Microsoft Intune vs FleetDM : critères de choix pour une PME suisse

Un parc hétérogène, deux philosophies opposées

La plupart des PME romandes de 20 à 150 employés gèrent aujourd'hui un parc mixte : des MacBook sous macOS 14 Sonoma, des PC Windows 11 23H2, parfois des iPhones ou des terminaux Android pour les équipes terrain. Deux outils dominent les discussions : Microsoft Intune, intégré à l'écosystème M365, et FleetDM, plateforme open-source orientée DevOps et auditabilité. Avant de signer un abonnement ou de déployer un agent, il faut comprendre ce que chaque solution implique réellement en termes d'architecture, de données traitées et d'obligations légales.

Cadre légal suisse : ce que la nLPD impose au MDM

Depuis le 01.09.2023, la nouvelle Loi fédérale sur la protection des données (nLPD) soumet tout traitement de données personnelles à des exigences renforcées : registre des activités de traitement, analyse d'impact (PIA) obligatoire pour les traitements à risque élevé, notification au Préposé fédéral à la protection des données (PFPDT) en cas de violation.

Un MDM traite des données personnelles dès le premier enrôlement : identifiant matériel (UDID, numéro de série), adresse IP, localisation si activée, applications installées, journaux d'activité. Le responsable du traitement — votre PME — doit donc documenter :

• La finalité du traitement (gestion de flotte, sécurité, conformité).
• Les catégories de données collectées et leur durée de rétention.
• Le sous-traitant qui héberge ces données et le pays d'hébergement.
• Les mesures techniques de protection (chiffrement au repos, TLS en transit, contrôle d'accès).

Ce dernier point est structurant : Intune stocke ses données dans les datacenters Microsoft. Depuis 2022, Microsoft opère des régions suisses (Zurich et Genève), mais la résidence des données M365 dépend du tenant et du service exact — vérifier les Data Residency Commitments dans votre contrat Microsoft Online Services. FleetDM, en version auto-hébergée, peut tourner sur une VM OVH Pulse Genève ou un serveur on-premise Hetzner Falkenstein selon votre choix, ce qui simplifie la documentation nLPD.

Architecture et modèle de gestion : MDM natif vs agent osquery

Microsoft Intune : MDM/MAM via protocoles constructeurs

Intune s'appuie sur les protocoles MDM natifs de chaque OS : Apple MDM Protocol (port TCP 443 vers gateway.push.apple.com et mdmenrollment.apple.com), Windows MDM OMA-DM et Android Enterprise. Il s'intègre nativement à :

• Apple Business Manager (ABM) pour l'enrôlement automatisé DEP des Mac et iPhone achetés chez un revendeur agréé Apple.
• Windows Autopilot pour le provisionnement zero-touch des PC Dell, Lenovo ou HP livrés directement à l'utilisateur final.
• Android Enterprise Zero-Touch Enrollment pour les terminaux Android dédiés ou BYOD.

En termes de politiques, Intune expose des profils de configuration, des politiques de conformité et des scripts Powershell/Shell. Pour durcir un poste selon les CIS Benchmarks, il faut soit importer des templates ADMX/OMA-URI manuellement, soit passer par Intune Security Baselines (basées sur STIG/CIS, alignées sur Windows 11 23H2 en 2024). Sur macOS 14, les profils MDM permettent de gérer FileVault 2, Gatekeeper, le pare-feu applicatif et la politique de MdP, mais certaines clés Benchmark CIS Level 2 nécessitent des scripts supplémentaires.

Coût indicatif : Intune est inclus dans Microsoft 365 Business Premium à CHF 22.– par utilisateur/mois (tarif public CH, à vérifier lors de votre renouvellement). Sans licence M365 existante, Intune standalone coûte environ CHF 8.– par utilisateur/mois.

FleetDM : visibilité osquery, GitOps, open-source

FleetDM est construit sur osquery, l'agent open-source de Facebook qui expose le système d'exploitation comme une base de données SQL. Chaque endpoint exécute l'agent fleetd (ou orb), qui répond aux requêtes SQL du serveur Fleet centralisé via TLS mutuel (port TCP 8080/443 selon configuration). Cela donne une visibilité très granulaire : processus actifs, connexions réseau ouvertes, clés de registre, certificats installés, paquets npm dans /usr/local/lib.

FleetDM Community Edition est open-source (MIT/Apache). La version Fleet Premium (environ $7/host/mois selon grille publique, soit ~CHF 6.50 au cours actuel) ajoute le MDM natif macOS et Windows, les politiques automatisées, le CVE matching et les workflows de remédiation. La version auto-hébergée offre un contrôle total sur les données.

Points forts terrain :

• Les politiques de conformité sont définies en SQL versionné dans un dépôt Git — idéal pour un SOC ou une équipe DevOps qui veut de l'auditabilité.
• L'inventaire logiciel et les CVE sont corrélés en temps quasi réel sans agent EDR supplémentaire (niveau de détection différent d'un EDR complet, mais suffisant pour un premier niveau de visibilité).
• L'enrôlement MDM macOS passe par ABM exactement comme Intune — FleetDM supporte le profil MDM Apple natif depuis Fleet 4.x.
• Sur Windows, le MDM Fleet est en GA depuis Fleet 4.40 (fin 2023), Autopilot non encore supporté nativement — vérifier la roadmap publique GitHub.

Limite principale : FleetDM n'a pas de connecteur natif à Azure AD / Entra ID ni à Google Workspace. L'intégration SCIM/SAML est possible mais nécessite une configuration manuelle ou un IdP intermédiaire (Okta, Azure AD B2B). Si votre PME est 100 % Microsoft 365, la friction opérationnelle de FleetDM augmente.

Matrice de décision : 7 critères pour votre contexte

1. Homogénéité du parc

Parc 100 % Windows lié à Azure AD/Entra ID → Intune s'impose, la valeur ajoutée de la suite M365 est maximale. Parc majoritairement macOS ou Linux avec des développeurs sensibles à la vie privée → FleetDM apporte plus de flexibilité et de transparence sur les données collectées.

2. Compétences internes

Intune se gère via une interface graphique ; les baselines de sécurité sont pré-construites. FleetDM requiert des compétences SQL (osquery), YAML et, pour l'auto-hébergement, une stack Docker/Kubernetes ou VM Linux. Pour une PME sans DSI interne, Intune sera moins risqué opérationnellement.

3. Résidence des données et nLPD

Auto-hébergement Fleet sur infrastructure suisse → documentation nLPD simplifiée, pas de transfert transfrontalier. Intune sur tenant Microsoft CH → transfert potentiel vers d'autres régions selon le service (ex. : logs Diagnostic Data). Exiger le Data Protection Addendum Microsoft et vérifier la clause de sous-traitance conforme à l'art. 9 nLPD.

4. Intégration SIEM / SOC

Les deux outils exposent des logs exploitables : Intune via Microsoft Sentinel (Log Analytics Workspace, coût additionnel ~CHF 2.50/GB ingéré) ; FleetDM via webhook, syslog ou Kafka vers votre SIEM. Fleet est plus agnostique vis-à-vis de la stack SIEM.

5. Coût total de possession sur 3 ans (parc 50 endpoints)

Intune standalone : 50 × CHF 8 × 36 = CHF 14 400. Si M365 BP déjà payé, coût marginal nul. FleetDM Premium auto-hébergé : 50 × CHF 6.50 × 36 + infra (VM 4 vCPU/8 GB ~CHF 80/mois) = CHF 14 580. FleetDM Community auto-hébergé (zéro licence) : infra + ingénierie setup estimée 3 jours × CHF 1 200 = CHF 6 480 sur 3 ans — mais fonctionnalités MDM limitées sans Premium.

6. Android Enterprise

Intune supporte Android Enterprise complet (Work Profile, Fully Managed, COPE, Kiosk) avec Google Zero-Touch. FleetDM ne gère pas Android en MDM natif à ce jour — à confirmer sur la roadmap. Si vous avez 20+ terminaux Android professionnels, Intune reste le choix par défaut.

7. Conformité sectorielle

Pour les secteurs régulés (banques, gestionnaires de fortune soumis à la FINMA), Intune dispose de certifications ISO 27001, SOC 2 Type II et des rapports d'audit Microsoft disponibles via le Service Trust Portal. FleetDM auto-hébergé transfère la responsabilité de certification vers votre organisation — faisable, mais nécessite un effort d'audit supplémentaire.

Cas pratique : fiduciaire vaudoise, 45 endpoints mixtes

Contexte : Cabinet fiduciaire à Lausanne, 38 collaborateurs, 45 endpoints (28 MacBook Pro sous macOS 14 Sonoma, 12 PC Windows 11 23H2, 5 iPhones sous iOS 17). Données clients sensibles (déclarations fiscales, bilans). Microsoft 365 Business Premium déjà déployé. Pas de DSI interne, un responsable IT à 30 % sur ce rôle. Budget sécurité annuel : CHF 18 000 hors salaires.

Évaluation :

1. Audit de l'existant : 18 Mac non enrôlés en MDM, FileVault activé manuellement sans dépôt de clé centralisé, 4 PC sans BitLocker. Aucune politique de MdP uniforme. Durée : 1 jour consultant.
2. Choix de la solution : M365 BP déjà payé → Intune inclus sans surcoût. Compétences SQL osquery absentes en interne. Android absent du parc. Décision : Intune.
3. Configuration ABM : Création du tenant ABM, rattachement du MDM Token Intune, enrôlement automatique des 28 Mac via profil DEP. Les 10 Mac achetés avant ABM sont enrôlés manuellement via le portail Company Portal.
4. Profils macOS : Déploiement d'un profil de configuration CIS Benchmark Level 1 macOS 14 via scripts Shell (30 contrôles automatisés), activation FileVault 2 avec dépôt de clé dans Intune, politique de verrouillage écran 5 min, désactivation des partages SMB/ARD.
5. Windows Autopilot : Import des hash matériels des 12 PC via script PowerShell Get-WindowsAutoPilotInfo. Profil Autopilot OOBE configuré pour jonction Azure AD et enrôlement Intune automatique. Baseline de sécurité Windows 11 23H2 appliquée (BitLocker AES-256, Windows Defender activé, pare-feu en profil Domain/Private).
6. Politiques de conformité : Définition de 4 règles de conformité (version OS minimale, chiffrement actif, PIN/MdP ≥ 12 caractères, absence de jailbreak). Les appareils non conformes reçoivent un accès conditionnel restreint à Exchange Online.
7. Documentation nLPD : Mise à jour du registre des activités de traitement : finalité « gestion de flotte et sécurité endpoints », données collectées (UDID, IP, apps, logs), sous-traitant Microsoft (DPA signé), rétention des logs Intune 30 jours. Aucun PIA requis car pas de traitement à risque élevé selon art. 22 nLPD.
8. Test de signalement incident : Simulation d'un Mac volé → remote wipe déclenché en < 5 min depuis le portail Intune. Procédure de notification NCSC documentée selon le formulaire de signalement NCSC (seuil : si données clients exfiltrées).

Résultat à 90 jours : 100 % des endpoints enrôlés, taux de conformité 94 % (2 PC bloqués en attente de mise à jour Windows), zéro coût de licence additionnel, temps d'ingénierie total 8 jours (DSI externe + responsable IT interne).

Récapitulatif opérationnel

• Inventoriez votre parc avant tout choix : ratio Windows/Mac/Linux/Android, présence de M365, compétences internes SQL/DevOps.
• Parc M365 + Windows dominant : Intune est le choix rationnel — licence incluse, ABM et Autopilot natifs, Android Enterprise complet, certifications FINMA/ISO disponibles.
• Parc macOS/Linux + équipe DevOps : FleetDM Premium auto-hébergé offre visibilité osquery, GitOps et contrôle des données — pertinent si conformité nLPD requiert résidence CH stricte.
• Vérifiez la résidence des données Intune dans votre tenant M365 (Admin Center → Settings → Org settings → Data location) et signez le DPA Microsoft avant tout enrôlement.
• Appliquez les CIS Benchmarks dès le déploiement : Level 1 est atteignable via scripts Intune/Fleet sans impact utilisateur majeur sur macOS 14 et Windows 11 23H2.
• Activez le chiffrement natif (FileVault 2, BitLocker AES-256) avec dépôt de clé dans votre MDM — indispensable en cas de vol matériel.
• Documentez le traitement MDM dans votre registre nLPD : sous-traitant, pays d'hébergement, données collectées, durée de rétention, base légale (art. 6 nLPD : intérêt légitime ou contrat de travail).
• Testez le remote wipe sur un appareil de test tous les 6 mois et documentez la procédure de notification NCSC/PFPDT pour les incidents impliquant des données personnelles.
• Android Enterprise : si > 5 terminaux Android gérés, Intune reste la seule option mature des deux — FleetDM n'offre pas encore de MDM Android natif.
• Révisez la solution à 18 mois : la roadmap FleetDM évolue rapidement (MDM Windows GA en 2023, Autopilot annoncé) ; réévaluez les fonctionnalités selon vos besoins à cette échéance.

SynGuard accompagne les PME romandes dans le déploiement et l'audit de leur solution MDM, qu'il s'agisse d'Intune ou de FleetDM, avec une approche documentée et conforme à la nLPD.

Sources

• Loi fédérale sur la protection des données (nLPD) — fedlex.admin.ch — Texte consolidé de la nLPD en vigueur depuis le 01.09.2023.
• Préposé fédéral à la protection des données et à la transparence (PFPDT) — Autorité de surveillance nLPD, guides pratiques pour responsables de traitement.
• Signalement d'incidents — NCSC (Centre national pour la cybersécurité) — Formulaire et procédure de signalement des cyberincidents pour les entreprises suisses.
• CIS Benchmarks — Center for Internet Security — Référentiels de durcissement pour macOS, Windows, Android et autres plateformes.
• FINMA — Autorité fédérale de surveillance des marchés financiers — Circulaires et exigences en matière de cybersécurité pour les établissements financiers suisses.