Appareil perdu dans Sophos Mobile : verrouiller, supprimer les données professionnelles ou réinitialiser ?

Ne cliquez pas précipitamment sur « Wipe » ou « Delete ». Selon l’interface et le mode de gestion, « Wipe » peut réinitialiser tout l’appareil ou ne supprimer qu’un profil professionnel Android ; « Delete » concerne l’entrée de gestion et peut aussi déclencher une réinitialisation d’usine sur un appareil Android entièrement géré. Une tâche en attente ne prouve pas que les données d’un appareil perdu ont été effacées.

Cette aide à la décision explique les vérifications à effectuer avant d’autoriser une action sur l’appareil. Elle ne remplace pas une procédure de réponse à incident testée sur l’appareil concerné. Pour tout appareil manquant, même sans soupçon de vol, transmettre la déclaration de perte au processus interne de sécurité pour qualification de l’incident ; évaluer l’escalade et les mesures concernant les identités, sessions et accès aux applications selon la politique interne de réponse aux incidents, indépendamment de l’état de l’appareil. Ne consulter les données de localisation personnelles qu’avec l’autorisation requise et conformément aux règles internes de protection des données.

Avant toute action sur l’appareil

Dans le bon tenant, identifier précisément l’appareil à l’aide d’un identifiant stable et de l’utilisateur affecté. Dans My Environment > Mobile Devices, vérifier Owner, Management mode, la plateforme, la dernière synchronisation et l’état de gestion ; consulter aussi la fiche de l’appareil dans Sophos Mobile. « Personal » ne signifie pas nécessairement « profil professionnel Android », ni « Corporate » « gestion complète ».
Consigner le responsable, la déclaration de perte et l’autorisation de l’action. Vérifier si l’appareil appartient à l’entreprise ou à une personne privée, si Sophos assure effectivement la gestion MDM ou si seule une application de sécurité est installée, et si l’utilisateur l’a éventuellement déjà récupéré. Si le mode reste incertain, ne déclencher aucune action destructive.
Avant toute opération irréversible, vérifier l’état des sauvegardes, les données professionnelles nécessaires et la méthode précise de restauration :
- Android, entièrement géré : vérifier de manière sécurisée la méthode de réinitialisation envisagée, la configuration FRP et les identifiants valides et connus du compte Google autorisé. Ne pas assimiler le choix FRP proposé lors du Wipe dans Sophos Mobile Admin à « Delete » ou à un Wipe dans la vue Fusion.
- Appareils Apple : vérifier avant la réinitialisation la supervision, l’état actuel de l’inscription et une méthode autorisée et réellement utilisable pour lever l’Activation Lock. Sophos Mobile exige une inscription existante pour « Remove Activation Lock ». Cette méthode n’est pas prise en charge sur les appareils comportant au moins deux emplacements SIM/eSIM. Apple Business exige que l’appareil ait été ajouté à l’organisation avant l’activation du verrouillage et qu’il n’en ait pas été libéré. Un code de contournement exige que le paramètre ait été activé au préalable et que l’appareil se soit ensuite synchronisé.
- Mac : conserver de manière sécurisée le code PIN de déverrouillage nécessaire.
Conserver les identifiants et codes uniquement par la procédure sécurisée prévue, jamais dans cet article ni dans le compte rendu d’incident. En l’absence de moyens de récupération ou d’autorisations dont l’adéquation est démontrée, arrêter et escalader. La réactivation n’est pas garantie.
Consigner l’heure, l’action choisie et l’étendue des données qui devraient être touchées. Une indication « Last active », récente ou ancienne, atteste seulement d’une synchronisation, pas de l’exécution d’une nouvelle tâche.

Apple Business : vérifier séparément la libération de l’organisation

Arrêt avant « Release from Organization » dans Apple Business. Un appareil manquant relève d’un incident, pas d’une libération automatique de l’organisation. Cette opération Apple Business distincte est irréversible. Elle n’est ni un Unenroll/Delete Sophos, ni la suppression de l’Activation Lock, ni un Erase/Wipe. Elle n’efface pas l’appareil et ne désactive pas d’elle-même le verrouillage.

Vérifier les prérequis uniquement en dehors de la réponse à la perte :

Clarifier la propriété et la décision de retrait du parc.
Vérifier l’autorisation spécifique de libération ou le droit de libération d’un service de gestion lié.
Clarifier l’état et le type du verrouillage, c’est-à-dire s’il est lié à l’utilisateur ou à l’organisation.
Vérifier une méthode autorisée, réellement disponible pour cet appareil, permettant sa réactivation ou la suppression du verrouillage.

Apple Business peut retirer les deux types de verrouillage d’un appareil éligible appartenant à l’organisation avec l’autorisation appropriée. La matrice des actions Apple Business exclut uniquement la suppression directe d’un verrouillage lié à l’utilisateur par un service externe de gestion des appareils.

Il faut distinguer de cette action le recours à un code de contournement préalablement récupéré auprès de l’appareil supervisé et conservé de façon sécurisée. Selon le guide de déploiement Apple, un service de gestion disposant de cette capacité peut utiliser ce code pour lever à distance un verrouillage lié à l’utilisateur. Le code peut aussi être saisi directement sur l’appareil.

Cela ne démontre pas l’existence d’une action à distance utilisant ce code dans Sophos Mobile. Sophos documente séparément la tâche Actions > Remove Activation Lock pour les appareils éligibles toujours inscrits, ainsi que la saisie du code sur l’appareil. Avant toute libération ou réinitialisation, vérifier pour cet appareil la méthode réellement disponible, la conservation sécurisée du code et, le cas échéant, l’exécution effective de la tâche Sophos ou de l’opération Apple Business. Si l’état ou la méthode est incertain, ne pas libérer l’appareil : escalader.

Après sa libération, la gestion de l’Activation Lock par Apple Business et l’affectation à un service de gestion des appareils ne sont plus possibles. Un nouvel ajout ultérieur est possible, mais n’annule pas la libération. L’effacement ou la restauration ensuite prévus par Apple constituent une opération destructive distincte, nécessitant leur propre autorisation, et ne prouvent pas qu’un effacement a déjà eu lieu.

Quelle action convient au mode de gestion ?

Android Enterprise, entièrement géré

Envisager un verrouillage de l’appareil, si disponible dans le tenant concerné. Clarifier la restauration et la FRP.

Unenroll nécessite une réinitialisation d’usine. Même la suppression d’un appareil encore géré peut déclencher cette réinitialisation. Ne pas la traiter comme un simple nettoyage d’inventaire.

Android Enterprise, profil professionnel uniquement

Distinguer Lock de Set container access > Deny. Lock verrouille tout l’appareil ; Set container access > Deny verrouille uniquement le profil professionnel.

Wipe Android work profile dans Sophos Mobile Admin ou Actions > Wipe dans la vue de l’appareil Fusion supprime le profil professionnel, ses applications et ses données professionnelles. Les applications et données personnelles ne sont pas supprimées. L’effacement complet à distance de l’appareil dans Sophos Mobile Admin n’est pas disponible pour ce mode.

iPhone/iPad supervisé

Envisager un verrouillage. Avec l’autorisation appropriée, Managed Lost Mode accompagné de coordonnées et d’une méthode de sortie vérifiée peut être envisagé. Une réinitialisation complète exige au préalable la vérification de la sauvegarde et de l’Activation Lock.

Managed Lost Mode ne peut pas être désactivé via iCloud. Après un redémarrage sans connexion, la commande distincte Turn off Managed Lost Mode, destinée à quitter ce mode, peut échouer. Ce n’est pas une commande d’extinction de l’appareil.

iPhone/iPad, Apple User Enrollment

Impliquer l’utilisateur et l’équipe de gestion responsable. Vérifier uniquement les mesures réellement proposées et autorisées.

Sophos Mobile ne propose pas d’effacement complet à distance dans ce cas. La désinscription peut supprimer les applications gérées, les politiques et les certificats MDM, mais ne doit pas être présentée comme une restauration des données privées. Ne présumer ni Managed Lost Mode pour appareil supervisé ni contournement de l’Activation Lock.

Mac

Ne déclencher un verrouillage disponible qu’avec un code PIN de déverrouillage à six chiffres consigné. Selon Sophos Mobile, les Mac déjà verrouillés à distance ne peuvent pas être effacés à distance. Prévoir aussi un code PIN de déverrouillage pour un Wipe.

Windows / Chromebook

Coordonner une réponse de sécurité propre à la plateforme, hors du verrouillage Mobile. Sophos Mobile ne propose pas d’action Lock pour ces plateformes dans la vue Fusion Mobile.

Sous Windows, la suppression de l’entrée Mobile ne désinscrit pas automatiquement l’appareil. Une désinscription manuelle ou, si elle est interdite, une réinitialisation d’usine autorisée séparément est nécessaire.

Vérifier les droits Self Service avant l’incident

La disponibilité d’une action dans le Sophos Central Self Service Portal ne remplace pas l’autorisation de l’administrateur : selon les droits attribués, les utilisateurs peuvent eux-mêmes verrouiller, localiser, supprimer le profil professionnel ou réinitialiser l’appareil. Avant tout incident, vérifier les droits Self Service réellement accordés et la désinscription depuis l’application : masquer Unenroll dans Sophos Mobile Control n’empêche pas à lui seul la désinscription depuis le Self Service Portal ; le réglage de l’application ne prend effet qu’après synchronisation. Avec « Reset device » dans le SSP, toutes les données de l’appareil sont perdues ; l’action est irréversible. La suppression du profil professionnel est elle aussi irréversible, mais ne concerne que ce profil.

Pour les branches SSP suivantes, c’est la configuration Self Service effective de l’utilisateur qui compte, et non le seul accès au portail. L’administration vérifie sous Setup > Self Service Portal les groupes d’utilisateurs affectés et les Actions autorisées. Si plusieurs configurations correspondent, celle ayant la priorité la plus élevée s’applique. En particulier, Managed Lost Mode, Play Lost Mode sound, Locate device et Delete unmanaged device sont des autorisations distinctes ; ne présumer aucune d’entre elles. Si une action nécessaire manque, escalader vers l’administration responsable plutôt que de recourir à Wipe ou à une autre interface.

Localisation et verrouillage avant l’effacement

Find/Locate affiche uniquement la dernière position connue, pas un trajet. Les événements de localisation sont journalisés ; pour localiser un appareil depuis l’administration, Sophos demande d’indiquer un motif dans la boîte de dialogue. Cette fonction n’est pas disponible dans Sophos Mobile pour Apple User Enrollment et les Mac. Depuis le SSP, la localisation d’un iPhone/iPad peut en outre exiger une confirmation sur l’appareil. Ne pas interpréter une ancienne position comme la position actuelle ni comme une preuve de propriété.

Prérequis pour une localisation autorisée

Les restrictions de confidentialité de la localisation par l’administration et par le SSP sont distinctes des droits associés aux actions. Vérifier les paramètres de confidentialité et leurs limites avant toute requête : bloquer la localisation sur la carte ne masque pas la dernière position dans le Device location report et ne prouve ni l’arrêt de la collecte ni la suppression des données stockées.

Android : Sophos Mobile Control doit être en cours d’exécution, les services de localisation activés et l’autorisation Location accordée à l’application.
iPhone/iPad : ces trois prérequis s’appliquent à la localisation ordinaire. Ils ne sont pas nécessaires pour un appareil MDM supervisé déjà en Managed Lost Mode. Cela n’élargit ni la prise en charge des plateformes ni l’autorisation ; la réception de la commande et une méthode de sortie vérifiée restent nécessaires.
Chromebook : l’extension Sophos Chrome Security doit être active et la localisation autorisée. Sans utilisateur connecté, la tâche de localisation reste à l’état Notified jusqu’à ce qu’un utilisateur se connecte.

Les règles de conformité relatives à la disponibilité de la localisation distinguent Locate permission required pour Android et App is able to locate pour iPhone/iPad. Elles servent à l’évaluation, pas à autoriser une localisation. En cas de perte, ne modifier aucune politique et ne pas lancer Check now comme test de disponibilité : cette action peut exécuter des mesures sur d’autres appareils.

Pour les Chromebooks, Sophos documente deux parcours de configuration. Avant toute modification, vérifier les appareils réellement ciblés par la politique ainsi que les autorisations de confidentialité et de changement de l’organisation ; ne pas activer globalement la localisation pour tout le parc :

Chrome Enterprise : dans la console Google Admin, sous Devices > Chrome > Settings > User & browser settings > Geolocation, choisir Allow sites to detect users’ geolocation.
Autres Chromebooks : sur l’appareil, sous Settings > Privacy and security > Site settings > Location, choisir Sites can ask for your location.

Mobile Admin : déclencher Find et afficher la position

Cette procédure concerne Sophos Mobile Admin, pas la vue d’inventaire Fusion ni Locate dans le SSP. Ne l’exécuter qu’après identification de l’appareil, autorisation dans le cadre de l’incident et vérification de la confidentialité :

Sous Devices, sélectionner l’appareil identifié sans ambiguïté et ouvrir Actions > Find.
Saisir le motif de la demande et confirmer par Yes. Une tâche de localisation est ainsi créée et transmise à l’appareil. Cela ne confirme pas encore son exécution.
Vérifier l’état précis de la tâche. Si l’appareil est hors ligne, elle reste à l’état Notified jusqu’à sa reconnexion au serveur ; pour les Chromebooks, la connexion utilisateur indiquée plus haut est également nécessaire.
Seulement après l’achèvement de la tâche, choisir Actions > Find > Show location. La position s’affiche dans Google Maps ; elle reste une dernière position connue, pas une preuve de la position actuelle.

Si Find manque, vérifier la prise en charge de la plateforme et les prérequis ci-dessus, notamment l’accès de Sophos Mobile Control à la localisation sur Android et iPhone/iPad. Ne pas contourner une indisponibilité par un Wipe, une réinitialisation du mot de passe ou une autre action sur l’appareil ; escalader vers l’administration responsable.

Pour plusieurs appareils, sélectionner sous Devices les appareils cibles autorisés et utiliser Actions > Find ; le Device location report constitue une autre possibilité. Les deux restent limités au périmètre approuvé des appareils et de la confidentialité. Le rapport ne permet pas de contourner l’absence d’autorisation de localisation.

Distinguer le verrouillage des actions risquées sur l’appareil

Lock verrouille l’appareil sans effacer ses données. Sur un appareil Android doté d’un profil professionnel géré, Lock verrouille tout l’appareil ; seul Set container access > Deny verrouille le profil professionnel. Pour verrouiller un Mac, consigner au préalable le code PIN et la méthode de déverrouillage autorisée. Les iPhone/iPad supervisés peuvent plutôt utiliser Managed Lost Mode ; une perte de connexion après redémarrage peut empêcher la sortie de ce mode. Ne pas redémarrer ni éteindre l’appareil dans cet état pour faire un essai. Si la commande Turn off Managed Lost Mode, destinée à quitter le mode, n’est pas reçue ou exécutée, escalader vers l’administration Mobile/Apple et, si l’appareil est physiquement accessible, vérifier d’abord la méthode documentée de connexion réseau filaire. Ce n’est pas la commande d’extinction de l’appareil. L’effacement ou la restauration au moyen d’Apple Configurator ou du mode de récupération exige une autorisation distincte : cette opération supprime les contenus et met fin à la supervision.

Mobile Admin : réinitialiser le mot de passe uniquement après avoir retrouvé l’appareil

La réinitialisation du mot de passe et le redémarrage ne sont pas des tests sans conséquence. Sur iPhone/iPad, la réinitialisation du mot de passe par Sophos Mobile supprime le code et déverrouille l’appareil : elle affaiblit le confinement si celui-ci est toujours manquant ou volé. Ne pas l’utiliser comme réponse à la perte ni comme test de synchronisation ; ne l’envisager qu’après récupération de l’appareil et autorisation distincte dans le cadre de l’incident.

La réinitialisation par l’administrateur est disponible pour Android Enterprise ainsi que pour les iPhone et iPad sans Apple User Enrollment. Elle n’est pas disponible lorsque seul Sophos Intercept X for Mobile est inscrit dans Sophos Mobile pour cet appareil. Sur Android Enterprise, l’utilisateur doit avoir confirmé au préalable le mot de passe de l’appareil. S’il l’a déjà défini lors de la configuration initiale, avant l’installation de Sophos Mobile Control, l’application lui demande de le confirmer à chaque synchronisation. Tant que cette confirmation manque, aucune réinitialisation à distance du mot de passe n’est possible.

Après récupération de l’appareil, identification et autorisation distincte, dans Sophos Mobile Admin :

Dans la barre de menu latérale, ouvrir Devices et cliquer sur l’appareil identifié sans ambiguïté.
Sur Show device, choisir Actions > Reset password.
Si la boîte de confirmation affiche un mot de passe à usage unique pour déverrouiller l’appareil, le communiquer à l’utilisateur autorisé par le canal sécurisé prévu ; ne pas le conserver dans le compte rendu d’incident.
Sur Android, l’utilisateur doit déverrouiller l’appareil avec ce mot de passe à usage unique, puis définir un nouveau mot de passe. Sur iPhone/iPad, le code est au contraire supprimé et l’appareil déverrouillé ; vérifier l’état de protection avant la remise en service.

La version SSP de la réinitialisation du mot de passe Android a ses propres prérequis et, si seul le profil professionnel est géré, peut ne modifier que le mot de passe de celui-ci. Ne pas transposer la procédure d’administration au Self Service Portal ni à la vue de l’appareil Fusion.

Mobile Admin : redémarrer uniquement avec une méthode de retour vérifiée

Sophos Mobile peut redémarrer à distance les appareils Android Enterprise, sauf lorsqu’il ne gère que leur profil professionnel. Sur iPhone et iPad, le redémarrage à distance n’est disponible que pour les appareils supervisés.

Ne pas l’utiliser comme test de synchronisation. Les iPhone/iPad verrouillés par code ne se reconnectent pas au Wi-Fi après un redémarrage. Une intervention de l’utilisateur peut être nécessaire avant qu’ils puissent à nouveau communiquer avec Sophos Mobile. Avant d’autoriser l’action, déterminer qui peut rétablir l’accès sur l’appareil et vérifier sa connexion. Si cette méthode de retour manque, arrêter et escalader vers l’administration Mobile/Apple ; une réinitialisation du mot de passe n’est pas une solution si l’appareil est toujours manquant. Ne pas redémarrer un appareil en Managed Lost Mode pour faire un essai.

Uniquement après identification de l’appareil, vérification de la plateforme et du mode de gestion, et autorisation distincte, dans Sophos Mobile Admin :

Dans la barre de menu latérale, ouvrir Devices.
Sur Devices, cliquer sur la flèche à côté de l’appareil identifié sans ambiguïté et choisir Show.
Sur Show device, choisir Actions > Restart.
Dans la boîte de confirmation, confirmer par Yes.

Sophos Mobile envoie la commande de redémarrage à l’appareil. Celui-ci redémarre immédiatement, sans que l’utilisateur doive confirmer sur l’appareil ; Yes est la confirmation de l’administration. L’envoi seul ne prouve pas l’exécution sur un appareil hors ligne. Vérifier l’état de la tâche et l’état réel de l’appareil ; après le redémarrage, contrôler aussi la connexion à Sophos Mobile et, si elle manque, utiliser la méthode de retour autorisée ou escalader. Cette procédure ne s’applique ni au SSP ni à la vue de l’appareil Fusion.

Mobile Admin : éteindre un iPhone ou un iPad supervisé

Sophos Mobile peut éteindre à distance les iPhone et iPad supervisés. Shut down n’est ni la sortie de Managed Lost Mode, ni un verrouillage de l’appareil, ni un effacement des données. Ne pas éteindre l’appareil en Managed Lost Mode pour faire un essai. Avant une extinction autorisée séparément, déterminer comment l’appareil pourra être rallumé et sa connexion vérifiée ; sans méthode de retour adaptée, arrêter et escalader.

Après identification de l’appareil, confirmation de la supervision et autorisation distincte, dans Sophos Mobile Admin :

Dans la barre de menu latérale, ouvrir Devices.
Sur Devices, cliquer sur la flèche à côté de l’appareil identifié sans ambiguïté et choisir Show.
Sur Show device, choisir Actions > Shut down.
Dans la boîte de confirmation, confirmer par Yes.

Sophos Mobile envoie la commande d’extinction à l’appareil. Celui-ci s’éteint immédiatement, sans confirmation par l’utilisateur sur l’appareil ; Yes confirme l’action du côté de l’administration. Ici encore, l’envoi ne prouve pas l’exécution sur un appareil hors ligne. Vérifier l’état de la tâche et, dans la mesure du possible, l’état de l’appareil. Après sa remise sous tension autorisée, vérifier la connexion et l’état de protection ; si le résultat reste incertain, escalader. Ne pas assimiler cette action à Turn off Managed Lost Mode, à Turn off Lost Mode dans le SSP, ni à une action dans la vue de l’appareil Fusion.

SSP : Lost Mode sur un iPhone ou un iPad

Cette branche concerne uniquement les iPhone/iPad supervisés avec gestion MDM, et non Apple User Enrollment, Android, Mac ou une simple application de sécurité. Après autorisation dans le cadre de l’incident et vérification de la méthode de sortie du mode, sélectionner l’appareil identifié sans ambiguïté dans Sophos Central Self Service Portal > Mobile et utiliser Actions > Turn on Lost Mode. Définir Lock screen message, Lock screen phone number et Footer ; sans Footer, le message par défaut invitant à contacter l’administration s’affiche. Dans ce mode, seuls un appel au numéro configuré et un appel d’urgence sont possibles depuis l’appareil.

Dans le SSP, lorsque Lost Mode est actif et que les autorisations correspondantes sont accordées, Locate, Play Lost Mode sound et Turn off Lost Mode sont disponibles. Un mode activé dans le SSP ne peut pas être désactivé dans iCloud ; inversement, le SSP ne désactive pas un Lost Mode activé dans iCloud. La méthode de sortie SSP Turn off Lost Mode doit être distinguée de la commande d’administration Turn off Managed Lost Mode et de l’extinction de l’appareil. Le risque lié au redémarrage et à l’absence de connexion décrit plus haut subsiste : ne pas redémarrer pour faire un essai ; vérifier la réception de la commande et l’état réel de l’appareil, et escalader si le mode n’est pas désactivé. Une confirmation dans le portail ne garantit pas une restauration réussie.

Suppression des données uniquement après autorisation confirmée

Supprimer sélectivement le profil professionnel : uniquement dans le cadre de la gestion d’un profil professionnel Android Enterprise, après confirmation que les données professionnelles qu’il contient ne sont plus nécessaires. Le profil, ses applications et ses données professionnelles disparaissent ; les données personnelles restent présentes. Cela ne garantit pas la révocation des comptes d’entreprise, jetons ou copies conservés ailleurs.
Réinitialiser l’appareil entier : uniquement si la plateforme et le mode de gestion s’y prêtent, après autorisation explicite concernant la propriété et la sauvegarde des données, et après vérification préalable d’une méthode de réactivation organisationnelle applicable à cette opération. Un compte FRP invalide ou inconnu peut rendre inutilisable un appareil Android entièrement géré après un Wipe ; le choix FRP appartient au Wipe de Sophos Mobile Admin et n’est pas attesté pour « Delete ». Sur iPhone/iPad, clarifier l’Activation Lock avant la réinitialisation en fonction de la méthode précise et de ses prérequis ; sans l’ancien compte Apple, Sophos ne décrit la réactivation que pour les appareils supervisés et sous conditions supplémentaires. Ne présenter ni User Enrollment ni le profil professionnel Android comme permettant un effacement complet. Ne pas promettre une remise en service sans vérification contrôlée.
Désinscrire puis supprimer l’entrée : cela ne remplace pas un Wipe confirmé. Avant d’autoriser l’opération, vérifier ses conséquences pour le mode de gestion concerné :
- Android Enterprise, entièrement géré : la désinscription entraîne une réinitialisation d’usine.
- Appareils Android déjà gérés en mode Device administrator : la désinscription désactive les droits d’administrateur de l’appareil de Sophos Mobile Control et supprime les identifiants de connexion au serveur ainsi que toutes les autres données reçues par Sophos Mobile Control. Sophos Intercept X for Mobile est réinitialisé. Il ne s’agit ni d’un effacement complet, ni d’une révocation des comptes cloud, ni d’une migration des données ; ne pas étendre ces conséquences à Android Enterprise.
- iPhone/iPad : la désinscription supprime les applications gérées, les politiques et les certificats reçus via MDM. Sophos Intercept X for Mobile est réinitialisé ; cela ne réinitialise pas le mot de passe de l’appareil et ne garantit pas la désinstallation de l’application.
- Mac : la désinscription supprime toutes les politiques et les certificats reçus via MDM, mais ne réinitialise pas le Mac aux paramètres d’usine. Les accès au réseau ou aux applications gérés peuvent alors ne plus fonctionner. Avant d’autoriser l’opération, vérifier qu’un accès réseau et administrateur indépendant de ces politiques et certificats est disponible, ainsi qu’un plan adapté pour restaurer les identifiants, les certificats et les données nécessaires. Si aucune méthode adéquate n’est démontrée, s’arrêter et escalader. Si le Mac reste introuvable, continuer à suivre les risques liés aux accès dans le cadre de l’incident ; ne pas affirmer que la désinscription a eu lieu sur l’appareil sans confirmation de son exécution.

Mobile Admin : réinitialiser l’appareil uniquement après autorisation distincte

Wipe réinitialise l’appareil aux paramètres d’usine. L’effacement exécuté est irréversible. Cette procédure concerne les appareils gérés par Sophos Mobile et s’exécute dans Sophos Mobile Admin, pas dans le SSP ni dans Fusion. Elle exclut les appareils Android Enterprise avec profil professionnel, les appareils avec Apple User Enrollment et les Mac déjà verrouillés à distance. La suppression sélective d’un profil professionnel est une opération distincte.

Ne poursuivre qu’après identification sans ambiguïté de l’appareil, autorisation concernant la propriété et la sauvegarde des données, et vérification d’une méthode de réactivation applicable à cette procédure de réinitialisation. Les vérifications FRP, Activation Lock et PIN décrites plus haut restent nécessaires ; la présence d’une action Wipe ne les remplace pas. Si le mode de gestion est incertain, si les identifiants manquent ou si l’autorisation n’a pas été accordée, arrêter et escalader. Wipe n’est pas un test de synchronisation.

Dans la barre de menu latérale, ouvrir Devices.
Sur Devices, cliquer sur le triangle bleu à côté de l’appareil identifié sans ambiguïté et choisir Show.
Sur Show device, choisir Actions > Wipe.
Avant de confirmer, vérifier les paramètres propres au type d’appareil :
- Android Enterprise, entièrement géré : si nécessaire, choisir Turn on Factory Reset Protection dans la boîte de confirmation du Wipe. La FRP exige des comptes Google configurés au préalable ; vérifier de manière sécurisée leur validité et s’assurer que leurs identifiants sont connus avant de déclencher l’action. Si ces comptes sont invalides ou si leurs identifiants sont inconnus, l’appareil devient inutilisable après le Wipe. Ne pas transposer ce choix à Delete ni à un Wipe dans Fusion.
- iPhone/iPad : dans la boîte de confirmation, définir Preserve data plan et Forbid Quick Start conformément au plan de restauration autorisé. Preserve data plan conserve un forfait de données mobiles présent sur l’appareil après la réinitialisation d’usine, pas les autres données de l’appareil. Forbid Quick Start ignore, au premier démarrage après la réinitialisation, l’étape Quick Start du Setup Assistant permettant de transférer des contenus depuis un autre iPhone. Ce n’est pas un blocage permanent de tous les transferts de contenus.
- Mac : définir un code PIN à six chiffres pour le Wipe et le conserver de manière sécurisée. Il doit être saisi sur le Mac pour le déverrouiller. Le code PIN de verrouillage système macOS est disponible sur la fiche de l’appareil sous Device properties > Unlock passcode et sur la page Task details sous Lock PIN. Conserver le code PIN uniquement par la procédure sécurisée prévue, jamais dans le compte rendu d’incident.
Uniquement après confirmation de l’autorisation, choisir Yes dans la boîte de confirmation.

Sophos Mobile crée une tâche Wipe et la transmet à l’appareil. Une tâche créée, notifiée ou encore en attente ne prouve pas que l’effacement a été exécuté. Vérifier l’état précis de la tâche et distinguer signalée comme réussie de confirmée sur l’appareil ; si l’appareil est retrouvé, contrôler son état réel. Si l’appareil est hors ligne, reste introuvable ou si le résultat est contradictoire, ne pas affirmer que les données ont été effacées ; continuer à suivre les accès et le risque pesant sur les données dans le cadre de l’incident et escalader. Ni la dernière synchronisation ni l’envoi de la commande ne constituent un critère de réussite.

Aucun retour arrière n’est possible une fois l’effacement exécuté. Une inscription ultérieure ou une modification de l’inventaire ne restaure pas les données effacées. Une remise en service à partir de sauvegardes adaptées est une opération distincte nécessitant une autorisation ; vérifier séparément la réactivation, la réinscription et l’état de protection conformément à la section « Vérifier le résultat et escalader ». Cette procédure ne permet pas de garantir qu’une tâche déjà envoyée pourra encore être arrêtée.

Après Unenroll : vérifier la remise en service

Pour la remise en service après une désinscription, appliquer les vérifications de réinscription et d’état de protection de la section « Vérifier le résultat et escalader ». La réinitialisation de l’application ne prouve pas que la protection reste effective.

Avant Delete : vérifier la désinscription et la synchronisation

Désinscrire l’appareil avant de le supprimer de Sophos Mobile. Sophos avertit expressément qu’il pourrait sinon devenir inutilisable. Même la suppression d’un appareil Android Enterprise encore géré en mode appareil entier peut déclencher une réinitialisation d’usine.

Pour un appareil encore inscrit autre que Windows, selon Sophos, la désinscription déclenchée par la suppression de l’entrée n’intervient qu’à la synchronisation suivante avec Sophos Mobile. Elle ne se produit ni immédiatement ni lors d’une étape administrative ultérieure. Si l’appareil reste hors ligne, sa désinscription n’est pas confirmée sur l’appareil. Sous Windows, cette désinscription automatique après suppression ne s’applique justement pas.

Distinguer la désinscription dans l’application de celle dans le SSP

La désinscription dans l’application Sophos Mobile Control ne doit pas être confondue avec sa désinstallation. Elle supprime la connexion au serveur et les données associées, mais laisse l’application installée.

Cela ne décrit pas la désinscription via le SSP. Selon Sophos, Sophos Mobile Control est alors désinstallé sur iPhone/iPad. La description de l’opération dans l’application ne remplace pas non plus les conséquences de la désinscription propres au mode de gestion mentionnées plus haut.

Après Delete : vérifier séparément la conservation et la protection des données

« Delete » supprime l’entrée Sophos Mobile et les données de l’appareil qui y sont stockées. Les données précédemment transférées vers le Sophos Data Lake restent conservées jusqu’à l’expiration de la durée de conservation Sophos XDR applicable.

La suppression ne prouve ni l’effacement sur un appareil hors ligne, ni la suppression de toutes les données cloud et d’audit, ni la satisfaction d’une demande générale d’effacement. Vérifier séparément la conservation et la protection des données selon le processus de l’organisation.

SSP : supprimer de la liste un appareil déjà désinscrit ou réinitialisé

Delete unenrolled device est un nettoyage de liste effectué après coup, et non une mesure de réponse à la perte ni un Wipe à distance. Uniquement après une désinscription confirmée ou une réinitialisation autorisée séparément et effectivement réalisée, et avec l’autorisation Delete unmanaged device, sélectionner le bon appareil dans Sophos Central Self Service Portal > Mobile et utiliser Actions > Delete. Vérifier ensuite qu’il n’apparaît plus dans la liste d’appareils de l’utilisateur. Une tâche Unenroll ou de réinitialisation simplement en attente ne remplit pas ce prérequis ; si l’appareil est hors ligne, ne pas présumer qu’il a déjà été désinscrit ou réinitialisé.

Cette branche SSP ne doit pas être assimilée à Fusion-Delete sur un appareil encore géré. Elle ne prouve aucun effacement sur l’appareil et ne restaure aucune donnée ; les limites décrites plus haut concernant la réinitialisation d’usine Android, la désinscription Windows, la réactivation et la conservation restent notamment applicables.

Vérifier le résultat et escalader

Après une action autorisée, vérifier dans Sophos Mobile l’état précis de la tâche, l’heure de la dernière synchronisation et, si possible, l’état réel de l’appareil retrouvé. Distinguer créée/notifiée, signalée comme réussie et confirmée physiquement. Si l’appareil est hors ligne, que le résultat est contradictoire ou que l’appareil reste introuvable, ne pas affirmer que les données ont été effacées ; continuer à suivre les accès et le risque pesant sur les données dans le cadre de l’incident. Pour une remise en service, autoriser séparément la réactivation, la sauvegarde nécessaire, la réinscription et la vérification de l’état de protection. Une modification ultérieure de l’inventaire ne restaure ni un profil professionnel supprimé ni des données effacées.

Limites de cette aide à la décision

La documentation des fabricants atteste les limites des produits, pas l’autorisation d’agir sur un appareil précis. Vérifier sur place les interfaces, la propriété, le mode de gestion et les politiques du tenant concerné. Release n’est pas une mesure immédiate en cas de perte.