MDM vs MAM : la différence et quand utiliser chacun

Dans Intune, deux approches coexistent : le MDM (Mobile Device Management) et le MAM (Mobile Application Management). On les confond souvent, mais ils protègent des choses différentes et répondent à des situations différentes. Bien les distinguer évite d'imposer trop de contrôle là où il n'est pas voulu, ou trop peu là où il le faudrait, et conditionne l'acceptation par vos utilisateurs. Ce choix touche autant à la technique qu'à la vie privée : il détermine ce que l'employeur voit du téléphone d'un salarié, et donc la confiance qui entoure tout le déploiement.

MDM : gérer l'appareil entier

Le MDM inscrit l'appareil complet sous gestion. L'organisation contrôle l'ensemble du terminal, pas seulement les applications professionnelles, ce qui offre le niveau de maîtrise le plus élevé.

• Chiffrement, code de verrouillage et conformité imposés au niveau de l'appareil.
• Déploiement d'applications et de configurations sur tout le terminal.
• Effacement à distance possible de l'appareil entier en cas de perte ou de vol.
• Idéal pour les appareils fournis par l'entreprise (corporate-owned).

MAM : protéger seulement les données d'entreprise

Le MAM applique des politiques au niveau des applications, sans prendre le contrôle de l'appareil. Les données professionnelles sont protégées à l'intérieur des applications gérées, tandis que la partie personnelle reste privée et hors de portée de l'employeur.

• Chiffrement des données d'entreprise dans les applications gérées (Outlook, Teams, etc.).
• Blocage du copier-coller vers des applications non gérées et de l'enregistrement local.
• Effacement sélectif des seules données d'entreprise, sans toucher aux données personnelles.
• Idéal pour le BYOD, quand le salarié utilise son propre téléphone.

Comparer les deux approches

Un tableau mental critère par critère aide à choisir sans se tromper de niveau de contrôle.

• Niveau de contrôle : total avec le MDM, limité aux données d'entreprise avec le MAM.
• Respect de la vie privée : faible sur un appareil personnel en MDM, préservé en MAM.
• Effacement : l'appareil entier en MDM, les seules données pro en MAM.
• Propriété idéale : appareil de l'entreprise pour le MDM, appareil personnel pour le MAM.
• Acceptation par l'utilisateur : souvent difficile pour le MDM sur mobile personnel, bonne pour le MAM.

Quand utiliser chacun

Le choix dépend surtout de la propriété de l'appareil et de l'acceptabilité pour l'utilisateur. Un même parc combine souvent les deux selon les profils, et c'est parfaitement sain.

• Appareil de l'entreprise : le MDM est légitime et offre le contrôle le plus complet.
• Appareil personnel (BYOD) : le MAM respecte la vie privée tout en protégeant les données pro.
• Les deux peuvent se combiner : MDM sur les postes Windows fournis, MAM sur les mobiles personnels.
• Sur un appareil personnel, imposer le MDM se heurte souvent au refus des salariés ; le MAM est mieux accepté.

Sur un téléphone personnel, le MAM protège l'entreprise sans transformer l'employeur en propriétaire de l'appareil de son salarié.

Un exemple concret de parc mixte

Prenez une PME de 40 salariés avec des ordinateurs portables fournis par l'entreprise et des téléphones personnels utilisés pour les e-mails. Le bon réflexe n'est pas de choisir une seule approche, mais d'appliquer chacune là où elle est légitime.

• Les ordinateurs portables de l'entreprise passent en MDM : chiffrement, conformité et configuration complète, car l'entreprise en est propriétaire.
• Les téléphones personnels passent en MAM : Outlook et Teams sont encadrés, le reste du téléphone reste privé.
• Un départ de salarié déclenche un effacement sélectif sur son téléphone et une réinitialisation complète sur l'ordinateur rendu.
• Les salariés acceptent le dispositif parce que la frontière entre pro et personnel est claire et expliquée.

Résultat : les données de l'entreprise sont protégées partout, sans que l'employeur ne s'immisce dans la vie privée des salariés. Ce découpage, un régime par type de propriété, est la configuration la plus courante et la plus saine dans les PME.

Les pièges courants à éviter

Mal appliquées, ces deux approches créent autant de problèmes qu'elles en résolvent. Gardez ces points en tête avant de déployer, car la plupart des échecs viennent d'un mauvais alignement entre la propriété de l'appareil et le niveau de contrôle imposé.

• Imposer le MDM sur des appareils personnels sans consentement clair.
• Oublier le compte bris-de-glace lors des politiques d'accès.
• Croire que le MAM protège l'appareil : il ne protège que les données d'entreprise.
• Négliger l'information des salariés sur ce qui est visible ou non.
• Mélanger MDM et MAM sur le même appareil sans comprendre leur interaction.

Combiner MAM et Accès conditionnel

Le MAM prend toute sa puissance lorsqu'il est associé à l'Accès conditionnel d'Entra ID. Une politique de protection des applications protège les données à l'intérieur des applications gérées ; l'Accès conditionnel décide, en amont, qui a le droit d'y accéder et depuis quelle application. Ensemble, ils forment une barrière cohérente : sur un appareil personnel non inscrit, vous pouvez exiger que l'accès aux e-mails professionnels ne soit possible que depuis une application gérée, protégée par un code et un chiffrement.

C'est cette combinaison qui rend le BYOD réellement sûr sans imposer le MDM. L'employeur n'a pas besoin de voir le téléphone : il lui suffit de conditionner l'accès à ses données à l'usage d'applications protégées. Un salarié qui tenterait d'ouvrir sa messagerie professionnelle dans une application non gérée se verrait simplement refuser l'accès, sans que rien de personnel ne soit exposé ni contrôlé.

• L'Accès conditionnel décide qui accède aux données ; le MAM protège ces données dans l'application.
• Sur un appareil personnel, exigez l'usage d'une application gérée pour accéder aux e-mails professionnels.
• N'oubliez jamais d'exclure le compte bris-de-glace des politiques d'accès.
• Cette combinaison sécurise le BYOD sans jamais inscrire l'appareil sous MDM.

Questions fréquentes

Peut-on faire du MAM sans MDM ?

Oui, c'est même l'un des grands intérêts du MAM. Les politiques de protection des applications s'appliquent aux applications gérées sans que l'appareil soit inscrit sous gestion. C'est la solution privilégiée pour le BYOD : le salarié garde son téléphone privé, l'entreprise protège seulement ses données dans Outlook, Teams et les autres applications professionnelles.

L'employeur peut-il lire les données personnelles en MAM ?

Non. Le MAM n'agit qu'à l'intérieur des applications gérées et ne donne aucune visibilité sur les photos, messages ou applications personnelles. L'effacement se limite aux données d'entreprise. C'est précisément ce qui le rend acceptable sur un appareil personnel, à condition de bien l'expliquer aux salariés.

Que se passe-t-il quand un salarié quitte l'entreprise ?

En MAM, vous déclenchez un effacement sélectif qui retire les seules données d'entreprise de son appareil personnel, sans toucher au reste. En MDM sur un appareil de l'entreprise, vous pouvez effacer et réinitialiser l'appareil entier avant de le réattribuer. Le bon régime dépend, là encore, de la propriété de l'appareil.

Choisir entre MDM et MAM, puis configurer les politiques correspondantes dans Intune, reste déroutant tant les options sont nombreuses. AuPoint clarifie ce choix : il explique en langage simple ce que chaque approche protège, détecte par tenant les politiques déjà en place et vous aide à déployer la bonne combinaison — MDM pour les appareils de l'entreprise, MAM pour le BYOD — sans PowerShell ni secret Microsoft stocké. Vous protégez les données professionnelles sans sur-gérer les appareils personnels, ni sous-protéger le reste. Commencez par cartographier ce qui est déjà appliqué sur votre parc : le bon régime devient alors évident.