Le smartphone est devenu l’outil de travail numéro un des collaborateurs en PME. Messagerie professionnelle, accès au CRM, validation de paiements, visioconférence, documents partagés, tout transite par le mobile. Et pourtant, moins de 30 % des PME françaises disposent d’une politique de sécurité mobile formalisée. Un angle mort majeur, exploité de plus en plus activement par les cybercriminels.
Les smartphones et tablettes cumulent plusieurs facteurs de risque : ils accompagnent les employés partout (transports, hôtels, restaurants), se connectent à des réseaux Wi-Fi inconnus, hébergent à la fois données personnelles et professionnelles, et sont rarement protégés au même niveau qu’un ordinateur de bureau. Résultat : ils représentent aujourd’hui un vecteur d’attaque privilégié contre les PME.
Dans ce guide, vous trouverez le panorama des menaces spécifiques aux mobiles en entreprise, les 8 bonnes pratiques essentielles pour sécuriser votre flotte, un comparatif des politiques BYOD, COPE et CYOD, et un aperçu des solutions MDM adaptées aux PME.
Les menaces mobiles spécifiques aux PME
Le smishing (phishing par SMS)
Le smishing est l’équivalent mobile du phishing par email : un SMS frauduleux incite la victime à cliquer sur un lien malveillant ou à communiquer des identifiants. Les taux de clic sur les SMS sont 3 à 5 fois supérieurs à ceux des emails car les utilisateurs font davantage confiance au canal SMS. Prétextes courants : faux SMS de la banque, de la DHL, des impôts, ou du service IT interne.
Les applications malveillantes
Malgré les contrôles des stores officiels (App Store, Google Play), des applications malveillantes parviennent régulièrement à passer les filtres. Ces apps demandent des permissions excessives (accès aux contacts, aux SMS, à la caméra, au micro) pour exfiltrer des données professionnelles. Le risque est décuplé lorsque les employés installent des applications depuis des sources tierces (APK hors store).
Les réseaux Wi-Fi publics non sécurisés
Le collaborateur qui consulte sa messagerie depuis un café ou un aéroport via le Wi-Fi gratuit expose ses données à une attaque Man in the Middle : l’attaquant, connecté au même réseau, intercepte les communications non chiffrées. Sans VPN actif, identifiants, emails et fichiers partagés peuvent être capturés en temps réel.
La perte et le vol physique
Un smartphone perdu ou volé donne accès à la messagerie professionnelle, aux fichiers cloud, au CRM, aux applications bancaires. Sans chiffrement ni verrouillage biométrique robuste, ces données sont accessibles à quiconque récupère l’appareil. En France, plus de 2 millions de smartphones sont perdus ou volés chaque année.
Le mélange données personnelles / professionnelles
Sur un appareil BYOD, données personnelles et professionnelles coexistent sans cloisonnement. Une application personnelle compromise peut accéder aux fichiers professionnels. Inversement, en cas de départ d’un employé, l’entreprise ne peut pas effacer sélectivement ses données sans toucher aux données personnelles sans solution MDM adaptée.
💡 Contexte : selon Verizon Mobile Security Index, 45 % des PME ayant subi une violation de données en 2025 impliquaient un appareil mobile. La sécurité mobile est désormais une priorité stratégique.
MDM : la solution clé pour gérer la sécurité mobile de votre PME
Un MDM (Mobile Device Management) est une solution logicielle qui permet de gérer, sécuriser et contrôler centralement l’ensemble des appareils mobiles de votre entreprise : smartphones, tablettes, et ordinateurs portables.
- Appliquer des politiques de sécurité à distance : forcer le code PIN, activer le chiffrement, installer les mises à jour, interdire certaines applications.
- Effacer à distance un appareil perdu ou volé, y compris un effacement sélectif des seules données professionnelles sur un appareil BYOD.
- Distribuer des applications de façon centralisée et silencieuse, sans intervention de l’utilisateur.
- Surveiller la conformité en temps réel : détecter un appareil rooté, un OS obsolète, une application non autorisée.
- Séparer les données pro et perso grâce à des conteneurs chiffrés, préservant la vie privée tout en protégeant les données de l’entreprise.
Pour les PME, les solutions MDM abordables incluent Microsoft Intune (inclus dans Microsoft 365 Business Premium), Jamf Now (spécialisé Apple), VMware Workspace ONE, ou Miradore (solution freemium adaptée aux petites structures).
8 bonnes pratiques pour sécuriser les mobiles de votre PME
1. Activer le chiffrement de l’appareil
Tous les smartphones et tablettes modernes supportent le chiffrement complet des données stockées. Sur Android, actif par défaut depuis Android 6.0. Sur iOS, actif dès l’activation d’un code PIN. Vérifiez que cette option est bien activée sur toute la flotte ; une mesure simple qui rend inutilisables les données en cas de vol.
2. Imposer un verrouillage fort et l’authentification biométrique
- Code PIN à 6 chiffres minimum, ou mot de passe alphanumérique
- Verrouillage automatique après 2 à 3 minutes d’inactivité
- Authentification biométrique activée (empreinte, Face ID) comme méthode principale
- Effacement automatique après N tentatives infructueuses (typiquement 10)
3. Maintenir les systèmes et applications à jour
- Mise à jour de l’OS dans les 7 jours suivant leur disponibilité
- Mise à jour automatique des applications activée
- Remplacement des appareils dont l’OS n’est plus supporté par le fabricant
4. Contrôler les applications installées
La mesure minimale : une liste noire des applications interdites (stockage grand public non approuvé, réseaux sociaux avec accès au micro/caméra) et l’interdiction d’installer des applications hors stores officiels. Via MDM, les applications peuvent être distribuées automatiquement depuis un store d’entreprise interne.
5. Déployer un VPN mobile
Un VPN always-on (toujours actif) garantit que toutes les communications transitent par le tunnel chiffré, particulièrement depuis les Wi-Fi publics. Notre comparatif VPN vs ZTNA pour sécuriser le travail à distance couvre également les usages mobiles.
🔒 Recommandé : NordVPN pour sécuriser vos mobiles
NordVPN propose des applications iOS et Android optimisées pour les PME : chiffrement du trafic, protection sur les Wi-Fi publics, et gestion centralisée pour toute l’équipe.
Essayer NordVPN →6. Activer le MFA sur toutes les applications professionnelles mobiles
Le mobile est souvent utilisé comme second facteur d’authentification, mais il doit lui-même être protégé par MFA. Activez l’authentification à deux facteurs sur toutes les applications professionnelles accessibles depuis le mobile : messagerie, outils cloud, CRM, ERP. Préférez une application d’authentification dédiée (Microsoft Authenticator, Authy) plutôt que le SMS, plus vulnérable au SIM swapping.
Notre guide MFA pour PME : quelle solution choisir et comment la déployer sans friction couvre en détail les options disponibles, y compris pour les flottes mobiles.
7. Séparer les usages professionnels et personnels
Sur les appareils BYOD, le cloisonnement entre données pro et données perso est essentiel. Les solutions disponibles incluent :
- Profil professionnel Android (Android Enterprise Work Profile) : crée un espace de travail isolé, géré par MDM, sans toucher aux applications personnelles.
- Managed Apps iOS (Apple Business Manager) : les applications professionnelles sont gérées centralement, avec leurs données dans un conteneur séparé.
- Conteneurs applicatifs : solutions comme Microsoft Intune MAM (Mobile Application Management) permettent de protéger les données dans des applications spécifiques sans MDM complet.
Cette séparation garantit qu’en cas de départ d’un employé, l’entreprise peut effacer sélectivement les données professionnelles sans toucher aux photos, contacts et applications personnelles, préservant la confiance de l’employé tout en protégeant les données de l’entreprise.
8. Former et sensibiliser les utilisateurs mobiles
La technologie ne suffit pas. Les employés doivent être formés sur les spécificités de la sécurité mobile :
- Reconnaître un smishing : ne jamais cliquer sur un lien SMS d’un expéditeur inconnu, même si le message semble urgent.
- Vérifier les permissions des applications avant installation : une lampe de poche n’a pas besoin d’accéder aux contacts.
- Signaler immédiatement la perte ou le vol d’un appareil professionnel, pour permettre l’effacement à distance dans les meilleurs délais.
- Ne jamais contourner les politiques de sécurité (désactiver le verrouillage, rooter/jailbreaker l’appareil).
Consultez notre guide complet pour former ses employés à la cybersécurité en 2026, qui inclut des modules adaptés aux usages mobiles.
BYOD, COPE, CYOD : quelle politique mobile choisir pour votre PME ?
La politique de gestion des appareils mobiles est un choix stratégique qui impacte la sécurité, les coûts et la satisfaction des employés. Trois modèles principaux coexistent :
| Modèle | Définition | Sécurité | Coût | Adapté à |
|---|---|---|---|---|
| BYOD Bring Your Own Device | L’employé utilise son appareil personnel à des fins professionnelles | Moyenne | Faible | PME avec budget limité, postes non sensibles |
| COPE Corporate Owned, Personally Enabled | L’entreprise fournit l’appareil, qui peut aussi être utilisé à titre personnel | Élevée | Moyen | PME avec données sensibles, équipes commerciales |
| CYOD Choose Your Own Device | L’employé choisit parmi une liste d’appareils approuvés, achetés par l’entreprise | Élevée | Moyen | PME cherchant un équilibre flexibilité / contrôle |
| COBO Corporate Owned, Business Only | Appareil fourni par l’entreprise, usage strictement professionnel | Maximale | Élevé | Secteurs réglementés (santé, finance, défense) |
Recommandation pour les PME : si vous ne pouvez pas financer une flotte complète, commencez par un BYOD encadré avec MDM (profil professionnel). Migrez vers COPE ou CYOD pour les collaborateurs manipulant des données sensibles (direction, commercial, finance).
FAQ : Sécurité mobile en PME
Un antivirus est-il nécessaire sur un smartphone d’entreprise ?
Sur iOS, l’architecture fermée du système rend les antivirus traditionnels peu utiles ; Apple contrôle strictement les applications. Sur Android, en revanche, un antivirus mobile professionnel (disponible dans les suites comme Microsoft Defender, Lookout ou SentinelOne Mobile) apporte une protection réelle contre les applications malveillantes, le phishing et les connexions Wi-Fi dangereuses. Pour les PME avec une flotte Android, c’est un investissement recommandé. Consultez notre comparatif des meilleurs antivirus pour PME en 2026 pour les options incluant une protection mobile.
Comment gérer la sécurité des mobiles sans budget MDM ?
Sans MDM, les mesures minimales restent accessibles : activer Find My (iOS) ou Find My Device (Android) pour la localisation et l’effacement à distance, imposer un code PIN fort via une politique écrite signée, exiger les mises à jour OS et interdire les applications tierces hors store. Microsoft Intune propose un niveau de base gratuit pour les abonnés Microsoft 365. Miradore offre également un plan gratuit jusqu’à un certain nombre d’appareils ; une bonne porte d’entrée pour les TPE.
Que faire en cas de perte ou de vol d’un smartphone professionnel ?
Réagir vite est crucial. La procédure standard : 1) Déclarer immédiatement la perte au responsable IT. 2) Lancer l’effacement à distance via la solution MDM ou Find My/Find My Device. 3) Révoquer les accès aux comptes professionnels depuis les paramètres de chaque application (messagerie, CRM, cloud). 4) Changer les mots de passe des comptes auxquels l’appareil avait accès. 5) Déposer plainte si vol avéré ; nécessaire pour les procédures d’assurance. Notre plan de réponse à incident pour les PME détaille les étapes à suivre.
Les tablettes nécessitent-elles le même niveau de protection que les smartphones ?
Oui, intégralement. Les tablettes d’entreprise accèdent aux mêmes ressources que les smartphones (messagerie, cloud, ERP) et présentent les mêmes vecteurs d’attaque. De plus, elles sont souvent partagées entre plusieurs utilisateurs, ce qui complexifie la gestion des accès. Appliquez exactement les mêmes politiques que pour les smartphones : chiffrement, verrouillage, MDM, VPN, et sessions utilisateurs séparées si partage.
Comment intégrer la sécurité mobile dans l’audit cybersécurité PME ?
La sécurité mobile doit être un domaine à part entière de votre audit cybersécurité annuel. Vérifiez : inventaire des appareils mobiles accédant aux ressources de l’entreprise, conformité aux politiques de sécurité (chiffrement, PIN, mises à jour), présence d’une solution MDM et d’un VPN mobile, existence d’une politique BYOD formalisée. Notre guide d’audit cybersécurité PME avec checklist complète intègre ces points de contrôle dans sa section dédiée aux équipements.
Conclusion
Les smartphones et tablettes sont devenus des portes d’entrée majeures sur les systèmes d’information des PME. Les sécuriser n’est pas optionnel : c’est une nécessité opérationnelle. La bonne nouvelle, c’est que les mesures fondamentales, chiffrement, verrouillage fort, MFA, VPN, mises à jour, sont accessibles sans budget exceptionnel, et que les solutions MDM adaptées aux PME ont considérablement baissé de prix.
Commencez par dresser l’inventaire de tous les appareils mobiles accédant à vos ressources professionnelles, formalisez une politique BYOD, et déployez le MFA sur vos applications critiques. Pour une vision globale de votre sécurité, notre guide d’audit cybersécurité PME et notre guide complet sur la sécurisation du télétravail sont vos compagnons de référence.
