus, avant d’investir dans l’outillage.

2. Traiter les exclusions une par une, en documentant celles qui restent et leur justification.

3. Automatiser l’inscription dès la livraison : un équipement livré déjà inscrit n’attend aucune intervention manuelle.

4. Relier chaque équipement à un utilisateur identifié, base de toute décision d’accès.

5. Suivre la conformité dans la durée, un parc conforme à la mise en service ne le restant pas.

Articles récents sur les endpoints et le MDM

Bloc automatisé : les 10 derniers articles rattachés au tag, avec image, titre, date, auteur et extrait. Tri antéchronologique, mise à jour par le CMS.

Explorer le cluster

Cette page fait partie de notre couverture de l’environnement de travail et des terminaux : licences, parc, collaboration et matériel.

iTPro+ : recevez chaque semaine les analyses sur le poste de travail et la gestion de parc qui concernent les équipes IT.