MDM для бизнеса. Как управлять мобильными активами с уверенностью

Множество организаций обеспечивают своих сотрудников рабочими инструментами, в которые входят не только не рабочие станции и ноутбуки, но и различного рода устройства под управлением мобильных операционных систем. Это могут быть смартфоны, планшеты, а также различные специализированные устройства для выполнения узконаправленных задач – к примеру, для ритейлеров и промышленных компаний это могут быть терминалы сбора данных (ТСД).

Порой потребность в использовании смартфонов и планшетов есть, а возможности их централизованно закупить нет, и в таких случаях приходится полагаться на использование личных смартфонов сотрудников в рабочих целях. Все эти устройства в большинстве организаций используются практически неконтролируемо – их защите не уделяется никакого внимания, часто компания даже не знает, сколько мобильных устройств в действительности имеет доступ к корпоративной инфраструктуре, а также кому они принадлежат. Все это делает мобильные устройства неуправляемым активом, точкой проникновения в инфраструктуру, а также неконтролируемым источником утечки данных за пределы компании. Этим активно пользуются злоумышленники, получая доступ к не предназначенной для посторонних глаз информации.

MDM (Mobile Device Management) — это класс решений, предназначенных для удаленного и централизованного управления мобильными устройствами, такими как ноутбуки, смартфоны, планшеты и специализированные устройства, работающие на мобильных операционных системах. Однако, когда речь заходит о защите мобильных устройств, часто упоминаются и другие термины, такие как MCM, MAM, EMM, UEM. Чтобы лучше понять, в чем различия между этими решениями и какую роль они играют в управлении мобильными активами, рассмотрим их подробнее.

• MCM (Mobile Content Management, управление корпоративным контентом)

MCM — это решение для управления корпоративными данными, которые хранятся на мобильных устройствах. Основная задача MCM — обеспечить безопасную доставку и хранение корпоративного контента, разделяя корпоративные данные и личные файлы пользователей. MCM стал первым шагом в создании комплексных систем управления мобильными устройствами. Однако со временем компании начали осознавать, что простого управления контентом недостаточно для обеспечения полной безопасности, и возникла необходимость в более комплексных решениях, таких как MDM.

• MAM (Mobile Application Management, управление мобильными приложениями)

MAM — это функция управления мобильными приложениями, которая изначально могла существовать как отдельное решение, но сегодня, как правило, интегрируется в состав более комплексных MDM-систем. MAM позволяет централизованно управлять жизненным циклом мобильных приложений — от их публикации и установки до обновления и удаления. Этот функционал особенно полезен для организаций, которые хотят контролировать, какие приложения могут использоваться на устройствах сотрудников.

• EMM (Enterprise Mobility Management, расширенное управление корпоративными устройствами)

EMM — это следующий шаг в эволюции MDM. Когда MDM-системы получили функционал MAM и другие возможности, организации начали активно внедрять политику BYOD (Bring Your Own Device), позволяя сотрудникам использовать личные устройства для работы. EMM предоставляет компаниям больше гибкости в управлении различными типами мобильных устройств, включая как корпоративные, так и личные. EMM расширяет возможности MDM, предоставляя более широкий выбор поддерживаемых платформ и стратегий управления.

• UEM (Unified Endpoint Management, унифицированное управление всеми конечными точками)

UEM представляет собой наиболее продвинутую форму управления мобильными устройствами, объединяющую управление всеми типами конечных точек, включая мобильные устройства, компьютеры и IoT-устройства, в единую платформу. UEM возник как ответ на сложности, с которыми столкнулись компании при управлении отдельными парками мобильных устройств и компьютеров. Система UEM позволяет централизованно управлять всеми устройствами, используя единые подходы и стратегии, что значительно упрощает контроль и снижает затраты на IT.

Производители таких решений могут по-разному позиционировать свои продукты, однако все они служат одной цели — управлению и защите мобильных активов компании. Несмотря на разнообразие и эволюцию этих систем, все они часто объединяются под общим термином «MDM», поэтому мы для упрощения понимания продолжим это делать и в нашей статье.

MDM-решения предоставляют множество функциональных возможностей, которые решают конкретные задачи и помогают улучшить операционные процессы организации. Вот как каждая функция MDM поддерживает бизнес:

- инвентаризация устройств и приложений позволяет контролировать все устройства и программы, подключённые к корпоративной сети, что помогает избежать несанкционированного использования и минимизирует риски работы с неподдерживаемым или опасным ПО.

- выявление признаков взлома (root, jailbreak) помогает своевременно реагировать на попытки взлома мобильных устройств, защищая корпоративные данные и предотвращая несанкционированный доступ к критически важной информации.

- централизованное управление установкой, обновлением и удалением приложений значительно упрощает работу IT-отдела, так как все операции выполняются централизованно и синхронно на всех устройствах. Это снижает время на внедрение новых приложений и уменьшает ошибки, связанные с ручной установкой ПО.

- обеспечение выполнения требований к настройке системных функций, таких как обязательное использование пароля, автоматическая блокировка экрана и ограничение доступа к камере, помогает гарантировать соблюдение стандартов корпоративной безопасности, что снижает риски утечки данных и защищает устройство от злоумышленников.

- управление сертификатами и конфигурационными файлами позволяет централизованно управлять безопасностью приложений и настроек на устройствах, что делает процесс управления более предсказуемым и гарантирует соответствие корпоративным требованиям безопасности.

- шифрование и изоляция корпоративных данных с помощью MDM-профиля или контейнера защищает важные корпоративные данные, разделяя их от личной информации сотрудников, что особенно важно при использовании личных устройств для работы. Это помогает избежать утечки конфиденциальной информации и поддерживает требования по защите данных.

- удалённое стирание данных позволяет IT-отделу быстро и безопасно удалять корпоративную информацию с потерянных или украденных устройств, тем самым снижая риск утечки данных и защищая конфиденциальную информацию компании.

- централизованная настройка параметров сети (Wi-Fi, APNs, VPN) облегчает настройку мобильных устройств для безопасного подключения к корпоративной сети, обеспечивая стабильный доступ к корпоративным ресурсам и поддерживая высокую производительность сотрудников вне офиса.

- ограничение доступа к нежелательным веб-ресурсам помогает предотвратить посещение небезопасных сайтов, защищая корпоративную сеть от киберугроз и минимизируя риски заражения вредоносным ПО.

- оперативное удалённое управление устройствами даёт возможность IT-специалистам изменять настройки, блокировать устройства или удалять данные удалённо, что повышает гибкость и скорость реакции на инциденты безопасности.

Стоит подчеркнуть, что возможность обеспечения того или иного функционала на конкретных мобильных устройствах зависит от ограничений, накладываемых производителями мобильных операционных систем. Например, при управлении Android-устройствами обычно доступен весь перечисленный функционал и даже больше, поскольку платформа Android предоставляет разработчикам возможность глубоко вмешиваться в работу системы. Это позволяет гибко настраивать множество параметров, но также связано с рисками некорректной работы функционала и проблемами совместимости, особенно с учётом широкого разнообразия производителей, версий операционных систем и аппаратных платформ.

Устройства Apple, напротив, предлагают более ограниченные возможности для разработчиков. Это уменьшает гибкость настройки и контроль над устройствами, но компенсируется высокой стабильностью работы и гарантированной совместимостью со всеми актуальными устройствами и версиями операционной системы iOS.

Таким образом, внедрение MDM-решений помогает бизнесу не только централизованно управлять мобильными устройствами, но и защищать корпоративные данные, ускорять процессы внедрения новых приложений, обеспечивать соблюдение стандартов безопасности и минимизировать риски утечек данных. Эти решения также повышают продуктивность сотрудников, снижают нагрузку на IT-отдел и улучшают общую эффективность работы компании.

Важным фактором, накладывающим ограничения на использование функционала MDM, является выбранная стратегия управления мобильными устройствами. Существуют следующие основные стратегии:

• BYOD – Bring Your Own Device
• COPE – Corporate-Owned Personally Enabled
• COBO – Corporate-Owned Business Only
• CYOD – Choose Your Own Device
• COSU – Corporate-Owned Single Use

Основными и наиболее распространенными являются стратегии BYOD, COPE и COBO. CYOD и COSU могут считаться разновидностью COBO. Организация может придерживаться как единой стратегии по управлению всем парком устройств, так и комбинировать их в зависимости от потребностей. Рассмотрим, чем они отличаются друг от друга.

В концепции BYOD управляемые устройства принадлежат пользователям в полной мере, но используются и для личных, и для рабочих целей. Организация при подключении таких устройств к MDM имеет возможность с разрешения пользователя создать защищенную паролем изолированную управляемую среду (контейнер) или корпоративный MDM-профиль, в которые поместит несколько необходимых для работы приложений. Как правило, это может быть сертификат для подключения к корпоративному Wi-Fi, почтовый клиент, рабочий календарь и доступ к каким-либо корпоративным веб-сервисам. Права организации по управлению устройством за пределами этого профиля будут минимальными. При необходимости корпоративную среду можно удалить вместе со всеми содержащимися корпоративными данными. При этом есть возможность ограничить обмен данными между корпоративной средой и остальной неконтролируемой средой, а также запретить в ней запуск сторонних приложений, что также позволит снизить риск утечки данных. Данная концепция распространена в небольших компаниях, а также в компаниях, где удаленная работа с использованием мобильных устройств является скорее исключением, либо ограничена исключительно возможностью доступа к базовым корпоративным ресурсам.

В концепции COPE управляемые устройства принадлежат организации, но пользователи имеют право на использование устройства в том числе и для личных целей, поэтому устройство контролируется лишь частично. Такой контроль осуществляется с помощью того же самого механизма – установки защищенного рабочего контейнера или MDM-профиля. Как и в случае с BYOD, в такой контейнер производится установка требуемого ППО и сертификатов, а также настраиваются дополнительные ограничения – например, на доступ из контейнера ко всем сайтам, кроме разрешенных. Данная концепция распространена в компаниях, где удаленная работа с использованием мобильных устройств является распространенным, но не основным сценарием. В таких компаниях нередко организованы процессы закупи корпоративных мобильных устройств, однако отсутствует необходимость или ресурсы для его постоянного контроля и обслуживания, в связи с чем пользователям предоставляется высокая автономия в обмен на выполнение обязанностей по настройке и обслуживанию устройств.

В концепции COBO управляемые устройства принадлежат организации, а пользователи имеют право на использование устройства исключительно в рабочих целях, поэтому организация имеет полный доступ к управлению всем устройством целиком (в рамках возможностей, предоставляемых разработчиком ОС в режиме device owner). Чтобы обеспечить такой уровень доступа, перед подключением к системе MDM на устройствах выполняется сброс к заводским настройкам. В рамках этой концепции возможны максимальные полномочия по управлению устройствами – например, отслеживание местоположения устройства в рабочее время, запрет на использование встроенных инструментов операционной системы, запрет на создание резервной копии устройства и так далее. Такая концепция является широко распространенной в компаниях, для которых работа с использованием мобильных устройств является одним из ключевых и постоянных сценариев. В таких компаниях полностью реализованы процессы по закупке и обслуживанию корпоративного парка мобильных устройств, и полностью осознана потребность управления этими устройствами для минимизации рисков компрометации доступа к корпоративной информации.

В концепции CYOD организация предлагает пользователям выбор из набора корпоративных устройств, и пользователю может принадлежать сразу несколько устройств, для которых можно выполнить аналогичные настройки. Возможности по управлению мобильными устройствами не отличаются от стратегии COBO. Такая концепция встречается сравнительно редко, поскольку обычно организации стараются минимизировать парк своих устройств, и выдавать на одного пользователя не более одного устройства.

В концепции COSU управляемые устройства принадлежат организации, и предназначены для выполнения строго одной задачи – так называемый «режим киоска». Пользователь фактически не имеет доступа к операционной системе устройства, и все возможности по его взаимодействию с устройством сводятся к работе в интерфейсе одного единственного приложения. При этом зачастую одним таким устройством может пользоваться сразу несколько пользователей. Такая концепция наиболее актуальна в сферах услуг и ритейла при использовании мобильных устройств клиентами и сотрудниками организации, а также в производственных цехах для служебных целей.

В общем случае, это любые компании от 500 сотрудников, использующие мобильные устройства в качестве неотъемлемого инструмента для организации рабочих процессов, а также в качестве рабочих мест для удаленных или часто перемещающихся по большой территории сотрудников. Наличие в ведении компании складов, цехов, торговых залов, общественных пространств – все это является одним из сигналов, что MDM может быть востребован для решения рабочих задач IT- и ИБ-подразделений, и упрощения работы сотрудников. MDM используют на территории производств, в больницах, школах, банках, в сферах услуг, общественного питания.

Вот несколько ключевых отраслей, которым особенно рекомендуется внедрить MDM:

1. Финансовый сектор
Банки, страховые компании, инвестиционные фонды и другие финансовые организации работают с большим объемом конфиденциальных данных. Внедрение MDM помогает защитить эти данные на мобильных устройствах, обеспечивая соответствие строгим нормативным требованиям в области безопасности.

2. Розничная торговля (ритейл)
Компании в сфере ритейла используют мобильные устройства для управления складом, обработки заказов и обслуживания клиентов. MDM позволяет централизованно управлять устройствами, минимизируя риски утечки данных и повышая эффективность операционной деятельности.

3. Логистика и транспорт
Логистические компании и транспортные операторы активно применяют мобильные устройства для отслеживания грузов, координации маршрутов и общения с водителями. MDM помогает контролировать использование устройств, обеспечивая надежную работу и защиту данных в реальном времени.

4. Медицина
Медицинские учреждения, включая больницы, клиники и лаборатории, используют мобильные устройства для управления медицинскими записями, телемедицинских консультаций и обмена информацией между персоналом. MDM позволяет защитить персональные данные пациентов и обеспечить соблюдение стандартов безопасности в здравоохранении.

5. Промышленность и производство
Промышленные предприятия и производственные компании используют мобильные устройства для управления производственными процессами, мониторинга оборудования и контроля качества. MDM помогает обеспечить безопасность данных и защитить устройства от киберугроз в условиях повышенной нагрузки.

6. Сфера услуг
Сервисные компании, такие как консалтинговые и юридические фирмы, строительные компании и ремонтные службы часто полагаются на мобильные устройства для выполнения задач на местах. MDM обеспечивает их безопасное использование и возможность удаленного управления, что особенно важно в условиях работы в различных локациях.

7. Государственные учреждения
Органы государственной власти и муниципальные учреждения также нуждаются в MDM для защиты данных и управления мобильными устройствами, особенно с учетом требований по безопасности и конфиденциальности информации в государственном секторе.

До 2022 года российский рынок MDM был в состоянии стагнации: выбор решений был ограничен, а темпы их развития оставались низкими. Однако с началом курса на импортозамещение ситуация начала меняться. Сегодня мы видим активное развитие отечественных MDM-решений, при этом разработчики фокусируются на соответствии требованиям российского законодательства, прохождении сертификации ФСТЭК и улучшении архитектуры своих систем.

Несмотря на то, что российские MDM-продукты пока не достигли уровня мировых лидеров, таких как UEM VMware AirWatch, процесс их эволюции идёт стремительно. Ключевое отличие отечественных решений заключается в их ограниченном функционале по сравнению с западными аналогами, например:

• Отсутствие полной поддержки десктопных операционных систем на базе Unix и MacOS, а также частичная поддержка Windows. Поддержка Windows обычно ограничена версиями, начиная с Windows 10, и представлена лишь в отдельных российских решениях.

• Отсутствие встроенных VPN-клиентов для мобильных устройств, что может усложнить задачи по безопасному подключению сотрудников к корпоративным ресурсам.

Несмотря на эти ограничения, российские разработчики MDM не ставят перед собой цель создать полные аналоги западных решений. Вместо этого их основное внимание сосредоточено на оптимизации архитектуры систем и интеграции с отечественными стандартами безопасности. Важно отметить, что часть функционала, связанного с управлением десктопами, например полнодисковое шифрование, контроль программ и установка ПО, уже перешла в сферу современных антивирусных платформ. Это помогает компенсировать недостаток MDM-функций для управления настольными системами. Однако управление параметрами операционных систем через MDM пока ограничено. Для решения задач, связанных с настройкой десктопов в контексте BYOD и COPE-устройств, компании могут использовать инструменты LDAP и групповых политик, что помогает частично компенсировать этот функционал.

Преимущества работы c Infosecurity:
- индивидуальный подход к вашему бизнесу
- гарантия соответствия требованиям безопасности
- техническая поддержка на всех этапах внедрения