Modèle de politique de sécurité des endpoints à appliquer

Une politique de sécurité des postes de travail répond à une question simple : quelles règles s'appliquent aux appareils qui accèdent à vos données ? Trop souvent, ce document existe mais reste théorique, déconnecté de la configuration réelle. Une bonne politique est courte, claire, et surtout applicable techniquement. Voici un modèle de structure, section par section, et la manière de le concrétiser dans Intune pour qu'il ne reste pas lettre morte.

Les sections d'une politique utile

Une politique efficace tient sur quelques pages et couvre les domaines suivants, chacun formulé de manière à pouvoir être vérifié.

• Périmètre : quels appareils et utilisateurs sont concernés (professionnels, personnels, invités).
• Chiffrement : chiffrement du disque obligatoire, avec séquestre des clés.
• Protection : antivirus actif, protection en temps réel, pare-feu.
• Mises à jour : délais maximaux d'application des correctifs de sécurité.
• Accès et authentification : verrouillage automatique, code robuste, MFA.
• Conformité : critères qu'un appareil doit remplir pour accéder aux ressources.
• Exceptions : processus de dérogation, avec justification et durée.

Définir le périmètre avant tout

La section la plus négligée est souvent la première : le périmètre. Une politique qui ne dit pas clairement si elle couvre les appareils personnels (BYOD) ou seulement les postes professionnels crée des zones grises exploitables. Précisez donc les catégories d'appareils, les cas des invités et des sous-traitants, et le traitement réservé au BYOD. Ce cadrage conditionne toutes les règles techniques qui suivent.

Écrire pour être appliqué

Une politique n'a de valeur que si elle est vérifiable. Évitez les formulations vagues comme « les appareils doivent être sécurisés ». Préférez des critères mesurables : « le disque est chiffré », « l'OS reçoit les correctifs de sécurité dans un délai défini », « le verrouillage automatique s'active après une période d'inactivité ». Chaque phrase doit pouvoir se traduire en un réglage technique et en un contrôle de conformité.

De la politique à l'application technique

Le point faible habituel est le fossé entre le document et la réalité. Une politique qui exige le chiffrement mais n'est pas imposée par une politique Intune ne protège personne. L'application passe par trois étapes : configurer, assigner, vérifier.

1. 1Configurez les politiques Intune correspondant à chaque règle.
2. 2Assignez-les aux bons groupes, en gérant les exceptions documentées.
3. 3Définissez des critères de conformité et l'action en cas de non-conformité.
4. 4Contrôlez régulièrement le taux de conformité réel du parc.

Un exemple concret : la règle de chiffrement

Prenons la règle « le disque est chiffré ». Côté application, vous créez une politique Intune imposant BitLocker sur Windows, vous l'assignez aux groupes d'appareils professionnels, vous activez le séquestre des clés de récupération, puis vous définissez un critère de conformité qui marque non conforme tout appareil non chiffré. En cas de non-conformité, l'Accès conditionnel peut bloquer l'accès aux ressources. La règle écrite devient ainsi une contrainte vérifiée en continu, pas une simple intention.

Maintenir la politique vivante

Une politique n'est pas gravée dans le marbre. Les menaces évoluent, les systèmes changent, de nouveaux usages apparaissent. Prévoyez une revue périodique, au moins annuelle, pour vérifier que chaque règle reste pertinente et réellement appliquée. Une politique jamais relue finit toujours par diverger de la réalité technique.

• Fixez une fréquence de revue et un responsable clairement identifié.
• Vérifiez que les réglages Intune reflètent toujours le texte de la politique.
• Ajustez les critères de conformité en fonction des nouvelles menaces.
• Conservez l'historique des versions comme preuve de gouvernance.

Les erreurs classiques à éviter

• Rédiger une politique de vingt pages que personne ne lira, au lieu d'un document court et applicable.
• Employer des formulations vagues impossibles à traduire en réglage technique.
• Écrire la règle sans jamais la configurer dans Intune, laissant un fossé entre le texte et la réalité.
• Oublier de définir l'action en cas de non-conformité, ce qui rend le critère inopérant.
• Ne jamais relire la politique, jusqu'à ce qu'elle ne corresponde plus à rien.

Distinguer configuration et conformité

Une confusion fréquente consiste à croire qu'une politique Intune créée équivaut à une politique appliquée. Or créer une politique ne suffit pas : encore faut-il l'assigner aux bons groupes, définir un critère de conformité, et vérifier le résultat sur le parc. La configuration décrit ce que vous demandez ; la conformité mesure ce qui est réellement en place. C'est cet écart que les audits et les incidents révèlent, souvent au plus mauvais moment.

• Configuration : la politique existe et décrit la règle attendue.
• Assignation : la politique cible bien les appareils concernés.
• Conformité : les appareils respectent effectivement la règle.
• Action : que se passe-t-il pour un appareil non conforme ?

Relier la politique aux référentiels

Chaque règle de votre politique répond souvent à une exigence d'un ou plusieurs référentiels. Relier explicitement les deux facilite les audits et évite de dupliquer les efforts. Une même règle de chiffrement, par exemple, alimente à la fois votre politique interne, un contrôle ISO 27001 et une attente du RGPD. Documenter ces liens transforme votre politique en pièce maîtresse de votre conformité.

Un extrait de politique prêt à adapter

Pour rendre le modèle tangible, voici la formulation possible d'une règle de chiffrement, telle qu'elle pourrait figurer dans votre document. L'objectif est de montrer le niveau de précision attendu, ni trop vague, ni noyé dans le détail technique.

Tout poste professionnel accédant aux données de l'entreprise doit disposer d'un disque intégralement chiffré, avec séquestre centralisé des clés de récupération ; un appareil non chiffré est déclaré non conforme et son accès aux ressources est restreint.

Cette formulation coche toutes les cases : elle précise le périmètre, la mesure, le contrôle et la conséquence. Chacun de ces éléments se traduit directement en réglage Intune et en critère de conformité, sans zone d'interprétation laissée au lecteur.

1. 1Périmètre : postes professionnels accédant aux données de l'entreprise.
2. 2Mesure : chiffrement intégral du disque.
3. 3Contrôle : séquestre centralisé des clés de récupération.
4. 4Conséquence : non-conformité et restriction d'accès aux ressources.

Comment AuPoint vous aide

AuPoint fait le pont entre la politique écrite et son application : vous déployez les protections correspondant à votre modèle en quelques clics, sans PowerShell, avec un aperçu de l'impact avant activation. La plateforme génère ensuite un rapport de conformité daté et un score de couverture par référentiel (ISO 27001, NIS2, RGPD), exportable, qui prouve que votre politique n'est pas restée sur le papier mais s'applique réellement sur vos appareils.

Questions fréquentes

Quelle longueur pour une politique de sécurité des endpoints ?

Quelques pages suffisent. Une politique courte, centrée sur des règles vérifiables, sera lue et appliquée. Un document trop long dilue les règles importantes et finit ignoré. Mieux vaut un texte concis, tenu à jour, qu'un pavé exhaustif jamais relu.

Comment gérer les appareils personnels (BYOD) ?

En les traitant explicitement dans la section périmètre, avec des règles adaptées et des critères de conformité spécifiques. L'important est de décider consciemment : soit vous les encadrez, soit vous en restreignez l'accès aux ressources sensibles, mais jamais de les laisser dans une zone grise.

À quelle fréquence revoir la politique ?

Au moins une fois par an, et à chaque changement majeur (nouvelle menace, nouveau système, évolution réglementaire). Conservez l'historique des versions : il constitue une preuve de gouvernance appréciée lors d'un audit.

Faut-il une politique distincte par système d'exploitation ?

Pas nécessairement pour le document de politique, qui exprime des règles indépendantes de la technique. En revanche, l'application dans Intune se décline par système : BitLocker pour Windows, FileVault pour macOS, avec des critères de conformité adaptés à chacun.

Comment articuler la politique avec la charte informatique ?

La charte informatique fixe les règles d'usage pour les utilisateurs, tandis que la politique de sécurité des endpoints définit les exigences techniques sur les appareils. Les deux se complètent : renvoyez de l'une à l'autre pour éviter les doublons et les contradictions.

Une politique de sécurité des endpoints ne vaut que par son application réelle. Avec AuPoint, vous déployez les protections correspondant à votre modèle en quelques clics, avec un aperçu d'impact, puis vous générez un rapport de conformité daté et exportable en PDF, avec un score de couverture par référentiel. Vous prouvez ainsi que votre politique s'applique réellement sur vos appareils, et pas seulement dans un document.