Większość organizacji, które wydają iPhone’y, iPady lub Maci, prędzej czy później staje przed tym samym pytaniem: jak kontrolować urządzenia, których fizycznie nie posiadają? Zarządzanie urządzeniami mobilnymi (MDM, Mobile Device Management) daje na nie odpowiedź. Umożliwia scentralizowaną konfigurację ustawień, dystrybucję aplikacji oraz egzekwowanie reguł bezpieczeństwa. Sam mechanizm jest prostszy, niż wielu zakłada, a jego zasięg jest szerszy, niż spodziewa się większość użytkowników. Niektóre z tych możliwości budzą pytania, które niewielu pracowników zadaje, dopóki urządzenie nie zaginie.
Czym jest MDM i dlaczego urządzenia Apple go potrzebują?
Dlaczego organizacje polegają na Mobile Device Management (MDM) w zarządzaniu urządzeniami Apple? MDM to framework programowy, który pozwala administratorom konfigurować, monitorować, zabezpieczać i zarządzać iPhone’ami, iPadami i komputerami Mac zdalnie. Dzięki bezpiecznemu połączeniu między każdym urządzeniem a serwerem MDM zespoły IT mogą egzekwować zasady dotyczące kodów dostępu, instalować lub usuwać aplikacje, dystrybuować aktualizacje oraz włączać zdalne blokowanie lub wymazywanie danych, jeśli urządzenie zostanie zgubione lub skradzione.
Urządzenia Apple wymagają MDM, ponieważ organizacje coraz częściej wykorzystują je do pracy, równolegle z danymi osobistymi. Bez scentralizowanej kontroli każde urządzenie wymaga ręcznej konfiguracji, niespójne ustawienia bezpieczeństwa mogą narazić informacje firmowe, a pracownicy mogą instalować niesprawdzone oprogramowanie. MDM zastępuje te ręczne procesy zautomatyzowanymi, spójnymi zasadami, zmniejszając obciążenie pracą i ryzyko bezpieczeństwa, a jednocześnie oddzielając dane firmowe od osobistych.
Jak serwer MDM dociera do Twojego urządzenia?
Urządzenia Apple nie utrzymują stałego otwartego połączenia z serwerem MDM. Zamiast tego do odbierania sygnałów wykorzystują usługę Apple Push Notification service (APNs). Gdy administrator wysyła polecenie, serwer MDM przesyła powiadomienie do APNs, które dostarcza do urządzenia lekką wiadomość wybudzającą. Urządzenie następnie kontaktuje się z serwerem MDM za pośrednictwem HTTPS, aby sprawdzić oczekujące polecenia, takie jak instalacja profilu, zablokowanie urządzenia lub aktualizacja oprogramowania.
Urządzenie uwierzytelnia się za pomocą swojego certyfikatu rejestracji MDM, dzięki czemu tylko zarządzane urządzenie otrzymuje swoje instrukcje. Odpowiedzi wracają tą samą drogą, a urządzenie raportuje swój stan i dane inwentarzowe. Ponieważ samo powiadomienie push nie zawiera wrażliwych treści, kanał pozostaje wydajny. Urządzenia dodatkowo okresowo się meldują, dzięki czemu rekordy na serwerze są aktualne.
Zarejestruj swoje urządzenia Apple w MDM
Sposób, w jaki urządzenie dołącza do usługi MDM, determinuje, jaką kontrolę organizacja może nad nim sprawować. Apple oferuje kilka ścieżek rejestracji, z których każda jest dostosowana do innych modeli własności.
| Metoda rejestracji | Własność | Zakres zarządzania |
|---|---|---|
| Rejestracja użytkownika (User Enrollment) | Osobista | Ograniczony do danych służbowych |
| Rejestracja urządzenia (Device Enrollment) | Organizacja | Pełna kontrola urządzenia |
| Automatyczna rejestracja urządzeń (Automated Device Enrollment) | Organizacja | Pełna kontrola, tryb nadzorowany |
| Rejestracja oparta na koncie (Account-Driven Enrollment) | Osobista lub organizacja | Zależy od konfiguracji |
Rejestracja w trybie nadzorowanym zapewnia najsilniejszy nadzór, umożliwiając stosowanie ograniczeń, takich jak blokowanie usuwania aplikacji i blokowanie profili konfiguracji. Administratorzy powinni wybrać metodę przed wdrożeniem, ponieważ późniejsza zmiana sposobu rejestracji często wymaga wyczyszczenia urządzenia. Rejestracja użytkownika chroni dane osobiste na urządzeniach będących własnością prywatną, oddzielając informacje służbowe i pozwalając pracownikom w dowolnym momencie usunąć zarządzanie. Wybierz metodę odpowiadającą Twojemu modelowi własności.
Wypychanie aplikacji na zarządzane urządzenia Apple zdalnie
Po zarejestrowaniu urządzeń administratorzy mogą dystrybuować aplikacje bez fizycznego dostępu do każdego egzemplarza. Korzystając z rozwiązania MDM, przypisują aplikacje do urządzeń lub grup użytkowników, a instalacja rozpoczyna się automatycznie przez sieć, gdy urządzenie połączy się z serwerem. Aplikacje obowiązkowe instalują się bez udziału użytkownika, co skraca czas konfiguracji i zapewnia spójność w całej flocie urządzeń.
Administratorzy mogą również określać konfiguracje, takie jak gotowe ustawienia lub dane logowania, dzięki czemu aplikacje działają od razu po instalacji. Aktualizacje i usuwanie przebiegają w ten sam sposób. Gdy aplikacja przestaje być potrzebna lub urządzenie zostanie zgubione, administratorzy mogą usunąć ją zdalnie, chroniąc dane organizacji.
Aplikacje z App Store są przypisywane za pośrednictwem Apple Business Manager, co łączy zakupy z organizacją. Niestandardowe aplikacje wewnętrzne pozostają dostępne wyłącznie dla upoważnionych użytkowników.
Które zasady bezpieczeństwa może egzekwować dział IT?
Jeśli chodzi o ochronę danych, MDM zapewnia działowi IT scentralizowany zestaw kontroli, które obowiązują na każdym zarejestrowanym urządzeniu bez konieczności ręcznej konfiguracji. Administratorzy definiują wymagania bezpieczeństwa jednokrotnie i wdrażają je w całej flocie urządzeń, zapewniając spójne egzekwowanie niezależnie od lokalizacji urządzenia lub użytkownika.
Typowe zasady, które można egzekwować, obejmują:
- Reguły dotyczące złożoności, długości i wygasania kodu dostępu
- Obowiązkowe szyfrowanie z użyciem FileVault w systemie macOS oraz wbudowanego szyfrowania w systemach iOS i iPadOS
- Ograniczenia dotyczące iCloud, AirDrop oraz udostępniania danych z niezarządzanych aplikacji
- Zdalne blokowanie, resetowanie kodu dostępu oraz pełne lub selektywne czyszczenie danych
- Egzekwowanie ustawień zapory sieciowej, Gatekeepera oraz aktualizacji oprogramowania
Urządzenia niezgodne z zasadami mogą zostać oznaczone, zablokowane w dostępie do zasobów firmowych lub automatycznie usunięte z zarządzania. Raportowanie zgodności na bieżąco pokazuje, które urządzenia spełniają poszczególne wymagania, co pozwala działowi IT weryfikować egzekwowanie zasad i usuwać luki, zanim przerodzą się w incydenty.
Zaplanuj aktualizacje oprogramowania za pomocą MDM
Dlaczego organizacja miałaby pozostawiać decyzję o czasie aktualizacji poszczególnym użytkownikom, skoro niezaktualizowane urządzenia pozostają narażone na znane luki w zabezpieczeniach? Mobile Device Management pozwala administratorom kontrolować, kiedy instalowane są aktualizacje oprogramowania, zdejmując ten ciężar z użytkowników, którzy mogą odkładać poprawki w nieskończoność. Administratorzy mogą wypchnąć konkretną wersję systemu iOS lub macOS, ustawić docelową datę i określić terminy, tak aby urządzenia aktualizowały się automatycznie podczas zaplanowanych okien serwisowych.
Planowanie zmniejsza również zakłócenia. Aktualizacje można skonfigurować tak, aby instalowały się w nocy, gdy urządzenia są podłączone do ładowania i bezczynne, zamiast przerywać pracę w godzinach roboczych. Administratorzy mogą dodatkowo opóźniać mniej istotne wydania w celu ich przetestowania, jednocześnie wymuszając szybsze wdrażanie poprawek bezpieczeństwa.
Raporty zgodności pokazują następnie, które urządzenia zainstalowały poszczególne aktualizacje, co pozwala działowi IT szybko podjąć działania wobec opóźniających się urządzeń. Takie scentralizowane podejście znacząco skraca okresy narażenia.
Co się dzieje, gdy urządzenie zginie?
Gdy iPhone, iPad lub Mac zostanie zgubiony, MDM pozwala administratorom działać natychmiast, zamiast czekać, aż użytkownik zgłosi utratę. Administratorzy mogą zdalnie zablokować urządzenie kodem dostępu i wyświetlić niestandardową wiadomość zawierającą numer kontaktowy. Jeśli odzyskanie urządzenia wydaje się mało prawdopodobne, mogą wymazać urządzenie, usuwając dane firmowe przy zachowaniu rekordu urządzenia do celów raportowania.
Oprócz blokowania i wymazywania MDM obsługuje kilka działań, które wzmacniają odzyskiwanie i bezpieczeństwo:
- Odtwarzanie dźwięku, aby zlokalizować urządzenie znajdujące się w pobliżu
- Śledzenie ostatniej znanej lokalizacji w konsoli zarządzania
- Odbieranie dostępu do firmowych aplikacji i kont
- Przechowywanie dzienników do celów zgłoszeń na policję i roszczeń ubezpieczeniowych
- Ograniczanie możliwości dołączania urządzenia do firmowych sieci
Szybka reakcja ogranicza narażenie danych i zmniejsza skutki finansowe. Wcześniej przygotowane procedury zapewniają szybkie wykonanie działań.
Czym różni się MDM na iPhone’ach, iPadach i Macach
Chociaż ta sama platforma MDM zarządza urządzeniami iPhone, iPad i Mac, dostępne opcje kontroli zależą od sprzętu, systemu operacyjnego i typowego sposobu użytkowania każdej z platform. iPhone i iPad są najczęściej zarządzane jako urządzenia nadzorowane, co odblokowuje bardziej rygorystyczne kontrole, takie jak ograniczanie instalacji aplikacji oraz zapobieganie usunięciu profilu zarządzania.
Komputery Mac natomiast działają pod kontrolą macOS i pozwalają użytkownikowi na większy wpływ na konfiguracje. Nadzór jest dostępny dla komputerów Mac zarejestrowanych za pośrednictwem Apple Business Manager, jednak wiele organizacji zarządza nimi bez nadzoru, polegając na profilach konfiguracyjnych, skryptach i zatwierdzaniu przez użytkownika. Komputery Mac obsługują również pełne szyfrowanie dysku, zasady aktualizacji oprogramowania oraz ograniczenia logowania. Ponieważ komputery Mac często pełnią rolę stacjonarnych stacji roboczych, administratorzy kładą nacisk na szyfrowanie, wymuszanie aktualizacji i kontrolę kont, co wyraźnie różni się od ograniczeń stosowanych wobec urządzeń mobilnych.
Czy pracodawca może widzieć wszystko za pośrednictwem MDM?
Ile pracodawca może zobaczyć za pośrednictwem MDM zależy przede wszystkim od typu rejestracji. Prywatne urządzenia zarejestrowane przez User Enrollment oddzielają dane prywatne, ograniczając pracodawców do zarządzanych kont i aplikacji służbowych. Nadzorowane urządzenia należące do firmy pozwalają na znacznie szerszy nadzór.
Na nadzorowanych urządzeniach pracodawca zazwyczaj może wyświetlić:
- Zainstalowane aplikacje i ich wersje
- Model urządzenia, numer seryjny i wersję systemu operacyjnego
- Stan kodu dostępu i szyfrowania
- Lokalizację urządzenia, jeśli śledzenie jest włączone
- Zarządzane aplikacje i dane firmowe
Pracodawcy zazwyczaj nie mogą czytać prywatnych wiadomości, historii przeglądania ani zdjęć.
Użytkownicy mogą sprawdzić status rejestracji w sekcji Ustawienia > Ogólne > VPN i zarządzanie urządzeniami, gdzie wyświetlane są zainstalowane profile i ich uprawnienia. Przejrzystość co do zakresu monitorowania ma znaczenie, dlatego pracownicy powinni przed rejestracją swoich urządzeń zażądać pisemnej polityki od działu kadr (HR).
Wróć do indeksu A-Z