Sécurité mobile & conformité RGPD

TELIOS : effacement certifié et audit de sécurité des smartphones Android en entreprise

Un smartphone d'entreprise qui change de mains est à la fois un actif à valoriser et un risque juridique à éteindre. TELIOS vérifie, assainit et atteste l'état d'un terminal Android en quelques clics — sans ligne de commande, sans envoi de données à un tiers, et sans vendre le mythe de l'effacement « niveau militaire » qui circule encore sur mobile. Avant même l'effacement, l'outil va aussi inventorier les applications déjà installées sur l'appareil, préciser ce qu'elles font réellement en matière de sécurité et de fuite de données, et confronter ce diagnostic à Koodous, une plateforme collaborative reconnue dans l'analyse de sécurité Android.

100 % local, sans cloud Conforme RGPD Attestation SHA-256

Le vrai « niveau militaire », c'est le chiffrement

Le marché attend un effacement « de niveau militaire » : plusieurs passes de réécriture, promesse héritée du standard américain DoD 5220.22-M. Sur un smartphone, cette promesse est vide, et il vaut mieux le savoir avant de la vendre à un client.

La mémoire flash d'un mobile — eMMC ou UFS — ne se comporte pas comme un disque magnétique. Son contrôleur pratique le wear-leveling : chaque écriture est redirigée vers des cellules physiques différentes afin de répartir l'usure. Une seconde passe ne repasse donc jamais au même endroit. Elle n'efface rien de plus, use le support et fait perdre des heures.

Le département de la Défense américain a lui-même retiré ce standard. La référence en vigueur, NIST SP 800-88 Rev. 1, prescrit autre chose : le crypto-erase. Android chiffre le stockage par défaut depuis la version 6, et la réinitialisation d'usine détruit la clé de chiffrement. Les anciennes données deviennent illisibles instantanément, quel que soit le matériel d'analyse placé en face.

Six écrans, un parcours

L'application est une interface de bureau pour Linux Mint et Ubuntu. Elle a été conçue pour qu'un opérateur qui n'est pas ingénieur système puisse la conduire seul, en suivant l'ordre des onglets.

1. Détection — voir ce qui est branché

Branchez le terminal en débogage USB ou en simple mode « Transfert de fichiers », puis lancez l'analyse. TELIOS ne liste que des téléphones et des tablettes : les disques et clés USB connectés au poste ne sont jamais proposés comme cible, ce qui écarte d'emblée la fausse manœuvre la plus coûteuse.

2. Diagnostic — le verdict sur le chiffrement

C'est l'écran qui décide de tout le reste. TELIOS interroge le terminal et rend un verdict lisible : modèle, version d'Android, état et type de chiffrement, présence d'un accès root, espace libre réel. Une case à cocher suffit à générer le rapport d'attestation correspondant.

3. Assainissement — l'espace libre recouvert

Choisissez le canal, vérifiez l'appareil détecté, lancez. L'espace libre est recouvert de données aléatoires, avec une barre de progression en temps réel et un journal d'exécution. Les fichiers présents ne sont pas touchés — l'opération vise les traces des fichiers déjà supprimés. Les actions irréversibles sont protégées par une confirmation renforcée.

4. Fichiers effacés — la preuve, avant et après

C'est la démonstration la plus parlante devant un client. TELIOS liste les images encore lisibles sur le terminal : corbeilles Android, dossiers cachés, miniatures oubliées. Avant assainissement, les fichiers remontent. Après, plus rien ne remonte.

5. Analyse des applications — ce que le parc laisse fuir

Au-delà de l'effacement, TELIOS dresse l'inventaire des applications installées et évalue leur caractère intrusif : permissions sensibles et pisteurs publicitaires, avec un score par application. Ce diagnostic se double d'une vérification de réputation auprès de Koodous, plateforme collaborative reconnue dans l'analyse de sécurité Android, pour confronter chaque application à une base de menaces connues. L'audit complet s'exporte en PDF. Point déterminant pour un parc d'entreprise : l'analyse des permissions et des pisteurs se fait localement, sans transmission de données personnelles à un service tiers.

6. L'attestation — le document que vous remettez

Chaque opération produit un rapport signé. Le PDF récapitule l'appareil concerné, le diagnostic de sécurité, la procédure réellement exécutée et son bilan. Il porte une empreinte SHA-256 qui permet d'en vérifier l'intégrité, et une section de conformité qui cite la norme appliquée.

Le cadre RGPD, traité en amont

Si le terminal a déjà été attribué à une personne, il contient des données à caractère personnel. L'intervention est alors un traitement au sens du RGPD, qui suppose une information préalable au titre de l'article 13 et une autorisation écrite.

TELIOS produit ce document. Le formulaire fait renseigner l'organisme qui intervient, sa qualité et surtout son rôle au sens du RGPD : responsable de traitement ou sous-traitant. Cette distinction n'est pas décorative — un sous-traitant relève de l'article 28 et doit être lié par contrat au responsable de traitement.

Ce document ne se présente pas comme un consentement : la CNIL considère que le consentement est rarement valable entre un employeur et un salarié, le lien de subordination l'empêchant d'être librement donné. Il vaut information préalable et autorisation d'agir, et doit être validé par votre conseil ou votre DPO avant tout usage contractuel.

Ce que TELIOS ne prétend pas faire

La confiance se gagne aussi en énonçant les limites.

• TELIOS ne remplace pas la réinitialisation d'usine : il la prépare, la documente et la complète. C'est le factory reset qui détruit la clé de chiffrement.
• Sans accès root, Android interdit la lecture des secteurs bruts. C'est une limite de l'outil — et c'est exactement la garantie que vous vendez au client : ce que TELIOS ne peut pas lire, un logiciel de récupération ne le peut pas davantage.
• Aucune passe supplémentaire n'est proposée comme argument de vente. Elle n'apporterait rien de mesurable sur mémoire flash.

Pour qui

TELIOS s'adresse aux organisations qui font transiter des terminaux Android : direction des systèmes d'information gérant un parc de smartphones et de tablettes, prestataire informatique intervenant pour le compte de ses clients, service des ressources humaines lors des départs, reconditionneur devant garantir l'état des appareils qu'il remet sur le marché.

Le point commun de ces quatre métiers : ils doivent pouvoir prouver ce qu'ils ont fait, longtemps après l'avoir fait. C'est la raison d'être de l'attestation signée.