Meilleures pratiques en matière de gestion du cycle de vie des équipements informatiques mobiles (ITAD) : comment optimiser la valeur de revente à grande échelle

Dans la plupart des cycles de renouvellement des équipements d'entreprise, les smartphones professionnels constituent les actifs présentant la valeur de revente unitaire la plus élevée. Ce sont également ceux qui sont le plus souvent remis à un prestataire de services ITAD sans avoir été correctement préparés.

Avec les verrous MDM toujours actifs, le verrou d'activation non désactivé et le nettoyage limité à une réinitialisation manuelle aux paramètres d'usine, vous perdez une grande partie de cette valeur de revente.

La différence entre un appareil traité correctement et un appareil mal traité, c'est la différence entre une source de revenus et une perte totale.

En bref : comment préserver la valeur des appareils mobiles tout en respectant les exigences de conformité

• Une réinitialisation aux paramètres d'usine ne constitue pas un effacement de données conforme à la norme NIST 800-88. La norme NIST 800-88 (rév. 1) définit trois niveaux d'effacement : « Clear », « Purge » et « Destroy ». Une réinitialisation aux paramètres d'usine effectuée par l'utilisateur ne répond pas à la norme « Purge » pour les supports de stockage flash, qui exige un effacement cryptographique ou l'utilisation de commandes d'effacement sécurisé spécifiques au fabricant. Pour les appareils destinés à la remise à neuf ou à la revente, la procédure requise est l'effacement logique conforme à l'annexe B de la norme R2v3 : une procédure documentée, générée par logiciel et vérifiée pour chaque appareil.
• La désinscription du MDM est une condition préalable à la récupération de la valeur. Un iPhone ou un appareil Android inscrit à Microsoft Intune, Jamf ou VMware Workspace ONE doit être officiellement désinscrit avant sa mise au rebut. Sous iOS, une désinscription incorrecte ne permet pas de désactiver le verrouillage d’activation, ce qui laisse l’appareil lié à un identifiant Apple auquel le nouveau propriétaire n’a pas accès. Sous Android, la protection contre la réinitialisation d’usine liée à un compte Google géré produit le même résultat. Dans les deux cas, un appareil qui aurait pu être revendu sur le marché de l’occasion se transforme en déchet électronique.
• Les appareils mobiles présentent l'une des valeurs de revente unitaires les plus élevées, mais cette valeur est fragile. Un iPhone haut de gamme en bon état esthétique, correctement désinfecté et débloqué, peut rapporter plusieurs centaines de dollars sur le marché de l'occasion. Le même appareil, s'il est soumis à un verrouillage d'activation, ne rapporte qu'une fraction de cette somme. Le montant pourrait même être inférieur au coût de son traitement. La différence entre ces deux résultats tient entièrement au processus : tout dépend de la capacité de votre prestataire ITAD à gérer la désactivation MDM une fois que l'appareil a quitté vos locaux.
• La différence entre les bonnes et les mauvaises pratiques en matière de gestion du cycle de vie des équipements informatiques mobiles n'est pas purement superficielle. Les mauvaises pratiques : une désinfection non documentée, un état des appareils non vérifié et des registres qui ne résisteraient pas à un audit. Si vous remédiez à ces problèmes, vous disposerez d'une source de revenus récupérable.

Risques liés à une mise hors service incorrecte des appareils mobiles

Le centre de gravité du secteur de la gestion des actifs informatiques (ITAD) est le centre de données. Lorsqu'une entreprise met hors service Pour une baie de serveurs Dell PowerEdge R750, il existe une procédure bien établie : recenser les disques durs, vérifier que la méthode de destruction est conforme à la norme NIST 800-88, générer des certificats pour chaque équipement, puis clôturer la chaîne de traçabilité.

Le mobile est considéré comme un problème de volume auquel il existe une solution simple : “ Effacer et renvoyer ”. Les appareils sont petits et généralement très nombreux. On part du principe qu’une réinitialisation d’usine permet de gérer les données et qu’une étiquette de palette permet de gérer la logistique.

Cette hypothèse est erronée à trois égards distincts.

1. La réinitialisation d'usine sur les appareils iOS et Android modernes ne garantit pas l'irrécoverabilité des données dans un contexte d'expertise judiciaire. Pour effacer définitivement les données d'un appareil mobile, le processus d'effacement doit être effectué à l'aide d'un logiciel capable de générer un rapport d'effacement spécifique à chaque appareil, et des contrôles qualité doivent vérifier que les données ont bien été supprimées.
2. Les appareils mobiles sont soumis à des contraintes de gestion persistantes qui ne disparaissent pas lorsque l'appareil quitte vos locaux. Si l'appareil a été enregistré sur une plateforme MDM ou UEM, il se peut qu'il y soit toujours enregistré lorsque le prestataire ITAD lance le processus d'effacement.
3. Le marché de l'occasion des appareils mobiles est extrêmement dynamique et très sensible à la classification des appareils. Une mauvaise gestion de ce processus ne se traduit pas seulement par un problème de conformité. Elle anéantit les revenus que l'appareil était censé générer.

Pourquoi la désactivation d'un smartphone est-elle la clé de sa valeur de revente ?

Toutes les solutions MDM et UEM les plus courantes (Microsoft Intune, Jamf Pro, VMware Workspace ONE, etc.) prennent en charge la désinscription. Quant à savoir si les administrateurs informatiques procèdent effectivement à la désinscription des smartphones, c'est une tout autre histoire.

Voici ce qui se passe lorsque différents types d'appareils entrent dans le processus de mise hors service sans avoir été correctement désenregistrés :

Appareils iOS enregistrés via Apple Business Manager (ABM). Le verrouillage d'activation Apple est lié au numéro de série de l'appareil, qui est enregistré dans ABM. Même après une réinitialisation d'usine, l'appareil demandera les identifiants de l'Apple ID d'origine avant de pouvoir être configuré par un nouvel utilisateur. Un appareil qui sort d'un système MDM d'entreprise sans avoir été officiellement retiré d'ABM reste verrouillé sur les identifiants Apple de votre organisation. Le prestataire ITAD ne peut pas effacer ces informations à distance. L’appareil ne peut pas être revendu sans l’intervention directe de votre équipe informatique pour le désenregistrer d’ABM.

Appareils Android enregistrés via un compte Google géré. L'équivalent sur Android est la « Factory Reset Protection » (FRP). Si un appareil est réinitialisé sans avoir été correctement désenregistré, les identifiants du compte Google précédent seront requis lors du premier démarrage. Résultat identique : un verrouillage empêchant la revente et nécessitant l'intervention d'un service informatique.

Tablettes et appareils Surface enregistrés via Windows Autopilot. L'enregistrement via Autopilot associe le hachage matériel d'un appareil à un locataire Azure AD. Lorsqu'une Surface Pro enregistrée via Autopilot est réinitialisée aux paramètres d'usine et remise à un nouvel utilisateur extérieur à l'organisation, elle s'enregistre à nouveau auprès du locataire précédent dès son premier démarrage. L’équipe de reconditionnement du fournisseur ITAD ne peut pas résoudre ce problème. L’acheteur ne peut pas non plus y remédier. Seule votre équipe informatique, qui dispose d’un accès à Microsoft Intune et à la fiche de l’appareil Autopilot, peut supprimer le hachage matériel et libérer l’appareil.

La séquence à respecter pour tout appareil inscrit dans le système MDM est la suivante :

1. Désinscription dans votre établissement
2. Effacement de l'appareil (deuxième tentative)
3. Vérification et essais

Que précise réellement la liste de contrôle de réception de votre prestataire ITAD concernant le statut MDM ? S'il n'y a pas de champ dédié à cela, vous connaissez déjà la réponse.

La désinfection à grande échelle : ce qu’exige réellement la norme NIST 800-88 pour les appareils mobiles

La norme R2v3 couvre explicitement les supports de stockage à semi-conducteurs, y compris la mémoire flash NAND dans smartphones et tablettes. Elle définit trois voies conformes : l'effacement logique (qui nécessite toujours l'annexe B), la destruction physique conformément à l'exigence fondamentale 7(c)(2)(B) à l'aide de méthodes approuvées par la norme NIST 800-88, ou l'externalisation auprès d'un prestataire en aval qualifié. La destruction physique renforcée, assortie de contrôles complets de la chaîne de traçabilité, relève également de l’annexe B.

Pour les appareils remis à neuf et revendus, c'est-à-dire la plupart d'entre eux, compte tenu de leur valeur sur le marché de l'occasion, la destruction physique n'est pas envisageable. Cela signifie que l'annexe B s'applique et constitue la meilleure solution pour préserver la valeur des appareils. Voici ce que cela implique concrètement :

Suivi de chaque appareil, de sa réception jusqu'à sa désinfection. La section 2 de l’annexe B de la norme R2v3 exige que soient conservés des registres indiquant l’identifiant unique de chaque support de stockage de données. Dans le domaine de la téléphonie mobile, cet identifiant correspond à l’IMEI ou au numéro de série, et ces registres doivent être tenus à jour depuis le moment où le prestataire de services ITAD prend le contrôle des appareils jusqu’à la fin du processus d’effacement des données. Un certificat global indiquant “ 400 iPhones effacés le [date] ” ne répond pas à cette exigence. Seuls les registres individuels par appareil y répondent.

Désinfection par logiciel avec vérification. La norme NIST 800-88 relative aux supports de stockage flash recommande un effacement cryptographique (destruction de la clé de chiffrement afin que les données stockées soient définitivement inaccessibles) ou un écrasement complet. Des outils tels que Blancco Mobile, BitRaser, NSYS Group et Ziperase, ou encore des outils propriétaires des fabricants (OEM) générant des rapports d’effacement spécifiques à chaque appareil, répondent à cette exigence. Ce n’est pas le cas d’un technicien effectuant une réinitialisation manuelle aux paramètres d’usine via l’interface utilisateur de l’appareil.

Documentation qui résiste à un audit. Un registre de nettoyage conforme aux exigences d’audit doit mentionner l’identifiant de l’appareil, la méthode de nettoyage utilisée, la date et le résultat (réussite ou échec). La version R2v3 ne vous fournit pas de formulaire prêt à l’emploi. En revanche, il exige un plan de nettoyage des données documenté, une traçabilité par appareil depuis sa réception jusqu’à la fin du processus, ainsi que des registres générés par logiciel pour chaque appareil logiquement nettoyé. Prises dans leur ensemble, ces exigences signifient que votre documentation doit répondre à ces quatre questions pour chaque appareil. Si ce n’est pas le cas, elle ne résistera pas à l’examen d’un auditeur. ”

C'est au niveau du volume que le système peut présenter des défaillances. Lorsqu'un prestataire de services ITAD traite 500 smartphones par jour, la pression est forte pour aller vite. Une effacement sécurisé correct de chaque appareil à l'aide d'outils conformes aux normes NIST prend plus de temps qu'une réinitialisation d'usine.

Mettre en place un processus d'ITAD pour les appareils mobiles qui fonctionne sans accroc

Les points faibles de la gestion mobile sont prévisibles. La solution à chacun d'entre eux est d'ordre procédural, et non technique.

Avant que les appareils ne quittent vos locaux : vérifiez que chaque appareil du lot a bien été désenregistré du système de gestion des appareils mobiles (MDM). Pour iOS, cela implique de vérifier que l'appareil a bien été supprimé d'Apple Business Manager. Pour Android, il faut vérifier que l'appareil a bien été désenregistré de Workspace ONE ou d'Intune et que la protection par mot de passe d'usager (FRP) a bien été désactivée. Pour les tablettes Windows inscrites à Autopilot, supprimez le hachage matériel de votre tenant Azure AD avant l'expédition de l'appareil.

Lors de la réception : votre prestataire ITAD doit enregistrer individuellement l'IMEI ou le numéro de série de chaque appareil. S'il procède à un enregistrement par lot, il ne respecte pas les exigences de l'annexe B de la norme R2v3 et ne sera pas en mesure de fournir la documentation relative à la chaîne de contrôle par appareil dont vous aurez besoin.

Au cours du traitement : effacement logique conforme à la norme NIST 800-88 à l'aide d'outils générant un rapport d'effacement pour chaque appareil.

Lors de la notation : Tests de bon fonctionnement et contrôle esthétique selon une échelle de classification définie, avec des fiches de classification au niveau de chaque dispositif associées à chaque numéro de série avant que celui-ci n'entre sur le marché secondaire.

À la clôture : Certificats de désinfection par appareil, indiquant le numéro IMEI, la méthode de désinfection, la date et le résultat de la vérification. Il ne s'agit pas d'un certificat groupé. Par appareil.

Ce processus prend plus de temps par unité que la méthode consistant à « empiler et effacer ». Il permet également de récupérer davantage d'argent par unité et de produire une documentation de conformité solide. Le calcul n'a rien de compliqué.

Un iPhone 15 Pro Max correctement préparé, présentant un état esthétique de catégorie A (écran intact, aucun dommage esthétique significatif, sans restriction MDM, déverrouillé sur iCloud) et parfaitement fonctionnel, permet de récupérer régulièrement plusieurs centaines de dollars. Le même téléphone, avec un écran fissuré et un verrouillage d'activation non résolu, ne rapporte absolument rien.

C'est à vous de déterminer si votre prestataire de services ITAD a suffisamment adapté son processus de gestion des appareils mobiles à vos exigences de conformité et à la valeur de récupération de vos données.

exIT Technologies prend en charge la mise au rebut des appareils mobiles d'entreprise ainsi que la mise hors service des serveurs et des centres de données, avec une documentation relative à l'effacement des données par appareil et la valorisation sur le marché secondaire. Découvrez notre approche en matière de mise hors service des terminaux.