UEM, une plateforme pour les gérer tous

Souvenons-nous du MDM (Mobile Device Management), ce terme apparu il y a plus de 10 ans pour gérer les terminaux mobiles et répondre à la problématique du BYOD (Bring Your Own Device) qui consistait à encapsuler ou conteneuriser les ressources professionnelles du terminal mobile (qu’il soit personnel ou propriété de l’entreprise) pour des raisons évidentes de sécurité. Aujourd’hui, comme le mentionne Jean-Cédric Miniot, directeur général de l’intégrateur ITS/Ibelem et éditeur de la solution de gestion des terminaux PushManager, on ne parle plus de MDM, mais de UEM (Unified Enpoint Security) qui emprunte finalement le même chemin, mais en intégrant tous les terminaux (y compris les postes de travail ou l’IoT comme les caisses enregistreuses par exemple), les applications, les données et les identités des utilisateurs. À noter qu’entre le MDM et l’UEM, les cabinets d’études avaient également créé quelques acronymes bien connus comme MAM (Management Application Mobile) pour la gestion des applications, MCM (Mobile Content Management) pour la gestion des données ou encore EMM (Enterprise Mobile Management), une version évoluée du MDM  qui comprend également la gestion des applications mobiles ; tous sont axés essentiellement sur la mobilité, mais font aujourd’hui partie intégrante d’une plateforme UEM, laquelle s’oriente de plus en plus vers l’utilisateur et prend désormais en compte tout type de terminaux.  

Une poignée d’acteurs dominants 

Sur ce marché de l’UEM figurent quelques grands acteurs dominants dont Microsoft avec Endpoint Manager (ex Intune), Ivanti avec Neurons for UEM ou encore VMware avec Workspace One. Pour Jean-Cédric Miniot dont l’activité intégrateur de sa société ITS/Ibelem se doit d’être agnostique, Microsoft et VMware proposent les offres les plus abouties et les plus complètes en termes de fonctionnalités et de diffusions de rapports sur mesure. « Ces offres font partie de celles que nous déployons le plus dans les entreprises en France », confirme-t-il. Le dirigeant reconnaît aussi la robustesse de la plateforme MobileIron (désormais la propriété d’Ivanti) et bien sûr en tant qu’éditeur, cette fois-ci, la résilience et la souveraineté de sa propre plateforme PushManager en ciblant les PME et les collectivités locales. 

Une pandémie, un accélérateur de projets

Avec la pandémie et le télétravail qui en a découlé, les projets d’UEM ont augmenté. « Bien avant la pandémie, en 2019, nous parlions déjà du travail à distance chez Ivanti, l’histoire nous a donné raison, la pandémie a fait bondir les besoins », souligne Abdel Elbachtany, Director Sales Engineer EMEA South d’Ivanti. De son côté, Stéphane Padique, Digital Workspace Solution Engineering Manager France & Iberia chez VMware parle surtout de besoins décalés : « Face au télétravail généralisé pendant la crise, les entreprises ont dû trouver des réponses immédiates, d’où cette ruée sur les VPN pour sécuriser tous les devices y compris les terminaux personnels et les accès. Aujourd’hui, DSI et RSSI souhaitent migrer vers des projets plus structurants, plus résilients d’où cette demande. » Jean-Cédric Miniot constate aussi cette augmentation des besoins, surtout auprès des PME et des collectivités publiques. « En tant qu’intégrateur, nous travaillons surtout aujourd’hui sur les projets engagés pendant la Covid », précise à ce titre le porte-parole de l’intégrateur.

Pour l'Etablissement public de santé mentale de Vendée Georges Mazurelle situé à La Roche-sur-Yon qui utilise la plateforme PushManager, la sécurité des données est une priorité d’autant que les personnels soignants peuvent détenir des données de santé dans leur messagerie. Avec PushManager, ce centre hospitalier a pu appliquer une politique de sécurité forte : verrouillage du téléphone, synchronisation ou encore l’effacement d’un terminal s’il est perdu. La sécurité est devenue le pilier de ces solutions UEM. Par exemple, Ivanti avec sa plateforme Neurons vérifie en permanence l'utilisateur, son périphérique et les applications en fonction de contraintes granulaires, c’est bien cette approche du Zero Trust que l’éditeur applique au travers de sa plateforme. IBM fait de même pour sa plateforme MaaS360, cette solution applique des politiques de sécurité basées sur les rôles des employés et, en s’appuyant même sur l’intelligence de Watson, l’éditeur fournit des analyses contextuelles permettant d’obtenir des informations exploitables sur les risques susceptibles d'affecter les appareils et les utilisateurs identifiés. De son côté, Endpoint Manager de Microsoft s’intègre à Azure Active Directory (Azure AD) pour contrôler les personnes qui disposent d’un accès, mais aussi à Defender pour une couverture plus large de protection.

Pour Stéphane Padique, Digital Workspace Solution Engineering Manager France & Iberia chez VMware, la sécurité passe par plusieurs niveaux dont le premier suppose déjà d’une bonne implémentation des mécanismes dans le système d’exploitation, ce qui est certes le cas pour tous les OS récents, mais pas forcément pour les plus anciens. « Ensuite, une plateforme comme Workspace One va nous aider à mettre en place une politique de sécurité, à détecter et réagir à toute vulnérabilité. » Les plateformes UEM font d’ailleurs de plus en plus office de solutions de remédiation en proposant, par exemple, des mises à jour correspondantes en cas de vulnérabilité avérée, mais aussi la suppression des données à distance, le blocage à certaines applications ou aux données, etc.

Un support pour faciliter la mise en œuvre du RGPD

D’une manière générale, les plateformes UEM garantissent la mise en œuvre d’une stratégie de sécurité des données sous condition d’une bonne configuration, elles aident aussi les responsables IT dans l’application du RGPD notamment dans la gestion des terminaux personnels qui renferment de nombreuses données sensibles. « Dans le cas de BYOD, nous sommes par exemple capables, depuis la plateforme, d’identifier les données en fonction de ce que l’on veut voir ou pas. Certes, il y a des données stockées dans notre plateforme, mais ce sont des informations de configuration, aucune information métier y transite », souligne Stéphane Padique. Même des politiques de chiffrement peuvent être mises en œuvre pour s’assurer que les administrateurs de ces plateformes ne puissent pas visualiser les données personnelles des utilisateurs.

Comme nous le précisions précédemment, ce marché de l’UEM est dominé par une poignée d’acteurs, dont Microsoft avec EndPoint Manager qui profite de la croissance de MS 365, VMWare avec Workspace One ou encore Ivanti (suite au rachat de MobileIron). Ce qui caractérise ces grandes solutions UEM, ce sont surtout leur niveau élevé de fonctionnalités intégrées : de l’administration de tous les terminaux à la gestion des identités en passant par la réponse aux incidents. Depuis le rachat de MobileIron et de plusieurs autres sociétés, l’éditeur américain Ivanti s’affiche ainsi avec sa plateforme Neurons qui regroupe, selon  Abdel Elbachtany, son directeur ingénieur/commercial pour la région sud EMEA,  un ensemble de fonctionnalités et de solutions pour découvrir, gérer et sécuriser l’environnement IT. « De découvrir déjà pour disposer d’une visibilité de tous les équipements connectés et des actions automatisées. De gérer ensuite de façon unique tous les utilisateurs et enfin de sécuriser l’ensemble de tous les biens et actifs. » La plateforme d’Ivanti se démarque d’ailleurs par sa capacité à automatiser les workflows, Abdel Elbachtany parle même d’hyperautomatisation et de healing. « Grâce à des bots automatisés, nous sommes capables de poser en temps réel un diagnostic proactif et de résoudre les situations critiques. » Cette automatisation, VMware la porte aussi dans sa solution Workspace One tout comme le recours massif aux API pour une meilleure intégration. « La standardisation de ces plateformes s’effectue désormais via les API, ce qui permet d’éviter la gestion fastidieuse d’agents. C’est d’autant plus simple avec les OS modernes d’aujourd’hui, eux-mêmes, sont de plus en plus ouverts aux API », admet Stéphane Padique, Digital Workspace Solution Engineering Manager France & Iberia chez VMware. L’évolution de ces plateformes UEM/MDM s’adapte aux nouveaux modes de travail en s’approchant toujours plus de l’expérience utilisateur, de son bien-être en quelque sorte. Nous rentrons dans cette ère du Digital Management permettant de mesurer les expériences, autant d’indicateurs dont sont de plus en plus friands les décideurs. Ces plateformes s’orientent également plus vers des processus métiers avec des interfaces dédiées fortement automatisées. Enfin, la prise en charge de nouveaux terminaux ou form-factors va se poursuivre, peut-être autour de la réalité virtuelle ou du metaverse. 

Google s'ouvre aussi au MDM via sa suite Workspace

Chez Google, la gestion des terminaux est intégrée à la suite Workspace (Enterprise Essentials) et est définie par défaut, de sorte que les salariés n'aient pas à réinstaller leur profil sur les terminaux. Hormis Android et Chrome OS, Google prend aussi en charge la gestion des points de terminaison pour iOS, Windows, MacOS et Linux. Depuis la console centralisée de Google, l’administrateur dispose de plusieurs options comme le fait d’imposer le verrouillage des écrans et l'utilisation de mots de passe sécurisés, d’effacer les données confidentielles figurant sur un appareil Android ou iOS (effacement de toutes les données de l'appareil ou des données d'un compte spécifique) et bloquer l'accès à des sessions Windows, Chrome OS, Linux et MacOS spécifiques. Toutefois, cette offre, selon certains de nos interlocuteurs, reste, pour le moment, limitée dans sa couverture fonctionnelle, ce qui rassure aussi les partenaires technologiques de Google comme Telelogos dont l’offre Clyd se focalise surtout sur la gestion des terminaux Android.

Certains acteurs, à l’instar de la plateforme française PushManager (éditée par l’intégrateur ITS/Ibelem), jouent sur la souveraineté de leur offre en ciblant les organismes publics sensibles comme la présidence, certains corps de Police et de l’Armée, les pompiers ou encore la santé. Cette solution est, à ce titre, disponible sur la centrale UGAP. « Avec PushManager, nous misons sur le sur-mesure, la souveraineté, la sécurité, cette capacité de travailler en mode déconnecté d’Internet ou encore sur la prise en charge de terminaux non attribués, nombreux chez les pompiers par exemple. Nous avons développé toutes ces spécifications sans avoir, évidemment, une couverture fonctionnelle aussi large que celle des grands acteurs comme VMware Workspace One. PushManager est aussi en attente d’une certification de l’ANSSI », détaille ainsi Jean-Cédric Miniot, directeur général de l’éditeur.

Apporter plus de simplicité aux entreprises 

De son côté, l’éditeur angevin Telelogos se positionne avec sa solution Clyd sur des entreprises qui réclament des applications MDM simples et intuitives à utiliser, l’éditeur est d’ailleurs très présent dans le monde des transports et de la logistique, de la grande distribution, des pompiers également ou encore dans le secteur des services à la personne comme l’AMDR qui gère ses 65 000 terminaux mobiles Android via Clyd. « Nos interfaces ont été conçues de manière très graphique facilement exploitables pour les non informaticiens », explique d’ailleurs Tarek Tamrane, responsable commercial Connected Devices chez Telelogos. À noter que la plateforme Clyd ne prend pas en compte le BYOD, uniquement les terminaux professionnels. Parmi les autres points différenciants de Clyd, citons aussi la sécurité (chiffrement, sécurisation de l’environnement Android, etc.), l’ouverture vers l’IoT (pris en charge des imprimantes industrielles), le développement de fonctionnalités métiers comme la gestion des contacts téléphoniques à distance ou de l’usage du smartphone en conduite (blocage du tactile au-dessus des 30 km/heure) pour le secteur du transport par exemple. « Bien sûr, les entreprises apprécient également de disposer avec Telelogos d’un support de proximité situé en France », assure Tarek Tamrane. La solution Clyd est commercialisée sous trois formes, en mode on premise, en mode SaaS (hébergé chez Azure) et en mode services managés via des partenaires de l’éditeur. Parmi les évolutions à venir, l’éditeur souhaite aller au-delà du MDM en intégrant du prédictif et de l’intelligence pour mesurer par exemple l’obsolescence des batteries ou de réaliser de l’autodiagnostic.

Contrairement à une idée reçue, les TPE/PME ne sont pas moins visées par les attaques informatiques que les grandes entreprises. « Elles constituent même des cibles particulièrement sensibles, car moins capables d’en assurer les conséquence dévastatrices » souligne Antonio Alonso, Android Enterprise Manager for South Europe chez Google. Selon l’association pour la cyber-sécurité nationale, 10% des PME déposent le bilan et 25% font faillite après avoir subi un piratage.

10% des PME déposent le bilan et 25% font faillite après avoir subi un piratage

Des offres EMM majoritairement inadaptées

Si les plateformes MDM / EMM répondent à cet enjeu en assurant la gestion et la sécurisation des appareils mobiles, elles ont jusqu’à présent eu du mal à éveiller l’intérêt des PME. Pour Antonio Alonso, ces offres ne leur sont pas adaptées car trop complexes techniquement. « Très souvent, l’offre commerciale elle-même n’est pas pertinente à l’échelle d’une petite entreprise » poursuit le spécialiste en mobilité d’entreprise. « Le choix entre différents niveaux de licence, la question de l’intégration de la solution au SI ou encore la gestion des identités utilisateurs qui découle d’une solution EMM classique sont souvent synonymes de lourdeur pour une petite structure ».

On peut également évoquer le coût élevé des licences EMM, du support ou de la maintenance qui éloignent encore plus les PME de ce type de solutions. Un constat que déplore Antonio Alonso : « tout comme une grande entreprise, une PME possède des données clients confidentielles qu’elle ne peut se permettre de perdre à l’issue d’un piratage sur un terminal ». Lesquels doivent également être gérés et protégés en cas de perte ou de vol. Enfin, une PME a d’autant plus besoin de s’équiper de solutions simples, intuitives, permettant aux collaborateurs de travailler rapidement en toute sécurité, sans effort « et sans perte de temps sur des questions de configuration, de paramétrage mobile par mobile ou encore de mots de passe perdus » souligne Antonio Alonso.

Contourner la complexité des solutions EMM grâce à Android Enterprise Essentials

Pensée et conçue par l’équipe Android de Google, la solution Android Enterprise Essentials part de ces différents constats pour proposer une solution de sécurité mobile abordable, évolutive et adaptée aux besoins des PME. « Au sein d’une seule offre standard, une PME trouvera tout ce dont elle a besoin pour assurer la gestion et la sécurisation de sa flotte mobile » assure Antonio Alonso. « Aucune contrainte en termes d’intégration, chaque utilisateur reçoit très simplement son téléphone prêt à l’emploi. Dès sa mise en fonction, il est automatiquement enrôlé dans la solution et les politiques d’Essentials sont automatiquement appliquées ».

Le service est extrêmement simple à configurer, utiliser et gérer, et ne nécessite aucune formation supplémentaire pour les employés. Via un portail central, les utilisateurs peuvent facilement visualiser l’état de la flotte, gérer les appareils, prendre des mesures immédiates en cas de perte ou de vol de l’un d’entre-eux. La solution offre un ensemble complet de fonctionnalités de sécurité et de gestion basé sur le cadre Android Enterprise, sans complexité technique, et à un tarif adaptable aux besoins et budget des TPE. Un argument important lorsque l’on sait que la moitié des PME disposent d’un budget dédié à la sécurité informatique inférieur à 5000$ et pour environ un tiers inférieur à 1000$, selon une étude Untangle de 2018.

À retenir

Pour en savoir plus sur Android Enterprise Essentials,
rendez-vous sur le stand de Tech Data au salon IT Partners

1/ Inventaire des actifs informatiques

Avoir une liste claire de tous les appareils déployés dans l’entreprise est un premier critère simple mais néanmoins essentiel. Assurez-vous que la solution sur laquelle votre choix se porte offre une parfaite visibilité des actifs via à un portail facile d’accès et intuitif. Au lieu de gérer manuellement vos inventaires sur fichier Excel, la solution doit vous permettre d’automatiser la gestion de votre parc : tout appareil synchronisé est immédiatement en conformité avec la politique définie.

2/ Enrôlement automatique

Dans le prolongement du premier critère, une bonne solution de gestion des appareils mobiles doit produire ses effets dès le déballage du carton et l’activation du mobile par le collaborateur. Les appareils se configurent automatiquement et sont immédiatement utilisables.

3/ Effacement des données à distance

Selon le cabinet d’études Forrester[1], la perte ou le vol de smartphones et ordinateurs portables a concerné 20% des piratages informatiques dans le monde sur l’année écoulée. En cas de perte ou de vol d’un terminal, les données personnelles du collaborateur et de l’entreprise, vous devez être en mesure de les effacer grâce à une procédure simple à mettre en œuvre. Une fonctionnalité essentielle à l’heure où les ransomwares pullulent…

4/ Protection anti-malware et sécurisation des téléchargements

En 2020, 52 % des organisations ont rencontré un incident lié à un malware sur un terminal à mobile, selon un rapport Wandera de 2021[2]. Le phénomène n’épargne pas les PME. Vous devez donc vous interroger sur le niveau de protection contre les malwares offert par la plateforme de gestion mobile. Une solution telle que Android Enterprise Essentials fonctionne en permanence en arrière-plan, scannant et vérifiant plus de 50 milliards d’applications chaque jour. De même, Essentials rend impossible le téléchargement par les employés d’applications en dehors du périmètre sécurisé de Google Play Store.

5/ Applications de politiques de sécurité

Pour une petite entreprise, élaborer une politique de sécurité peut être perçu comme complexe et chronophage : bilan des biens à protéger, identification des risques et stratégies de mitigation, choix des exigences et mesures de sécurité à prendre en fonction du contexte... Une solution de gestion des terminaux adaptée à une petite structure doit permettre de déployer une politique de sécurité par défaut très simplement, en fonction de différents niveaux prédéfinis et applicables automatiquement à l’ensemble de la flotte.

 

6/ Compatibilité de la solution

Assurez-vous également que la solution soit compatible avec vos appareils et leur système d’exploitation mobile. A ce niveau, Android Enterprise Essentials offre l’assurance d’une parfaite compatibilité avec le système d’exploitation mobile de Google puisqu’il a été conçu par l’équipe Android elle-même.   

[1]Forrester, l’état de sécurité et confidentialité des données, 2021

[2] Wandera Cloud Security Report, 2021

En savoir plus sur Android Enterprise Essentials...

Android Enterprise Essentials est un service de gestion simple et sécurisé, conçu pour protéger facilement les terminaux et données professionnels à un prix abordable. Essentials est disponible en tant que service vendu par l’intermédiaire de revendeurs et ne nécessite pas de solution EMM.
En savoir plus

Quelle importance accordez-vous réellement au sujet de la cybersécurité ? Simple précaution ou élément stratégique ?

Selon un sondage Verizon[1], 69% des personnes interrogées ont indiqué qu’elles éviteraient une entreprise ayant subi un piratage informatique, même si celle-ci proposait une affaire plus intéressante que ses concurrents. Ce chiffre est révélateur de l’importance à accorder à la sécurité du SI. Au-delà de la prévention des risques d’attaques pouvant compromettre vos données et celles de vos clients, il est important de considérer la sécurité du SI comme un élément essentiel pour préserver la confiance de vos clients et partenaires.

Vous pensez être moins concerné par les problèmes de sécurité du fait de la taille modeste de votre flotte de terminaux mobiles ?

C’est un fait, chaque terminal mobile professionnel est un lien direct vers les données sensibles de votre entreprise. En 2020, un quart des piratages informatiques a concerné des petites entreprises, selon le rapport DBIR Verizon de 2020. Ces derniers peuvent être dévastateurs pour n’importe quelle organisation, mais malheureusement les petites et moyennes entreprises (PME) sont moins capables d’en absorber les frais élevés. Après avoir subi un piratage, 10% des PME déposent le bilan et 25% font faillite selon l’association pour la cyber-sécurité nationale

Vous considérez vos collaborateurs comme suffisamment responsables pour appliquer les bonnes pratiques de sécurité en mobilité ?

« 40% des travailleurs de l’information déclarent ignorer ou contourner les politiques de sécurité de leurs entreprises car c’est un moyen plus efficace de faire leur travail », rapporte une étude Forrester. Issu de l’étude « Renforcer son pare-feu humain », le chiffre parle de lui-même. Compter sur les employés pour préserver la sécurité nécessaire de leurs téléphones et tablettes est une politique vouée à l’échec.

Vos employés disposent-ils d’un écran de verrouillage sur leurs terminaux ?

Prendre conscience que l’humain est le principal maillon faible de la sécurité informatique amène à se poser d’autres questions. Que se passe-t-il si l’un de vos collaborateurs laisse son terminal sans surveillance et se le fait voler ? Sans parler de négligence, un court instant suffit… S’appuyer sur une solution permettant le verrouillage d’écran obligatoire suffit à régler ce problème. Et dans l’hypothèse où le collaborateur oublie son mot de passe, une bonne solution de gestion des terminaux doit permettre à l’administrateur de le réinitialiser à distance en quelques clics.

Vos collaborateurs ont-ils la liberté de télécharger n’importe quelle application sur leurs smartphones ?

Entre l’excès de confiance et la négligence, la frontière est parfois mince ! En donnant cette liberté à vos collaborateurs, vous laissez une porte ouverte aux malwares qui pourraient être téléchargés via des applications non-vérifiées de sources inconnues ou en cliquant sur des liens de spam. Il faut savoir que la plupart des applications qui contiennent un malware ne sont pas installées depuis le Play Store de Google mais depuis une source externe. Le fait de les limiter au téléchargement sur le Play Store réduit drastiquement les chances de piratage, d’autant que Google déploie de nombreux efforts pour réduire le taux d'applications potentiellement dangereuses (PHA) sur les appareils et sur Google Play. Ces actions sont présentées chaque année dans le « transparency report » de Google.

Disposez-vous de technologies efficaces pour vous protéger tout en gardant une bonne visibilité sur votre parc d’appareils ?

Activé en permanence, un système anti-malware tel que Google Play Protect constitue une barrière efficace. En cas de perte ou de vol d’un terminal, le fait de pouvoir formater – ou « wiper » –  à distance un terminal empêche quiconque de voler vos données sensibles ou de demander une rançon. Les solutions assurant une seconde couche de protection via un chiffrement des données limitent également les risques. Enfin, vous devez pouvoir gérer l’ensemble des terminaux depuis un portail intuitif, auquel vous accèderez rapidement pour agir en cas de perte ou de vol d’un appareil.

Au-delà des technologies de protection des données et de sécurisation des terminaux, adoptez-vous les bons gestes au quotidien ?

Insistons une dernière fois sur le biais humain. Votre attitude au quotidien a de grandes répercussions sur votre niveau de sécurité. Utilisez-vous des mots de passe forts pour vos comptes et l’authentification à deux facteurs ? Sauvegardez-vous régulièrement vos données ? Vos applications et OS sont-ils à jour des derniers patches de sécurité ? Pour terminer, ne négligez pas l’efficacité des actions de sensibilisation auprès de vos collaborateurs. La communication reste un pilier fondamental de toute stratégie de sécurisation mobile. 

[1] Rapport DBIR Verizon 2020