Conformité Intune : le socle souvent négligé de « exiger un appareil conforme »
« Exiger un appareil conforme » figure dans presque toutes les recommandations d'accès conditionnel. Mais que signifie « conforme » dans votre tenant ? Si personne n'a défini de critères exigeants, un appareil peut être déclaré conforme sans chiffrement, sans antivirus actif et avec un système obsolète.
L'accès conditionnel délègue la décision à Intune
L'accès conditionnel ne contrôle pas lui-même l'état de l'appareil : il lit l'attribut de conformité calculé par Intune. La qualité du contrôle dépend donc entièrement des stratégies de conformité, de leur périmètre et de leurs paramètres. Une stratégie d'accès conditionnel irréprochable peut reposer sur des critères de conformité presque vides.
Ce qu'une stratégie de conformité devrait vérifier
Pour Windows, les critères les plus pertinents sont généralement :
- Chiffrement : BitLocker exigé, idéalement via l'attestation d'intégrité de l'appareil.
- Démarrage sécurisé et intégrité du code.
- Version minimale du système, à relever régulièrement pour exclure les versions qui ne reçoivent plus de mises à jour.
- Microsoft Defender : antivirus actif, protection en temps réel, signatures à jour.
- Pare-feu activé.
- Le cas échéant, le niveau de risque remonté par Defender for Endpoint, selon votre licence.
Les plateformes mobiles ont leurs propres critères : code de verrouillage, détection de débridage (jailbreak ou root), version minimale. Chaque plateforme utilisée doit avoir sa stratégie, sans quoi elle échappe au contrôle.
Les délais de grâce
Les actions en cas de non-conformité permettent de définir un délai avant qu'un appareil soit marqué non conforme. Ce délai laisse à l'utilisateur le temps de corriger (appliquer une mise à jour, réactiver un service), mais un délai trop long revient à ne rien exiger. Quelques jours suffisent généralement ; au-delà, il faut une justification documentée.
Le réglage qui change tout
Dans les paramètres de conformité du tenant, l'option « Marquer les appareils sans stratégie de conformité attribuée comme » vaut Conforme par défaut. Autrement dit, un appareil inscrit dans Intune mais non ciblé par une stratégie satisfait l'exigence d'appareil conforme. Basculez ce réglage sur Non conforme après avoir vérifié que toutes vos plateformes sont couvertes.
Le paramètre de période de validité de l'état de conformité mérite aussi l'attention : un appareil qui ne remonte plus d'information pendant cette période devient non conforme.
Piège classique. Un tableau de bord Intune affichant 100 % d'appareils conformes n'est pas une bonne nouvelle en soi. C'est souvent le signe de critères trop faibles ou d'appareils sans stratégie comptés comme conformes par défaut.
Éviter la fausse confiance
La conformité est un instantané déclaratif, évalué périodiquement. Elle ne remplace ni une solution EDR, ni la gestion des correctifs, ni la surveillance. Veillez aussi à la cohérence de vos stratégies d'accès conditionnel : si l'une accepte « appareil joint hybride » comme alternative, l'exigence de conformité peut être contournée par cette voie.
Ce qu'un audit vérifie
- L'existence d'une stratégie de conformité pour chaque plateforme utilisée.
- Les critères effectivement exigés (chiffrement, version, antivirus, pare-feu).
- Les délais de grâce configurés.
- La valeur du réglage applicable aux appareils sans stratégie.
- Le lien entre conformité et stratégies d'accès conditionnel.