Les smartphones antidéflagrants sont utilisés dans des conditions exigeantes : dans l'industrie chimique, dans les raffineries, les installations énergétiques, la logistique ainsi que dans des domaines d'infrastructure critique. Lors du choix des appareils, l'accréditation ATEX, la catégorie d'appareil appropriée, le degré de protection IP et la résistance mécanique sont donc généralement au premier plan.
Cependant, un smartphone ATEX moderne n'est pas seulement un moyen de communication. Il a souvent accès aux e-mails, aux applications d'entreprise, aux données de maintenance, aux informations de production, aux images de la caméra, aux services cloud et aux réseaux internes. C'est pourquoi, en plus de la protection contre les explosions, il convient également de prendre en compte la cybersécurité pendant toute la durée d'utilisation prévue .
L'accréditation ATEX ne protège pas contre les cyberattaques
Le marquage ATEX confirme qu'un appareil est adapté à une utilisation dans une zone à risque d'explosion spécifique et qu'il ne constitue pas une source d'inflammation non autorisée.
Cependant, cela ne dit rien sur
la durée pendant laquelle le système d'exploitation reçoit des mises à jour de sécurité,
à quelle vitesse les vulnérabilités connues sont corrigées,
si l'appareil peut être géré de manière centralisée,
quelle version d'Android est installée,
s'il existe une gestion des vulnérabilités par le fabricant,
ou combien de temps les appareils de remplacement et le support logiciel restent disponibles.
La protection contre les explosions et la cybersécurité sont donc deux exigences différentes. Pour les appareils mobiles utilisés professionnellement, les deux doivent être considérés ensemble.
La version d'Android à elle seule ne suffit pas
Lors de la comparaison des smartphones, on ne se concentre souvent que sur la version d'Android installée. Un numéro de version plus élevé peut offrir des avantages, mais ce n'est pas encore une preuve suffisante d'un appareil sécurisé.
Tout aussi important est le niveau de patch de sécurité Android. Google publie régulièrement des bulletins de sécurité Android avec des corrections pour les vulnérabilités connues. Un système d'exploitation à jour peut néanmoins avoir un niveau de patch obsolète si le fabricant de l'appareil ne fournit pas ou ne fournit que très tardivement les mises à jour disponibles. Google qualifie les mises à jour mensuelles des appareils de moyen important pour protéger les appareils Android.
Lors de l'acquisition, il convient donc de considérer au moins trois informations séparément :
la version d'Android installée,
la date du niveau de patch de sécurité,
la garantie de la fourniture de mises à jour restantes.
Un appareil avec une version Android légèrement plus ancienne et un engagement de mise à jour clairement documenté et à long terme peut être plus adapté à une entreprise qu'un appareil plus récent sans informations fiables sur le soutien futur.
Combien de temps les mises à jour de sécurité sont-elles fournies ?
Les smartphones antidéflagrants sont souvent utilisés beaucoup plus longtemps que les téléphones mobiles privés. Une durée d'utilisation de plusieurs années n'est pas inhabituelle en raison des coûts d'acquisition, de la certification et des accessoires disponibles.
C'est pourquoi il convient de clarifier avant l'achat :
Jusqu'à quelle date les mises à jour de sécurité sont-elles garanties ?
L'engagement concerne-t-il des mises à jour mensuelles, trimestrielles ou irrégulières ?
Des mises à jour de versions Android plus importantes sont-elles également prévues ?
Les applications préinstallées seront-elles également mises à jour ?
Quelle est la rapidité de réaction du fabricant face aux vulnérabilités critiques ?
Y a-t-il un point de contact accessible au public pour signaler des failles de sécurité ?
L'engagement de mise à jour s'applique-t-il au modèle spécifique ou seulement de manière générale à une série d'appareils ?
Le BSI mentionne pour les appareils mobiles, entre autres, une gestion efficace des vulnérabilités, un moyen de contact publié pour les signalements de vulnérabilités et la fourniture rapide de mises à jour de sécurité pour l'appareil et les applications préinstallées comme des caractéristiques de sécurité importantes.
Des formulations vagues comme « mises à jour régulières » ne sont que partiellement significatives pour une décision d'investissement à long terme. Il est préférable d'avoir une date de fin concrète pour le support du fabricant.
Un appareil qui n'est plus pris en charge reste fonctionnel – mais pas sûr.
Un smartphone ATEX ne cesse pas de fonctionner immédiatement après la fin du support. La téléphonie, la caméra, les applications et le Wi-Fi peuvent encore être utilisables.
Le problème réside dans de nouvelles vulnérabilités découvertes. Si celles-ci ne sont plus corrigées, le risque augmente avec le temps. Un tel appareil peut par exemple devenir une porte d'entrée pour les attaques suivantes :
Vol de données d'accès,
Accès aux e-mails et fichiers,
Manipulation d'applications,
Espionnage des réseaux internes,
Abus de la caméra ou du microphone,
Injection de logiciels malveillants,
Contournement des politiques de sécurité,
Redirection d'une attaque vers d'autres systèmes.
Particulièrement dans l'industrie, les appareils mobiles peuvent établir une connexion entre l'informatique de bureau, les services cloud et les domaines proches de la production. Un smartphone ne doit donc pas être considéré de manière isolée.
NIS 2 renforce l'importance des appareils mobiles gérés de manière sécurisée
Depuis l'entrée en vigueur de la loi allemande de mise en œuvre de NIS-2 le 6 décembre 2025 des obligations élargies en matière de sécurité informatique s'appliquent à de nombreux établissements importants et particulièrement importants. Selon les informations de l'BSI, environ 29 500 entreprises et institutions sont concernées.
NIS 2 ne prescrit pas quel smartphone ATEX concret une entreprise doit acheter. Cependant, les réglementations exigent des mesures appropriées et proportionnées pour gérer les risques cybernétiques. Cela inclut notamment des concepts de sécurité, la gestion des vulnérabilités, des contrôles d'accès et la sécurisation de la chaîne d'approvisionnement.
Pour la pratique, cela signifie : une entreprise devrait être en mesure de justifier de manière transparente pourquoi un appareil mobile utilisé est adapté à l'utilisation prévue en ce qui concerne sa fourniture de mises à jour, sa configuration et sa gestion.
La loi sur la résilience cybernétique impose également davantage de responsabilités aux fabricants
Avec le règlement européen sur la résilience cybernétique, la loi sur la résilience cybernétique, des exigences horizontales en matière de cybersécurité pour les produits avec des éléments numériques sont introduites. Les fabricants doivent prendre en compte les risques de sécurité dès le développement et la production et garantir une gestion appropriée des vulnérabilités pendant la durée d'utilisation prévue.
Un objectif du règlement est d'améliorer la transparence sur la durée de support d'un produit. L'UE cite explicitement les mises à jour de sécurité insuffisantes et incohérentes ainsi que le manque d'informations pour les utilisateurs comme des problèmes antérieurs.
Le règlement s'applique principalement à partir du 11 décembre 2027. Certaines obligations de déclaration pour les vulnérabilités activement exploitées et les incidents de sécurité graves s'appliquent déjà à partir du 11 septembre 2026.
Pour les acquisitions avec une durée d'utilisation prévue de plusieurs années, le sujet est donc déjà pertinent aujourd'hui.
La gestion des appareils mobiles devrait être soutenue
Dans les entreprises, les smartphones ATEX ne devraient pas être utilisés comme des appareils isolés non gérés. Un système de gestion des appareils mobiles, abrégé MDM, permet la configuration et le contrôle centralisés des appareils utilisés.
L'BSI décrit comme fonction principale d'un MDM l'application efficace des politiques de sécurité définies et des paramètres de configuration sur les appareils mobiles.
Selon le domaine d'application, un MDM peut notamment assumer les tâches suivantes :
Imposition d'un verrouillage d'écran,
Définition de mots de passe ou de codes PIN sécurisés,
Distribution d'applications autorisées,
Blocage d'applications non autorisées,
Configuration de WLAN, VPN et certificats,
Séparation des données privées et professionnelles,
Contrôle du niveau de correctifs,
Blocage des appareils obsolètes ou manipulés,
Verrouillage à distance en cas de perte,
Suppression des données professionnelles,
Inventaire des appareils déployés.
Android offre diverses fonctions de gestion, par exemple des appareils entièrement gérés et des profils de travail pour séparer les données professionnelles et privées.
Avant de commander de plus grandes quantités, il convient de vérifier si le modèle d'appareil spécifique est compatible avec la solution MDM déjà déployée et quelles fonctions de gestion sont réellement prises en charge.
Aucune activation avec des comptes employés privés
Dans la pratique, les smartphones professionnels sont parfois configurés avec le compte Google privé ou l'identifiant Apple privé d'un employé. Cela peut sembler simple lors de la mise en service, mais cela entraîne d'importants problèmes de sécurité et d'organisation.
Un compte utilisateur privé peut notamment être associé aux fonctions suivantes :
Installations d'applications et licences d'applications
Sauvegardes dans le cloud
Contacts et calendriers enregistrés
Fonctions de localisation et de recherche
Verrouillages d'appareils
Mots de passe et identifiants
Options de récupération
Authentification multifactorielle
Cela permet aux données professionnelles et privées d'être mélangées de manière incontrôlée. De plus, l'entreprise n'a souvent pas un contrôle total sur les données qui sont synchronisées, sauvegardées ou affichées sur d'autres appareils privés.
La situation devient particulièrement problématique lorsqu'un employé quitte l'entreprise à court terme. Si le smartphone professionnel est toujours lié à son compte privé, des mots de passe nécessaires, des codes de confirmation ou des données de récupération peuvent manquer. Dans le pire des cas, l'appareil ne peut pas être complètement réinitialisé, reconfiguré ou remis à un autre employé.
Par exemple, sur les appareils Apple, un verrouillage d'activation peut être lié à l'identifiant Apple personnel. Sur les appareils Android, des fonctions de protection de compte peuvent exiger une nouvelle connexion avec le compte Google précédemment utilisé après une réinitialisation. Sans la coopération de l'ancien employé, l'appareil peut donc être temporairement ou définitivement inutilisable.
Les smartphones ATEX professionnels ne devraient donc pas être activés avec des comptes privés d'employés. Il est plutôt recommandé de :
comptes d'entreprise gérés de manière centralisée,
une configuration via un système de gestion des appareils mobiles,
distribution d'applications gérée sans comptes utilisateurs personnels,
accès administrateur et de récupération documentés,
ainsi qu'un processus régulé pour l'entrée, le changement d'appareil et le départ des employés.
L'entreprise doit toujours être en mesure de verrouiller, réinitialiser, reconfigurer et attribuer un appareil à un autre utilisateur. Ce contrôle organisationnel fait partie de la cybersécurité tout autant qu'un niveau de patch actuel ou un approvisionnement en mises à jour à long terme.
Les applications installées doivent également être prises en compte.
Un système d'exploitation à jour ne suffit pas. Les applications peuvent également contenir des vulnérabilités de sécurité ou transmettre des données à des destinataires indésirables.
Les entreprises devraient donc définir,
quelles applications peuvent être installées,
de quelles sources les applications peuvent être obtenues,
quelles autorisations les applications reçoivent,
si des magasins d'applications privés ou des fichiers APK sont autorisés,
comment les mises à jour pour les applications d'entreprise sont distribuées,
et ce qui se passe avec les applications qui ne sont plus prises en charge.
Une attention particulière doit être accordée aux applications qui ont accès à la caméra, au microphone, à la localisation, au Bluetooth, aux contacts, aux fichiers ou aux systèmes internes.
Services Google ou projet open source Android ?
Tous les appareils Android ne contiennent pas automatiquement les services mobiles Google complets. Pour certaines applications d'entreprise, le Google Play Store, Google Play Protect ou des fonctionnalités Android Enterprise spécifiques peuvent être nécessaires.
Avant l'acquisition, il convient donc de clarifier :
Les services mobiles Google sont-ils présents ?
L'appareil est-il adapté à Android Enterprise ?
Les applications d'entreprise nécessaires fonctionnent-elles ?
Les applications peuvent-elles être distribuées de manière centralisée et sans comptes Google privés ?
Y a-t-il des restrictions concernant les applications bancaires, d'authentification ou de sécurité ?
L'appareil prend-il en charge la plateforme MDM nécessaire ?
Un appareil basé sur Android n'est pas automatiquement entièrement compatible avec chaque environnement d'entreprise.
Les appareils obsolètes doivent être intégrés dans la gestion des risques.
Les entreprises devraient mettre en place une gestion du cycle de vie pour leurs smartphones ATEX. Cela inclut au minimum :
L'enregistrement de tous les appareils déployés et des numéros de série,
La documentation de la version Android et du niveau de correctif,
L'enregistrement de la date de fin de support garantie,
Le contrôle régulier des mises à jour disponibles,
La définition d'un moment d'échange contraignant,
La suppression sécurisée des appareils retirés,
La vérification de l'approbation ATEX lors des réparations ou modifications.
Un appareil mobile ne devrait pas être remplacé uniquement lorsqu'il tombe en panne techniquement. La fin planifiable du support de sécurité peut déjà nécessiter un échange auparavant.
Liste de contrôle pour l'acquisition d'un smartphone ATEX.
En plus de la zone ATEX, de la catégorie d'appareil et du groupe d'explosion, les entreprises devraient poser les questions suivantes :
Quelle version d'Android est installée à la livraison ?
Quel est le niveau de correctif de sécurité actuel ?
Jusqu'à quelle date précise des mises à jour de sécurité sont-elles garanties ?
À quelle fréquence ces mises à jour apparaissent-elles ?
Des mises à jour de version Android sont-elles prévues ?
L'appareil prend-il en charge Android Enterprise ?
Est-il compatible avec la solution MDM existante ?
Les services Google Mobile sont-ils disponibles si nécessaire ?
Y a-t-il un processus documenté pour signaler des vulnérabilités ?
Des appareils de remplacement ou d'échange avec un logiciel identique peuvent-ils être fournis ?
Comment les appareils sont-ils remplacés après la fin du support ?
Ces informations devraient idéalement être documentées dès le choix du produit et ne pas être demandées seulement après l'achat.
Conclusion
Pour un smartphone antidéflagrant, l'approbation ATEX est indispensable. Cependant, cela ne rend pas l'appareil adapté à une utilisation en entreprise.
Tout aussi important est :
un approvisionnement en mises à jour à long terme et traçable,
un niveau de correctif de sécurité actuel,
le soutien à la gestion centralisée des appareils,
une gestion des vulnérabilités fiable de la part du fabricant,
ainsi qu'un processus d'échange clairement défini à la fin du support.
En particulier, les entreprises des secteurs de l'énergie, de la chimie, de la production, de la logistique et des infrastructures critiques devraient prendre en compte la cybersécurité des smartphones ATEX dès l'acquisition. Cela évite des échanges d'appareils coûteux par la suite et réduit le risque qu'un appareil robuste et antidéflagrant devienne une vulnérabilité pour l'IT de l'entreprise.
ATEXshop.de aide les entreprises à choisir des smartphones et des tablettes antidéflagrants. En plus de l'approbation ATEX requise, le système d'exploitation, l'approvisionnement en mises à jour, la compatibilité MDM et la durée d'utilisation prévue peuvent également être pris en compte.