MDM ou MAM : quelle est la différence ?

Si vous cherchez à sécuriser les données d’entreprise sur les appareils de vos collaborateurs, la question « MDM ou MAM ? » se posera très vite. La bonne réponse dépend du propriétaire de l’appareil, de vos exigences en matière de conformité et du niveau de contrôle dont votre entreprise a réellement besoin.

Ce guide explique en détail en quoi la gestion des appareils mobiles (MDM) et la gestion des applications mobiles (MAM) diffèrent, dans quels cas chacune de ces approches est la plus adaptée, et comment les combiner lorsqu’une seule ne suffit pas. Les exemples présentés ici concernent principalement Apple, car c’est sur cette plateforme que la plupart des équipes informatiques des PME et des grandes entreprises concentrent actuellement leurs efforts de gestion.

Qu’est-ce que le MDM et comment fonctionne-t-il ?

La gestion des appareils mobiles (MDM) offre aux administrateurs informatiques un contrôle au niveau du système d’exploitation. Lorsqu’un appareil est inscrit dans un système MDM, la plateforme communique directement avec le système d’exploitation via un protocole de gestion standardisé. Sur les appareils Apple, il s’agit du framework MDM propre à Apple, qui a considérablement évolué avec l’introduction de la gestion déclarative des appareils (DDM) ces dernières années.

Grâce au MDM, vous pouvez :

• Appliquer les politiques de chiffrement FileVault et de code d’accès
• Déployer des configurations Wi-Fi, VPN et de certificats
• Effacer à distance le contenu d’un appareil perdu ou volé
• Restreindre certaines fonctionnalités matérielles (appareil photo, AirDrop, ports USB)
• Déployer et installer en mode silencieux des applications via le programme d’achat en volume
• Consulter l’inventaire des appareils : version du système d’exploitation, numéro de série, applications installées, caractéristiques matérielles
• Imposer des délais pour les mises à jour logicielles

L’inscription est l’étape clé. Sur le matériel Apple appartenant à l’entreprise, l’inscription s’effectue via Apple Business et l’inscription automatisée des appareils (ADE), ce qui signifie que le profil MDM est installé avant même que l’utilisateur ne prenne l’appareil en main. Cette relation persiste même après une réinitialisation d’usine ; ainsi, un appareil effacé s’inscrit automatiquement lors de son premier démarrage.

Pour mieux comprendre le fonctionnement interne de la couche de gestion, découvrez comment fonctionne la gestion des appareils et le contexte plus large de la gestion des appareils Apple.

Le MDM vous offre une visibilité et un contrôle complets. En contrepartie, il nécessite l’inscription des appareils, ce qui soulève des questions de confidentialité pour les employés utilisant leurs appareils personnels.

Qu’est-ce que le MAM et comment fonctionne-t-il ?

La gestion des applications mobiles (MAM) opère au niveau de la couche applicative, et non au niveau du système d’exploitation. Au lieu de gérer l’appareil dans son ensemble, la MAM gère des applications spécifiques et les données qu’elles contiennent.

Les fonctionnalités du MAM comprennent généralement :

• L’application d’un VPN et du chiffrement des données au niveau de chaque application
• Le blocage du copier-coller entre les applications gérées et non gérées
• Empêcher les sauvegardes locales des données des applications d’entreprise
• Effacement à distance des seules données des applications d’entreprise, sans toucher aux données personnelles
• Exiger une authentification au niveau de l’application (code PIN ou données biométriques) distincte du déverrouillage de l’appareil
• Contrôler quelles applications peuvent partager des données entre elles

Sous iOS et iPadOS, la gestion des applications mobiles (MAM) est principalement assurée via les stratégies de protection des applications de Microsoft Intune ou via l’encapsulation d’applications et l’intégration d’un SDK. Une application est soit développée avec la prise en charge du SDK MAM, soit un outil d’encapsulation injecte la couche d’application des stratégies dans le binaire d’une application existante. Dans les deux cas, la stratégie s’applique à l’application, et non à l’appareil.

L’avantage majeur pour les scénarios BYOD : le MAM ne nécessite aucun enregistrement de l’appareil. Un employé installe une application gérée telle qu’Outlook ou Teams, s’authentifie avec son identité d’entreprise, et les politiques MAM s’appliquent automatiquement. Le service informatique contrôle les données d’entreprise. L’appareil reste entièrement privé.

MDM vs MAM : comparaison directe

Voici comment ces deux approches se comparent sur les aspects les plus importants pour les équipes informatiques et de sécurité :

Quand utiliser le MDM : appareils appartenant à l’entreprise

Le MDM est la solution idéale lorsque votre entreprise est propriétaire du matériel. Cela concerne :

Les parcs d’appareils d’entreprise entièrement gérés. Tout iPhone, iPad ou Mac fourni par le service informatique doit être enregistré dans le système MDM. La preuve de conformité suffit à elle seule à justifier cette mesure. Vous pouvez ainsi démontrer aux auditeurs que les appareils sont chiffrés, mis à jour et qu’ils n’exécutent que des logiciels approuvés.

Les secteurs réglementés. Les établissements de santé soumis à la norme HIPAA, les sociétés de services financiers soumises à la norme SOC 2 et les prestataires du secteur public devant se conformer à la norme NIST 800-171 ont besoin des preuves au niveau des appareils fournies par le MDM. Une solution MDM qui applique les configurations du CIS Benchmark et génère des rapports de conformité réduit considérablement votre charge de travail liée aux audits.

Appareils partagés ou en libre-service. Un iPad utilisé en magasin et exécutant une seule application en mode « Accès guidé », ou un iPad partagé dans un établissement de santé, nécessite une solution MDM pour verrouiller le système d’exploitation, gérer la session utilisateur et mettre à jour les applications en arrière-plan pendant la nuit.

Déploiement « zéro intervention » à grande échelle. Lorsque vous provisionnez 500 MacBook pour un nouveau bureau, la combinaison du MDM et de l’ADE garantit que chaque appareil arrive préconfiguré. L’employé n’a qu’à l’allumer, se connecter avec son compte Apple géré et dispose d’un appareil entièrement configuré sans que le service informatique n’ait à intervenir. Ceci est particulièrement important à mesure que les équipes s’agrandissent.

Quand utiliser le MAM : environnements BYOD et axés sur la confidentialité

Le MAM est particulièrement adapté lorsque la propriété des appareils ou la confidentialité des employés est une priorité :

Programmes BYOD. Si les employés utilisent leurs iPhone personnels pour consulter leurs e-mails professionnels ou accéder à Salesforce, l’inscription de ces appareils à un système MDM complet engendre des tensions juridiques et culturelles. Le service informatique pourrait théoriquement accéder à des données personnelles, imposer des règles de code d’accès sur un appareil personnel ou effacer accidentellement des photos personnelles lors d’un effacement à distance. Le MAM permet d’éviter tout cela. Les données d’entreprise contenues dans les applications gérées sont protégées ; tout le reste est invisible pour le service informatique.

Accès des prestataires et des intérimaires. Les prestataires acceptent rarement l’inscription à une solution MDM sur leurs appareils personnels. Le MAM vous permet d’étendre l’accès à Microsoft 365 ou à vos outils internes sans exiger d’inscription, tout en continuant à appliquer les politiques de protection des données.

Organisations disposant de ressources informatiques limitées. Le MAM est moins contraignant sur le plan opérationnel qu’un MDM complet. Si vous ne disposez pas des ressources nécessaires pour gérer l’ensemble du cycle de vie d’une inscription, le MAM, appliqué à un ensemble défini d’applications critiques, peut vous offrir une protection des données efficace avec moins de charges administratives.

Enseignement et scénarios d’utilisation mixte. Les étudiants ou les enseignants utilisant leurs appareils personnels pour accéder à des plateformes académiques bénéficient de l’approche allégée du MAM. Les données institutionnelles sont protégées sans surveillance de l’activité personnelle.

La particularité propre à Apple : l’inscription des utilisateurs

Apple a introduit l’« User Enrollment » (inscription par l’utilisateur) comme une voie intermédiaire que la plupart des comparaisons entre MDM et MAM ignorent. Cela vaut la peine de s’y intéresser.

L’« User Enrollment » est un mode d’inscription MDM spécialement conçu pour le BYOD. Il nécessite un compte Apple géré (fournit via Apple Business) et établit une séparation cryptographique entre les données personnelles et professionnelles sur l’appareil. Le serveur MDM ne peut voir et gérer que les données professionnelles. Il ne peut pas accéder aux applications personnelles, aux comptes personnels ni au numéro de série de l’appareil.

Les fonctionnalités disponibles dans le cadre de l’« User Enrollment » sont intentionnellement limitées par rapport à l’inscription complète de l’appareil :

• Le service informatique peut gérer les comptes professionnels, les applications professionnelles et les données professionnelles
• Le service informatique ne peut pas voir les applications personnelles ni appliquer de politiques à l’échelle de l’appareil
• Un effacement sélectif supprime les données professionnelles sans toucher au contenu personnel

Cela fait de l’« Inscription d’utilisateur » une option très intéressante pour les entreprises privilégiant Apple qui souhaitent une gestion de type MDM avec des limites de confidentialité de type MAM. Si vos collaborateurs utilisent des iPhone et que vous mettez en œuvre un programme BYOD, l’« Inscription d’utilisateur » est souvent plus adaptée qu’une solution MAM pure via un SDK tiers.

Combiner MDM et MAM : quand les deux sont nécessaires

Pour de nombreuses entreprises, la véritable réponse au dilemme MDM/MAM réside dans la combinaison des deux. Voici comment cela se traduit concrètement.

Prenons l’exemple d’une société de services financiers comptant 600 employés. Son parc s’articule ainsi :

• 400 MacBook et iPhone fournis par l’entreprise : entièrement enregistrés dans le MDM, configurations CIS Benchmark appliquées, certificats déployés, FileVault et DNS chiffré activés
• 200 employés utilisant des iPhone personnels pour Microsoft Teams et Outlook : politiques MAM appliquées via Intune App Protection, bloquant l’exportation de données vers des applications personnelles, exigeant une authentification biométrique pour ouvrir les applications d’entreprise

La couche MDM gère les preuves de conformité, l’application des correctifs et l’accès réseau « zero-trust » pour le matériel d’entreprise. La couche MAM étend la protection des données aux appareils personnels sans créer le risque juridique lié à un enregistrement complet de l’appareil. Aucune de ces deux approches ne suffirait à elle seule à couvrir ces deux catégories d’utilisateurs.

Dans les architectures «zero-trust» en particulier, cette combinaison devient de plus en plus courante. Les appareils d’entreprise font l’objet d’un enregistrement MDM complet dans le cadre de la vérification de la fiabilité des appareils. Les appareils personnels nécessitant un accès aux applications bénéficient de politiques MAM ainsi que de contrôles d’accès conditionnels qui limitent ce à quoi ces applications peuvent accéder en fonction de leur état de conformité.

Les cadres de conformité et ce qu’ils exigent réellement

Une idée fausse courante consiste à croire que les cadres de conformité imposent le MDM. Ce n’est pas le cas, en particulier. Ce qu’ils exigent, c’est une protection des données démontrable, et la voie pour y parvenir diffère selon le cadre.

HIPAA : exige le chiffrement des données ePHI au repos et en transit, des contrôles d’accès et la journalisation des audits. La gestion des appareils mobiles (MDM) fournit des preuves de chiffrement et une fonctionnalité d’effacement à distance. La gestion des applications mobiles (MAM) peut imposer le chiffrement au sein d’applications spécifiques. Les deux solutions peuvent satisfaire aux exigences en matière de mesures de sécurité techniques, mais la MDM offre des preuves plus solides et un contrôle plus étendu.

NIST 800-53 / 800-171 : La gestion des appareils mobiles est explicitement mentionnée dans les contrôles du NIST relatifs à la gestion de la configuration et à la protection des systèmes. Une inscription complète au MDM avec des configurations de référence imposées (comme les benchmarks CIS pour iOS ou macOS) constitue la voie la plus sûre pour démontrer la conformité.

SOC 2 Type II : les auditeurs veulent s’assurer que l’accès est contrôlé, que les données sont chiffrées et que les appareils sont gérés. Une solution MDM associée à des politiques documentées répond généralement à ces exigences. Le MAM seul peut laisser des lacunes dans le dossier de preuves, notamment en ce qui concerne l’état de sécurité des appareils.

Dans la plupart des environnements réglementés, la gestion des appareils mobiles (MDM) sur les appareils d’entreprise constitue la norme de base. La gestion des applications mobiles (MAM) comble les lacunes liées au BYOD lorsque l’inscription complète n’est pas envisageable.

L’approche d’Iru en matière de MDM et de sécurité des applications

Iru est conçu exclusivement pour Apple. Cette spécialisation est déterminante lorsque vous évaluez les options MDM par rapport aux options MAM, car le cadre de gestion d’Apple dispose de sa propre architecture, de ses propres modes d’inscription et de ses propres fonctionnalités que les plateformes multiplateformes génériques ne mettent souvent en œuvre que partiellement ou avec un certain retard.

Iru prend en charge l’intégralité du protocole MDM d’Apple, y compris la gestion déclarative des appareils (Declarative Device Management), qui fait évoluer le modèle de gestion d’une architecture de vérification basée sur l’interrogation vers un système de gestion d’état piloté par les appareils. Concrètement, cela se traduit par une application plus rapide des politiques et une meilleure gestion des états de configuration complexes sur les appareils qui ne sont pas toujours connectés.

Pour les parcs d’appareils Apple appartenant à l’entreprise, l’architecture « Blueprint » d’Iru permet aux équipes informatiques de définir une configuration complète des appareils sous la forme d’un ensemble structuré de profils, de politiques et d’attributions d’applications. Tout appareil affecté à ce « Blueprint » évalue en permanence son propre état de conformité et procède à une correction automatique lorsque cela est possible, sans attendre un cycle de vérification MDM. Cela permet de combler les lacunes qui apparaissent lors des audits lorsqu’un appareil est resté hors ligne pendant une période prolongée.

Iru intègre également des fonctionnalités de sécurité des terminaux au sein de la même plateforme. Pour les équipes de sécurité qui évaluent les solutions MDM, MAM ou une approche combinée, le fait de disposer de l’application des configurations MDM et de la détection des menaces au sein d’un seul agent et d’une seule console élimine un casse-tête majeur en matière d’intégration.

Pour les organisations qui ont besoin de politiques MAM tierces (par exemple, les politiques de protection des applications Intune sur iOS), celles-ci fonctionnent indépendamment de l’inscription MDM et peuvent coexister avec l’inscription MDM d’Iru sur le même parc d’appareils.

Vous pouvez consulter les bonnes pratiques en matière de gestion des appareils ainsi que les articles sur la gestion et la sécurité des appareils pour obtenir davantage d’informations sur la mise en place d’un environnement Apple axé sur la sécurité.

Choisir entre MDM, MAM ou les deux pour votre parc Apple

Commencez par déterminer la propriété des appareils, puis intégrez vos exigences de conformité et les réalités de votre personnel.

Utilisez le MDM si :

• Votre organisation est propriétaire des appareils
• Vous évoluez dans un secteur réglementé (santé, finance, administration)
• Vous avez besoin de l’application des correctifs, de preuves de chiffrement ou d’un effacement à distance au niveau de l’appareil
• Vous effectuez un déploiement à grande échelle et avez besoin d’un provisionnement sans intervention

Utilisez le MAM si :

• Les employés utilisent leurs appareils personnels pour les applications d’entreprise
• Votre personnel n'accepte pas l'inscription complète des appareils
• Vous devez étendre une protection limitée des données aux prestataires ou au personnel à temps partiel
• Vous souhaitez protéger les données dans quelques applications spécifiques sans avoir à gérer l'ensemble des appareils

Utilisez les deux si :

• Vous disposez d’un parc mixte d’appareils d’entreprise et personnels
• Votre architecture de sécurité nécessite une vérification de la fiabilité des appareils pour certains groupes et des contrôles au niveau des applications pour d’autres
• Vous vous orientez vers un modèle d’accès réseau « zero-trust »

Pour les scénarios BYOD spécifiques à Apple, évaluez la solution « User Enrollment » avant de vous tourner par défaut vers une solution MAM tierce. Elle vous offre une séparation efficace des données grâce à la prise en charge native du système d’exploitation et évite de devoir recourir à l’intégration d’un SDK pour chaque application.

Si vous gérez un parc Apple d’entreprise et que vous n’avez pas encore évalué une plateforme MDM Apple spécialement conçue à cet effet, cela vaut la peine de découvrir ce qu’Iru peut vous apporter. La combinaison d’une solution MDM native, d’une sécurité des terminaux et d’une conformité basée sur des « Blueprints » au sein d’une seule et même plateforme élimine un niveau de complexité que les outils multiplateformes ne parviennent généralement pas à égaler. Demandez une démonstration pour découvrir comment Iru gère la configuration spécifique de votre parc.