Webinaires

Webinar Qwerio • 22 janvier 2026 • Microsoft 365 / Sécurité

Le BYOD, ou Bring Your Own Device, consiste à utiliser un appareil personnel pour travailler. Pour protéger les données de l’entreprise, Microsoft Intune permet d’appliquer des règles aux applications compatibles sans nécessairement administrer tout l’appareil.

Un employé consulte Outlook sur son smartphone. Un autre rejoint Teams depuis sa tablette. Ces usages facilitent le quotidien, mais exposent aussi les informations professionnelles à un risque de partage involontaire, de perte ou de vol.

Comment renforcer la sécurité sans prendre le contrôle de chaque appareil ? Ce webinar présente une approche centrée sur les données, les applis et les conditions de connexion à Microsoft 365.

Pour préparer votre démarche, consultez notre checklist BYOD Microsoft 365.

Ce que vous allez apprendre dans ce webinar

• Protéger les données professionnelles sur un appareil perso.
• Définir les règles qu’un employé doit respecter pour utiliser Microsoft 365.
• Réduire le risque de transfert vers un espace personnel.
• Adapter la sécurité au contexte de chaque utilisateur.
• Choisir entre sécurisation des applications et gestion de l’appareil.

Sécurité BYOD : protéger les données avant de gérer le terminal

Une démarche BYOD commence par une question : quelles données votre entreprise doit-elle protéger, sur quel appareil et pour quel usage ?

Les équipements non administrés constituent un point de vigilance majeur. Selon le Microsoft Digital Defense Report 2024, dans plus de 90 % des attaques ayant atteint le stade de la demande de rançon, les attaquants avaient exploité des appareils non administrés pour pénétrer dans le réseau ou chiffrer des ressources à distance. Ce constat concerne les équipements non administrés au sens large, pas uniquement les appareils personnels.

Le MAM, pour Mobile Application Management, cible les applis et leur contenu professionnel. Sur les plateformes prises en charge, un employé peut ainsi utiliser un appareil non inscrit dans une solution MDM tout en respectant des règles de sécurité.

Cette approche convient, par exemple, à un utilisateur qui consulte sa messagerie pro sur son téléphone perso. Elle ne transforme pas pour autant toutes les applis de l’appareil en espaces protégés : leur compatibilité doit être vérifiée.

Microsoft décrit ce fonctionnement dans sa présentation des stratégies de protection des applications.

Pour l’équipe informatique, l’objectif est de définir un périmètre clair : ce que l’entreprise protège, ce que l’employé peut faire et ce qui relève de sa vie privée.

Comment protéger les données professionnelles sur un appareil personnel ?

Les stratégies Intune permettent notamment de demander un code PIN, de chiffrer le contenu professionnel et de restreindre sa circulation entre applis compatibles. Les réglages disponibles dépendent de la plateforme et du scénario retenu.

Par exemple, un employé peut utiliser Outlook pour lire une pièce jointe, tout en étant empêché de copier son contenu vers une app personnelle. La sécurité repose ici sur des règles applicatives, sans imposer une administration complète de l’appareil.

Passer de la politique aux premiers tests

1. Recenser les usages.Identifier chaque type d’appareil, les applis nécessaires et les risques associés aux données traitées.
2. Vérifier les prérequis.Confirmer les licences, les plateformes compatibles et les groupes concernés avec le service informatique.
3. Configurer les stratégies.Définir les restrictions de transfert, le code PIN, le chiffrement et les critères de lancement selon les besoins de sécurité.
4. Tester avec un groupe pilote.Vérifier qu’un utilisateur peut utiliser les outils nécessaires et que les transferts interdits sont effectivement bloqués.
5. Préparer le déploiement. Expliquer les règles à chaque employé, documenter le support et tester le retrait des informations professionnelles.

Cette démarche s’appuie sur la documentation Microsoft de création et d’affectation des stratégies Intune. Notre checklist de sécurisation des données sur les appareils personnels vous aide à organiser ces vérifications.

Contrôle des accès : imposer les bonnes conditions de connexion

La sécurité applicative doit s’accompagner de règles de connexion cohérentes. Microsoft Entra permet notamment d’exiger une authentification multifacteur et, dans les scénarios compatibles, une stratégie de protection des applis avant d’autoriser l’accès aux ressources ciblées.

Les identités constituent une cible majeure. Selon le Microsoft Digital Defense Report 2025, plus de 97 % des attaques visant les identités sont des attaques contre les mots de passe. Microsoft indique également une hausse de 32 % des attaques visant les identités au premier semestre 2025. Ces observations dépassent le seul BYOD, mais soulignent l’importance de sécuriser l’accès à Microsoft 365 depuis les terminaux personnels.

L’authentification multifacteur constitue une mesure de sécurité essentielle. Une étude publiée par Microsoft Research en 2023 mesure une réduction de 99,22 % du risque de compromission pour les comptes utilisant la MFA dans la population étudiée. Ce résultat concerne la sécurisation des comptes : il complète les stratégies Intune, sans remplacer les mesures destinées à préserver la confidentialité des données dans les applis.

Un appareil non inscrit en MDM peut néanmoins devoir être enregistré dans Microsoft Entra ID. Sur mobile, le mécanisme peut nécessiter une app intermédiaire d’authentification. L’absence d’inscription MDM ne signifie donc pas l’absence de prérequis.

Les critères de lancement Intune complètent cette sécurité : selon la plateforme, ils peuvent déclencher un blocage lorsqu’un appareil est rooté ou jailbreaké, ou lorsque sa version système ne respecte pas les exigences définies.

L’entreprise doit tester ces règles avant leur généralisation pour éviter d’interrompre les usages légitimes. Microsoft détaille les conditions d’attribution dans Entra et les actions de lancement conditionnel dans Intune.

MAM ou MDM : quel niveau de gestion choisir ?

Le choix dépend du besoin de sécurité, du type d’appareil et du niveau d’administration nécessaire. MAM et MDM peuvent aussi se compléter.

Quels scénarios privilégier pour le MAM et le MDM ?

Le MAM convient à un usage professionnel ciblé sur un appareil personnel compatible.

Un employé peut, par exemple, utiliser Outlook ou Teams avec des restrictions sur les transferts d’informations, sans inscription complète du terminal en MDM.

Le MDM répond à un besoin d’administration plus étendu.

Il est pertinent lorsque l’entreprise doit déployer des paramètres, suivre la conformité de l’appareil ou administrer un équipement fourni aux collaborateurs. Le périmètre dépend de la plateforme et du mode d’inscription.

Les deux approches peuvent se compléter.

Sur un terminal inscrit en MDM, les stratégies MAM ajoutent des règles de sécurité spécifiques aux applications compatibles. Source : documentation officielle Microsoft Intune.

À retenir

La sécurité BYOD repose sur des mesures adaptées aux usages : sécuriser les données de l’entreprise, maîtriser leur circulation et appliquer des conditions de connexion cohérentes.

Gérer chaque appareil n’est pas systématiquement nécessaire. En revanche, il faut valider les compatibilités, informer les collaborateurs et vérifier les règles en conditions réelles. Le bon dispositif permet de travailler tout en réduisant le risque d’exposition des informations sensibles.

FAQ

Peut-on protéger Microsoft 365 sans inscrire le téléphone personnel en MDM ?

Oui, pour les applis et plateformes compatibles. Intune permet de protéger le contenu professionnel sans gérer tout le téléphone. Chaque utilisateur doit toutefois disposer des prérequis nécessaires ; un enregistrement Entra peut rester requis. Sources : protection applicative Intune et exigences Entra

Peut-on empêcher le copier-coller vers une application personnelle ?

Oui, dans les scénarios pris en charge. Les stratégies peuvent restreindre le transfert du contenu professionnel entre applis. Il faut tester le comportement attendu sur chaque plateforme. Source : fonctionnement des stratégies Intune

Que se passe-t-il lorsqu’un téléphone est rooté ou jailbreaké ?

Une stratégie de lancement conditionnel peut bloquer l’accès au contenu professionnel lorsque cette situation est détectée sur une plateforme compatible. Le résultat dépend des paramètres configurés et des signaux disponibles. Source : actions de lancement conditionnel Intune

Peut-on retirer les informations professionnelles sans effacer les photos personnelles ?

Oui. L’effacement sélectif vise le contenu de l’organisation dans les applis protégées. Il ne correspond pas à une réinitialisation complète du téléphone ; son exécution dépend notamment de la communication de l’application avec le service Intune. Source : effacement sélectif des informations professionnelles

Pour aller plus loin

Retrouvez les points à vérifier dans notre checklist BYOD pour les appareils personnels