BYOD sans inscription : protéger les données avec les stratégies de protection des applications Intune
Dans beaucoup d'organisations que nous auditons, Outlook et Teams tournent sur des téléphones personnels sans le moindre contrôle : copier-coller libre, pièces jointes enregistrées dans le stockage du téléphone, aucune possibilité d'effacer les données au départ du collaborateur. Les stratégies de protection des applications d'Intune répondent précisément à ce cas, sans exiger d'inscrire l'appareil.
Protéger l'application plutôt que l'appareil
Inscrire un smartphone personnel dans Intune donne à l'organisation une visibilité et un pouvoir sur l'appareil que beaucoup de collaborateurs refusent, à juste titre. Les stratégies de protection des applications (souvent appelées MAM, pour Mobile Application Management) prennent le problème par l'autre bout : elles ne gèrent pas le téléphone, mais le contenu professionnel à l'intérieur des applications compatibles, comme Outlook, Teams, OneDrive, Edge ou les applications Office.
Concrètement, l'utilisateur se connecte avec son compte professionnel dans une application gérée ; la stratégie s'applique alors à ce compte, et uniquement à lui. Ses photos, ses messages personnels et ses autres applications restent hors de portée. Sur iOS, Microsoft Authenticator joue le rôle de courtier ; sur Android, c'est le Portail d'entreprise qui doit être installé, même sans inscription.
Les réglages de transfert de données
C'est le cœur de la stratégie, et c'est là que nous trouvons le plus souvent des valeurs trop permissives. Les paramètres essentiels :
- Envoyer des données de l'organisation vers d'autres applications : limiter aux applications gérées par stratégie, pour qu'une pièce jointe ne puisse pas être ouverte dans une application personnelle quelconque ;
- Enregistrer des copies : bloquer l'enregistrement hors des emplacements autorisés (OneDrive et SharePoint de l'organisation) ;
- Couper, copier et coller : restreindre aux applications gérées, éventuellement avec une exception de collage entrant ;
- Recevoir des données : décider si des contenus externes peuvent entrer dans les applications gérées ;
- Chiffrement des données de l'organisation et blocage des sauvegardes vers les services de sauvegarde personnels.
Microsoft publie un cadre de protection des données en plusieurs niveaux, de la protection de base à une protection élevée. C'est un bon point de départ pour éviter de tout configurer à la main ; il reste à l'adapter à vos usages réels.
Les conditions de lancement
La stratégie peut aussi conditionner l'accès à l'état de l'appareil et de l'application, sans inscription : version minimale du système d'exploitation et de l'application, appareil débridé ou rooté, nombre maximal de tentatives de code PIN, période de grâce hors connexion au-delà de laquelle l'accès est bloqué puis les données effacées. Le code PIN propre à l'application, ou la biométrie, ajoute une barrière si le téléphone est déverrouillé et laissé sans surveillance.
Rendre la stratégie obligatoire avec l'accès conditionnel
Une stratégie de protection qui n'est pas exigée ne protège rien : l'utilisateur peut toujours passer par le client de messagerie natif du téléphone ou par un navigateur non géré. C'est l'accès conditionnel qui ferme la porte. Le schéma habituel :
- une stratégie ciblant les plateformes iOS et Android, pour les applications Office 365 ;
- le contrôle d'octroi « Exiger une stratégie de protection des applications » ;
- une stratégie complémentaire pour les navigateurs mobiles, afin d'imposer Edge géré plutôt qu'un navigateur quelconque ;
- le blocage de l'authentification héritée, qui permettrait de contourner l'ensemble.
Microsoft a annoncé le retrait du contrôle « Exiger une application cliente approuvée » au profit de l'exigence de stratégie de protection ; si vos stratégies l'utilisent encore, vérifiez l'état actuel de ce retrait et migrez.
Le piège classique. Une stratégie de protection configurée mais affectée à un groupe qui n'inclut pas tous les utilisateurs concernés, combinée à une règle d'accès conditionnel qui l'exige pour tous : les utilisateurs non couverts sont bloqués. À l'inverse, une règle d'accès conditionnel limitée à un groupe pilote laisse tous les autres sans protection. Les deux périmètres doivent correspondre.
L'effacement sélectif
Lorsqu'un collaborateur quitte l'organisation ou perd son téléphone, l'effacement sélectif supprime uniquement les données professionnelles des applications gérées, sans toucher au reste de l'appareil. La demande se fait depuis la console Intune, pour un utilisateur et un appareil donnés ; elle s'exécute à la prochaine ouverture de l'application. La désactivation du compte et la révocation des sessions restent indispensables en parallèle : l'effacement nettoie les données déjà présentes, il ne coupe pas l'accès.
Ce qu'un audit vérifie
- L'existence de stratégies de protection pour iOS et Android, et leur affectation à l'ensemble des utilisateurs concernés.
- Les réglages de transfert de données : envoi, enregistrement, copier-coller, sauvegarde.
- Les conditions de lancement : versions minimales, appareils débridés, période hors connexion.
- Les stratégies d'accès conditionnel exigeant une stratégie de protection, et l'absence de chemin de contournement (client natif, navigateur, authentification héritée).
- La procédure de départ : effacement sélectif, révocation des sessions, désactivation du compte.