Sécurité des terminaux et MDM
Sommaire
Bloc B3.3 — sécuriser les équipements et les usages des utilisateurs.
1. Le terminal utilisateur
Tout appareil informatique permettant à un utilisateur d'accéder à des services numériques, de traiter des informations ou de se connecter à un réseau : ordinateurs fixes et portables, smartphones, tablettes, et même des objets connectés comme les imprimantes. C'est l'interface directe entre l'utilisateur et le système d'information — et donc une porte d'entrée privilégiée.
Sécuriser un terminal implique trois volets :
- réaliser des configurations système qui protègent des attaques ;
- installer des applications et du matériel qui empêchent l'intrusion ;
- définir avec les utilisateurs les bonnes pratiques à adopter.
2. Configurer le système
Le système d'exploitation est le programme principal qui fait fonctionner la machine : il gère les ressources et permet d'utiliser les logiciels et le matériel. Quelques règles de base :
- Mises à jour automatiques activées. Les mises à jour corrigent les failles découvertes par les éditeurs ; sans ces correctifs (« patchs »), les attaquants exploitent ces failles connues.
- Chiffrement du disque (BitLocker, LUKS, FileVault) : un portable volé ne livre pas ses données.
- Verrouillage automatique de session et mot de passe / PIN à la reprise.
- Compte utilisateur standard au quotidien, compte administrateur séparé.
- Antivirus / EDR à jour, pare-feu local activé.
- Désactivation des services et ports inutiles, désinstallation des logiciels non utilisés.
- Sauvegarde des données du poste vers un emplacement centralisé.
3. Le MDM (Mobile Device Management)
Solution de gestion centralisée de la flotte de terminaux mobiles. Elle permet d'appliquer à distance une politique de sécurité uniforme :
- inventaire et enrôlement des terminaux ;
- déploiement d'applications et de configurations (Wi-Fi, VPN, messagerie) ;
- imposition du verrouillage, de la complexité du code, du chiffrement ;
- liste blanche / liste noire d'applications : n'autoriser que les applications validées limite le shadow IT et les applications malveillantes ;
- effacement à distance (remote wipe) en cas de perte ou de vol ;
- vérification de conformité avant l'accès aux ressources internes.
Le mode géré (« device owner ») est déterminant : sans lui, le MDM n'est qu'une application parmi d'autres, que l'utilisateur peut désinstaller. En mode device owner, l'agent MDM contrôle réellement le terminal (politiques non contournables, applications imposées, désinstallation bloquée).
En TP, un serveur MDM est souvent exposé en HTTP pour simplifier. En production c'est inacceptable : les identifiants d'enrôlement et les politiques transiteraient en clair, interceptables par un attaquant sur le réseau. On impose HTTPS avec un certificat valide.
4. BYOD, COPE, CYOD
| Modèle | Propriété | Enjeu principal |
|---|---|---|
| BYOD (Bring Your Own Device) | Terminal personnel du salarié | Cloisonner données pro et perso ; difficultés juridiques sur le wipe |
| COPE (Corporate Owned, Personally Enabled) | Entreprise, usage perso toléré | Bon compromis contrôle / confort |
| CYOD (Choose Your Own Device) | Entreprise, choix dans un catalogue | Parc homogène et maîtrisé |
5. La charte informatique
Document annexé au règlement intérieur qui formalise les usages autorisés du SI : mots de passe, usage personnel, téléchargements, matériel nomade, télétravail, journalisation et contrôles. L'ANSSI publie un guide d'élaboration de charte d'utilisation des moyens informatiques. Sa valeur est double : prévention (les règles sont connues) et opposabilité (une sanction est possible parce que la règle a été portée à la connaissance du salarié).