Points clés
- Une référence de configuration commune assortie d’ajustements par client s’adapte mieux à l’échelle : un standard minimum commun, complété par des ajustements répondant aux besoins de chaque client, maintient une sécurité homogène sans ignorer les différences entre les environnements.
- Un MDM centralisé est essentiel pour la visibilité multi-clients : sans une plateforme unique couvrant tous les clients, des failles apparaissent entre les vérifications manuelles. Les problèmes ne se révèlent alors que lorsque les clients les signalent.
- Le BYOD exige des contrôles au niveau des applications et un accès conditionnel : séparer les données professionnelles des applications personnelles rend les appareils personnels gérables sans empiéter sur la vie privée des employés.
- Les processus manuels deviennent intenables à mesure que le portefeuille de clients grandit : l’automatisation aide efficacement les MSP à appliquer les politiques, à gérer l’onboarding et les mises à jour de façon homogène. Sans elle, la charge de travail augmente et les standards perdent en cohérence.
Gérer la sécurité des appareils mobiles dans une entreprise est déjà complexe en soi. Les MSP doivent composer avec des exigences de conformité des données et différents modèles de propriété des appareils. De plus, les environnements varient et n’appliquent pas les mêmes critères de sécurité, ce qui complique la protection
Cet article explique comment fonctionne la sécurité des appareils mobiles pour les MSP dans des environnements multi-clients. Nous passerons en revue les politiques, les workflows et les pratiques de gestion qui permettent de sécuriser les appareils mobiles sans générer une charge de travail excessive.
La difficulté de sécuriser les appareils mobiles chez plusieurs clients
La gestion des téléphones mobiles professionnels devient bien plus complexe lorsque vous avez plusieurs clients aux besoins différents.
Voici les difficultés auxquelles les MSP font face :
- Des exigences de sécurité différentes d’un client à l’autre : chaque client peut être soumis à des obligations réglementaires ou à des politiques internes qui lui sont propres. Impossible, dès lors, d’appliquer une approche unique à tout le monde.
- Un manque de visibilité centralisée : sans plateforme de gestion unifiée, les équipes informatiques doivent consulter plusieurs consoles ou se fier aux problèmes signalés par les clients pour savoir ce qui se passe sur les appareils. D’où l’importance de disposer d’une plateforme MDM unifiée.
- Une application inégale des politiques : lorsque les politiques sont appliquées manuellement ou client par client, des failles apparaissent. Un paramètre appliqué chez un client peut être totalement absent chez un autre.
- La gestion simultanée des appareils d’entreprise et personnels : le BYOD (Bring Your Own Device) et les appareils fournis par l’entreprise nécessitent des contrôles différents, et les MSP doivent souvent gérer les deux au sein d’un même environnement client.
Sans approche unifiée, ces difficultés ne restent pas cloisonnées. Une faille dans l’environnement d’un client peut créer un risque chez les autres, surtout lorsque des outils ou des identifiants sont partagés.
Le modèle de sécurité fondamental pour les environnements mobiles multi-clients
Un service géré de gestion des appareils mobiles conçu pour plusieurs clients ne peut pas se limiter à une politique unique et partagée. Un modèle en couches donne aux MSP le contrôle nécessaire à grande échelle, tout en laissant la place aux exigences propres à chaque client.
Les composants clés de ce modèle sont les suivants :
- La gestion centralisée des appareils mobiles (MDM) : une plateforme MDM unique couvrant tous les appareils des clients offre aux équipes informatiques un point de contrôle unique pour déployer les politiques, surveiller la conformité et réagir aux incidents dans tous les environnements.
- La séparation des environnements clients par tenant : chaque client évolue dans un environnement logiquement distinct au sein de la plateforme MDM. Cela évite les chevauchements de politiques et isole les données de chaque client des autres tenants.
- Des politiques de sécurité de référence standardisées : il s’agit d’un ensemble d’exigences de sécurité minimales que les MSP peuvent appliquer à tous leurs clients. Cela réduit la complexité tout en garantissant une référence de configuration homogène en matière de sécurité.
- Un socle commun d’exigences de sécurité minimales appliqué à tous les clients permet de réduire la complexité tout en garantissant une référence de configuration homogène, quelle que soit la taille ou l’activité du client.
Cette approche en couches offre aux MSP une structure reproductible qui suit la croissance du portefeuille de clients, sans nécessiter un cadre de gestion distinct.
Workflow détaillé pour sécuriser les appareils mobiles
Un workflow reproductible rend la sécurité des appareils mobiles gérable chez plusieurs clients. Voici, étape par étape, un workflow qui vous aidera à en construire un efficace.
Étape 1 : définir les politiques de sécurité de référence
Avant d’intégrer les appareils d’un client, les MSP doivent définir un standard minimum applicable à tous. Vous disposez ainsi d’une base homogène sur laquelle travailler, quitte à l’ajuster par la suite.
- Exigez des mots de passe ou des codes PIN robustes sur tous les appareils et utilisez la MFA (authentification forte)
- Activez le chiffrement des appareils par défaut pour protéger les données sensibles.
- Définissez des règles pour les mises à jour du système d’exploitation et de sécurité afin que les appareils restent à jour.
Étape 2 : enrôler les appareils dans une gestion centralisée
Une fois la référence de configuration définie, chaque appareil doit être enregistré dans la plateforme MDM avant de pouvoir accéder aux ressources du client.
- Intégrez tous les appareils via la plateforme MDM, qu’ils appartiennent à l’entreprise ou à l’utilisateur.
- Vérifiez que chaque appareil est bien enregistré et visible dans la console de gestion.
- Contrôlez l’enrôlement sur toutes les plateformes utilisées, dont iOS, Android et Windows.
- Signalez les appareils non enrôlés et traitez le cas avant d’accorder tout accès.
Étape 3 : appliquer les contrôles d’accès et d’identité
Les appareils enrôlés nécessitent encore des contrôles définissant qui peut accéder à quoi. Cette étape garantit que seules les bonnes personnes atteignent les systèmes et les données sensibles.
- Activez la MFA (authentification forte) sur tous les comptes qui accèdent aux ressources des clients.
- Limitez l’accès aux systèmes sensibles en fonction du rôle. L’accès aux applications et aux données doit être régi par un contrôle d’accès basé sur les rôles et par le principe du moindre privilège.
- Appliquez le principe du moindre privilège afin que les utilisateurs n’accèdent qu’à ce dont ils ont réellement besoin.
- Passez régulièrement les autorisations d’accès en revue et supprimez celles qui ne sont plus nécessaires.
Étape 4 : gérer les applications et l’accès aux données
Contrôler quelles applications mobiles sont installées et à quoi elles peuvent accéder est l’un des moyens les plus directs de réduire le risque.
- Définissez quelles applications sont autorisées à accéder aux données de l’entreprise. Il peut s’agir d’applications d’e-mail, de gestion des tâches ou de communication d’équipe.
- Restreignez ou supprimez les applications non autorisées et obsolètes.
- Examinez et limitez les autorisations des applications pour qu’aucune n’obtienne plus d’accès que nécessaire.
- Maintenez les applications à jour via la plateforme MDM afin de combler les vulnérabilités connues.
Étape 5 : surveiller les appareils en continu
Après avoir configuré les politiques et enrôlé les appareils, vous devez les surveiller en continu pour détecter les problèmes avant qu’ils ne deviennent des incidents.
- Suivez l’état de conformité des appareils et signalez tout écart par rapport à la politique.
- Surveillez l’intégrité de l’appareil : batterie, version du système d’exploitation et état du chiffrement.
- Guettez les activités inhabituelles, comme les tentatives de connexion échouées ou les installations d’applications imprévues.
- Mettez en place des alertes pour que l’équipe puisse réagir rapidement lorsqu’une situation l’exige.
Les bonnes pratiques de gestion des appareils mobiles pour les MSP
Une bonne sécurité des appareils mobiles ne découle pas seulement du choix des bons outils. Elle vient de la façon dont ces outils sont utilisés de manière homogène chez chaque client.
Voici les pratiques clés à suivre :
- Utilisez une plateforme centralisée pour tous les clients : gérer tous les clients depuis une seule console réduit le risque d’oubli et facilite l’application de modifications à l’ensemble du parc.
- Automatisez l’application des politiques et les mises à jour : les processus manuels laissent des failles. Automatiser les tâches de routine, comme la diffusion des politiques et le déploiement des mises à jour, garantit la cohérence sans dépendre de la mémoire de quelqu’un.
- Auditez régulièrement la conformité des appareils : effectuez des contrôles de conformité selon un calendrier défini pour repérer les appareils qui se sont écartés de la politique avant que cela ne pose problème.
- Conservez une visibilité sur tous les environnements : chaque environnement client doit être visible depuis le même tableau de bord. Les angles morts chez un client peuvent créer un risque pour les autres.
- Standardisez les configurations autant que possible : plus les configurations des appareils sont homogènes entre les clients, plus il est facile de diagnostiquer, de mettre à jour et de passer à l’échelle.
Des pratiques homogènes réduisent la charge opérationnelle liée à la gestion de la sécurité sur un portefeuille de clients en croissance.
Sécuriser les environnements BYOD chez plusieurs clients
Le BYOD ajoute de la complexité à un environnement d’entreprise. L’appareil appartient à l’employé, mais les données professionnelles qu’il contient doivent tout de même être protégées.
Voici les points essentiels à considérer :
- Séparez les données personnelles et professionnelles : utilisez la conteneurisation ou une gestion au niveau des applications pour tenir les données de travail à l’écart des applications et du stockage personnels.
- Limitez l’accès aux ressources sensibles : les appareils personnels ne doivent disposer que des capacités correspondant au rôle de leur utilisateur. Un accès étendu depuis un appareil non géré crée un risque inutile.
- Respectez la vie privée des utilisateurs : sur les appareils personnels, les politiques MDM ne doivent porter que sur les données professionnelles. Les employés adhèrent plus facilement lorsqu’ils savent que l’informatique ne surveille pas leur activité privée.
- Appliquez des contrôles d’accès conditionnel : vérifiez l’intégrité de l’appareil et sa conformité avant d’accorder l’accès. Un appareil obsolète ou dont les paramètres requis sont absents ne devrait pas se connecter aux ressources du client.
C’est une politique BYOD claire, comprise des employés et que l’informatique peut appliquer de façon homogène, qui rend tout cela gérable.
Protéger les données des clients sur les appareils mobiles
Même avec des contrôles d’accès solides, les données présentes sur les appareils mobiles ont besoin de leur propre couche de protection. Si un appareil est perdu, volé ou compromis, ces contrôles limitent l’ampleur des dégâts.
Voici les stratégies clés :
- Chiffrez les données sur les appareils : le chiffrement rend les données illisibles sans les bons identifiants, même si quelqu’un obtient un accès physique à l’appareil.
- Sécurisez les données en transit : utilisez des VPN ou des connexions chiffrées pour protéger les données qui circulent entre les appareils et les systèmes des clients.
- Limitez le stockage de données sur les appareils : moins il y a de données client stockées localement sur un appareil, moins il y a à perdre. Privilégiez, quand c’est possible, un stockage cloud ou serveur sécurisé.
- Recourez aux conteneurs sécurisés là où c’est nécessaire : dans les environnements à haut risque, la conteneurisation maintient les données professionnelles dans un espace isolé et chiffré, séparé du reste de l’appareil.
Si un appareil est perdu ou compromis, ces contrôles réduisent la quantité de données client réellement exposées.
Quelles sont les difficultés propres aux environnements mobiles multi-clients ?
Même avec une référence de configuration solide, gérer la sécurité mobile chez plusieurs clients implique des difficultés opérationnelles permanentes qu’il faut traiter activement.
Parmi ces difficultés :
- Des politiques différentes selon les clients : avec le temps, les configurations sont ajustées pour un client et pas pour les autres. Sans audits réguliers, des politiques initialement identiques finissent par diverger fortement d’un environnement à l’autre.
- Un manque de standardisation : lorsque chaque engagement client est configuré différemment, le diagnostic prend plus de temps et l’évolutivité devient plus difficile. Plus il y a de variantes, plus cela génère de travail.
- La diversité des appareils et des plateformes : prendre en charge des appareils iOS, Android et Windows chez plusieurs clients signifie gérer des capacités, des cycles de mise à jour et des options de politique différents sur chaque plateforme.
- Une visibilité limitée sur l’activité des appareils : sans surveillance centralisée, il est facile de passer à côté d’un appareil devenu non conforme ou présentant des signes d’activité suspecte.
Des processus structurés et des revues régulières évitent que ces difficultés ne se transforment discrètement en failles de sécurité.
Faire évoluer la sécurité mobile à l’échelle de tous vos clients
À mesure que le portefeuille de clients grandit, tout faire manuellement devient intenable. Les pratiques qui fonctionnent pour cinq clients ne tiendront pas pour vingt sans une structure adaptée.
- Utilisez des modèles de politiques pour un déploiement rapide : grâce à des modèles prêts à l’emploi, les MSP ne repartent pas de zéro à chaque intégration d’un nouveau client. Appliquez la référence de configuration, ajustez selon les besoins spécifiques du client, et passez à la suite.
- Automatisez l’onboarding et les mises à jour : les processus manuels d’onboarding et de mise à jour prennent du temps et génèrent des erreurs. L’automatisation prend en charge les tâches répétitives de façon homogène chez tous les clients.
- Centralisez le reporting et la surveillance : un tableau de bord unique couvrant tous les clients facilite l’identification des tendances, la détection des écarts de conformité et le traitement des problèmes, sans jongler entre les outils.
- Standardisez les workflows entre les clients : plus le processus est homogène, plus il est facile de former le personnel, de résoudre les problèmes et de se transmettre le travail entre collègues.
Des processus évolutifs font qu’ajouter un nouveau client n’alourdit pas significativement la charge de l’équipe qui en assure la gestion.
Idées fausses courantes sur la sécurité mobile chez les MSP
Ces idées fausses sont suffisamment répandues pour créer régulièrement, dans les stratégies de sécurité mobile, des failles qui auraient pu être évitées.
Voici les plus fréquentes :
- Une seule politique convient à tous les clients : les environnements clients, du secteur privé au secteur public, diffèrent par leurs exigences de conformité, leurs types d’appareils et leur tolérance au risque. Une politique unique appliquée à tous laissera des failles chez certains et se révélera trop restrictive chez d’autres.
- La sécurité mobile compte moins que la sécurité des terminaux : les appareils mobiles accèdent aux mêmes systèmes, données et identifiants que les terminaux traditionnels. Le risque qu’ils portent est tout aussi réel.
- Les appareils BYOD ne peuvent pas être sécurisés efficacement : avec les bonnes politiques MDM, la conteneurisation et des contrôles d’accès conditionnel, les appareils personnels peuvent être gérés de façon sécurisée sans empiéter sur la vie privée des employés.
- Une gestion manuelle suffit : les processus manuels ne passent pas à l’échelle et introduisent des incohérences. À mesure que le portefeuille de clients grandit, c’est l’automatisation qui empêche les standards de sécurité de se dégrader.
Traiter ces idées fausses en amont facilite la construction d’une stratégie de sécurité mobile réellement solide, quels que soient les clients.
Construire une stratégie évolutive de sécurité des appareils mobiles pour MSP
Les MSP qui associent de solides pratiques MDM à des contrôles BYOD clairs et à une surveillance continue obtiennent une stratégie de sécurité des appareils mobiles qui fonctionne vraiment. Ils disposent d’un système qui grandit avec leur portefeuille de clients, au lieu d’un dispositif source d’incertitude qui génère toujours plus de travail dès qu’il faut l’étendre.
Guide de démarrage rapide
Les prochaines étapes avec NinjaOne
Pour une stratégie de sécurité mobile complète sur plusieurs environnements clients, voici ce que vous pouvez faire :
- Créer des profils d’enrôlement MDM distincts pour chaque client
- Configurer des connexions zero-touch reliées au compte Google de chaque client
- Utiliser les rôles et les emplacements des appareils pour les organiser par client
- Mettre en place des politiques adaptées aux exigences de sécurité de chaque client
Sujets connexes :
