Wenn man von MDM, also Mobile Device Management, spricht, denken viele sofort an einen Kill-Switch, der ein verlorenes Telefon auf Befehl des Sicherheitsmitarbeiters aus der Ferne deaktiviert. Ja, das gibt es auch, jedoch ohne pyro-technische Effekte. Es gibt noch viele andere alltägliche Aufgaben, die mit MDM viel einfacher und schmerzfreier zu erledigen sind.
Unternehmen streben nach Optimierung und Vereinheitlichung von Prozessen. Früher musste ein neuer Mitarbeiter in den geheimnisvollen Keller mit Kabeln und Lampen gehen, wo weise, roten Augen besitzende Alte halfen, die Unternehmens-E-Mail auf seinem Blackberry einzurichten. Heute jedoch ist MDM zu einem ganzen Ökosystem gewachsen, das es ermöglicht, diese Aufgaben mit nur zwei Klicks zu erledigen. Wir werden über Sicherheit, Gurken-Currant-Coca-Cola und die Unterschiede zwischen MDM, MAM, EMM und UEM sprechen. Und außerdem darüber, wie man sich aus der Ferne für einen Job im Verkauf von Pasteten bewerben kann.
Freitag in der Bar
Selbst die gewissenhaftesten Menschen gönnen sich manchmal eine Auszeit. Und wie das oft der Fall ist, vergessen sie Rucksäcke, Laptops und Mobiltelefone in Cafés und Bars. Das größte Problem dabei ist, dass der Verlust dieser Geräte für die IT-Sicherheitsabteilung zu einer großen Kopfschmerzquelle werden kann, wenn sie sensiblen Unternehmensinformationen enthalten. Mitarbeiter von Apple haben bereits mindestens zweimal für Aufsehen gesorgt, indem sie zunächst , und dann— verloren. Ja, heutzutage sind die meisten Mobiltelefone standardmäßig mit Verschlüsselung ausgestattet, aber Unternehmenslaptops sind weit davon entfernt, immer mit einer standardmäßigen Festplattenschlüsselung konfiguriert zu sein.
Darüber hinaus haben gezielte Bedrohungen wie der Diebstahl von Unternehmensgeräten zum Zweck des Datenraubs zugenommen. Das Telefon ist verschlüsselt, alles ist so sicher wie möglich und so weiter. Haben Sie aber die Überwachungskamera bemerkt, unter der Sie Ihr Telefon entsperrt haben, bevor es gestohlen wurde? Angesichts des potenziellen Wertes der Daten auf einem Unternehmensgerät sind solche Bedrohungsmodelle ganz realistisch geworden.
Im Allgemeinen sind Menschen wirklich vergesslich. Viele Unternehmen in den USA mussten anfangen, Laptops als Wegwerfartikel zu betrachten, die unvermeidlich in einer Bar, einem Hotel oder am Flughafen vergessen werden. Es gibt Berichte, dass an denselben Flughäfen in den USA von denen mindestens die Hälfte vertrauliche Informationen ohne jeglichen Schutz enthält.
Das hat für Sicherheitsexperten reichlich graue Haare gebracht und führte zunächst zur Entwicklung von MDM (Mobile Device Management). Danach entstand der Bedarf an der Verwaltung des Lebenszyklus mobiler Anwendungen auf kontrollierten Geräten, was zur Entwicklung von Lösungen für MAM (Mobile Application Management) führte. Vor einigen Jahren begannen diese Lösungen, unter dem gemeinsamen Begriff EMM (Enterprise Mobility Management) zusammengefasst zu werden – ein einheitliches System zur Verwaltung mobiler Geräte. Der Höhepunkt all dieser Zentralisierung sind die Lösungen für UEM (Unified Endpoint Management).
Liebling, wir haben einen Zoo gekauft
Als erste Anbieter traten Unternehmen auf, die Lösungen für die zentrale Verwaltung mobiler Geräte anboten. Eine der bekanntesten Firmen ist Blackberry, die bis heute besteht und sich gut behauptet. Auch in Russland ist das Unternehmen aktiv und verkauft seine Produkte, hauptsächlich im Bankensektor. Auf diesen Markt drangen ebenfalls SAP und kleinere Firmen wie Good Technology ein, die später von Blackberry übernommen wurde. Zu dieser Zeit gewann das BYOD-Konzept an Popularität, bei dem Unternehmen versuchten, Kosten zu sparen, indem Mitarbeiter ihre persönlichen Geräte mit zur Arbeit brachten.
Allerdings stellte sich sehr schnell heraus, dass der technische Support und die IT-Sicherheit bereits bei Anfragen wie "Wie konfigure ich MS Exchange auf meinem Arch Linux?" und "Ich benötige einen direkten VPN zu meinem privaten Git-Repository und zur Produktdatenbank von meinem MacBook aus" zusammenzuckten. Ohne zentrale Lösungen verwandelten sich die Einsparungen durch BYOD in ein Chaos, was die Wartung des gesamten Geräteparks anging. Unternehmen benötigten eine automatisierte, flexible und sichere Verwaltung.
Im Einzelhandel verlief die Geschichte etwas anders. Vor ungefähr zehn Jahren erkannten Unternehmen plötzlich, dass mobile Geräte aufgetaucht waren. Früher saßen die Mitarbeiter vor warmen Röhrenmonitoren, während der bärtige Sweaterträger, der das Ganze zum Laufen brachte, irgendwo in der Nähe unsichtbar war. Mit dem Aufkommen vollwertiger Smartphones ließen sich die Funktionen seltener spezialisierter PDAs nun auf gewöhnliche, kostengünstige Seriengeräte übertragen. Gleichzeitig kam das Verständnis, dass dieses Chaos irgendwie verwaltet werden musste, da es viele unterschiedliche Plattformen gibt: Blackberry, iOS, Android und später – Windows Phone. In großen Unternehmen sind manuelle Eingriffe ein Schuss ins eigene Knie. Ein solcher Prozess würde wertvolle Arbeitsstunden der IT-Abteilung und des Supports in Anspruch nehmen.
Anfangs boten die Anbieter separate MDM-Lösungen für jede Plattform an. Es war durchaus üblich, dass nur iOS- oder Android-Smartphones verwaltet wurden. Nachdem man sich mehr oder weniger mit den Smartphones auseinandergesetzt hatte, stellte sich heraus, dass auch die Datenerfassungsterminals im Lager irgendwie verwaltet werden mussten. Es war dringend notwendig, einen neuen Mitarbeiter ins Lager zu schicken, damit dieser einfach die Barcodes auf den erforderlichen Kartons scannt und diese Daten in die Datenbank eingibt. Wenn Ihre Lagerhäuser landesweit verteilt sind, wird die Unterstützung ziemlich komplex. Jedes Gerät muss mit dem Wi-Fi verbunden, die App installiert und der Zugang zur Datenbank gewährleistet werden. Mit modernen MDM-Lösungen, genauer gesagt EMM, übergeben Sie einen Administrator, der die Verwaltungs-Konsole erhält, und konfigurieren Tausende von Geräten mithilfe von Vorlagen aus einem einzigen Ort.
Terminals in McDonald’s
Im Einzelhandel ist ein interessanter Trend zu beobachten – der Rückgang von stationären Kassen und Verkaufsstellen. Früher musste man, wenn man bei M.Video einen Wasserkocher mochte, einen Verkäufer rufen und mit ihm quer durch den Saal zu einem stationären Terminal gehen. Auf dem Weg dachten die Kunden oft daran, warum sie überhaupt gingen, und änderten ihre Meinung. Der Impuls des Spontankaufs ging verloren. Heute ermöglichen MDM-Lösungen den Verkäufern, sofort mit einem POS-Terminal zur Zahlung zu kommen. Das System verbindet und konfiguriert die Terminals von Lager und Verkäufern aus einer einzigen Verwaltungs-Konsole. Unter den ersten Unternehmen, die das traditionelle Kassensystem umgestaltet haben, war McDonald's mit seinen interaktiven Selbstbedienungsterminals und den Mitarbeitern mit mobilen Terminals, die Bestellungen mitten in der Schlange entgegennahmen.
Burger King hat ebenfalls begonnen, sein Ökosystem zu erweitern, indem es eine App hinzufügte, die es ermöglichte, Bestellungen im Voraus aufzugeben, damit sie zubereitet werden konnten. Dies alles wurde zu einem harmonischen Netzwerk mit verwalteten interaktiven Stationen und mobilen Terminals für die Mitarbeiter zusammengeführt.
Selbstbedienungskasse
Viele Einzelhandelsunternehmen reduzieren die Belastung an den Kassen durch die Einführung von Selbstbedienungskassen. „Globus“ geht noch einen Schritt weiter. Am Eingang kann man ein Scan&Go-Terminal mit integriertem Scanner mitnehmen, mit dem man alle Produkte vor Ort scannt, sie in Tüten verpackt und dann mit einer Zahlung den Laden verlässt. Es ist nicht nötig, die in Tüten verpackten Produkte an der Kasse zu entpacken. Alle Terminals werden zentral verwaltet und integriert, sowohl mit den Lagerhäusern als auch mit anderen Systemen. Einige Unternehmen testen ähnliche Lösungen, die in den Einkaufswagen integriert sind.
Tausend Geschmäcker
Ein ganz eigenes Kapitel sind die Verkaufsautomaten. Diese müssen ebenso aktualisiert werden, die Bestände an verbranntem Kaffee und Trockenmilch müssen überwacht werden. Dabei sollte alles mit den Terminals des Serviceteams synchronisiert werden. Unter den großen Unternehmen hat sich Coca-Cola in dieser Hinsicht hervorgetan, indem sie einen Preis von 10.000 $ für das originellste Getränkerezept auslobte. Dies bedeutete, dass die Nutzer die verrücktesten Kombinationen in den firmeneigenen Automaten mischen durften. So entstanden zum Beispiel zuckerfreies Ingwer-Zitronen-Cola und vanillig-pfirsichiger "Sprite". Der Geschmack von Ohrenschmalz, wie bei den Bertie Bott's Every Flavour Beans, wurde bislang wohl noch nicht erreicht, aber die Ambitionen sind groß. Alle Telemetriedaten und die Beliebtheit jeder Kombination werden sorgfältig verfolgt. Dies wird auch in die mobilen Anwendungen der Nutzer integriert.
Wir freuen uns auf neue Geschmäcker.
Wir verkaufen Teigtaschen.
Der Reiz von MDM/UEM-Systemen liegt darin, dass Sie Ihr Geschäft schnell skalieren können, indem Sie neue Mitarbeiter aus der Ferne anschließen. Sie können problemlos den Verkauf von fiktiven Produkten in einer anderen Stadt organisieren, komplett integriert in Ihre Systeme, und das in nur zwei Klicks. So könnte das aussehen.
Ein neues Gerät wird dem Mitarbeiter geliefert. In der Box befindet sich ein Zettel mit einem Barcode. Wir scannen ihn – das Gerät wird aktiviert, im MDM registriert, erhält die Firmware, installiert sie und startet neu. Der Benutzer gibt seine Daten oder einen Einmal-Token ein. Das war's. Jetzt haben Sie einen neuen Mitarbeiter, der Zugriff auf die Unternehmens-E-Mails, Lagerbestandsdaten, benötigte Anwendungen und die Integration mit einem mobilen Zahlungsterminal hat. Der Mitarbeiter kommt zum Lager, holt die Ware ab und bringt sie zu den direkten Kunden und nimmt die Zahlung mit demselben Gerät entgegen. Fast so, als würde man ein paar neue Einheiten in einer Strategie einstellen.
So sieht das aus
Eines der leistungsfähigsten UEM-Systeme auf dem Markt ist VMware Workspace ONE UEM (ehemals AirWatch). Es ermöglicht die Integration mit und mit ChromeOS. Selbst Symbian war bis vor kurzem noch dabei. Außerdem unterstützt Workspace ONE Apple TV.
Ein weiterer wichtiger Vorteil. Apple erlaubt nur zwei MDMs, darunter Workspace ONE, im Voraus auf die API zuzugreifen, bevor eine neue iOS-Version veröffentlicht wird. Allen anderen bleibt bestenfalls ein Monat, ihnen hingegen zwei.
Sie legen einfach die benötigten Nutzungsszenarien fest, schließen das Gerät an, und es funktioniert, sozusagen, automagisch. Die Richtlinien werden übertragen, Beschränkungen eingestellt, notwendige Zugriffe auf interne Netzwerkressourcen bereitgestellt, Schlüssel werden geladen und Zertifikate installiert. Nach wenigen Minuten hat der neue Mitarbeiter ein vollständig einsatzbereites Gerät, von dem fortlaufend die erforderliche Telemetrie übertragen wird. Die Anzahl der Szenarien ist riesig, von der Blockierung der Kamera des Telefons an einem bestimmten geografischen Standort bis hin zu SSO mittels Fingerabdruck oder Gesichtserkennung.
Der Administrator konfiguriert den Launcher mit allen Anwendungen, die dem Benutzer bereitgestellt werden.
Alle möglichen und unmöglichen Parameter, wie die Größe von Icons, die Bewegungseinschränkung, das Verbot von Anruf- und Kontakt-Icons, lassen sich flexibel anpassen. Eine solche Funktionalität ist nützlich, wenn die Android-Plattform als interaktives Menü in Restaurants und ähnlichen Anwendungen genutzt wird.
Aus der Sicht des Nutzers sieht es ungefähr so aus. 
Es gibt interessante Lösungen auch von anderen Anbietern. Ein Beispiel ist EMM SafePhone vom NII SOKB, das zertifizierte Lösungen für die sichere Übertragung von Sprache und Nachrichten mit Verschlüsselung und Aufnahmefunktion bietet.
Gerootete Telefone
Gerootete Telefone stellen ein ernstes Problem für die Informationssicherheit dar, da der Nutzer maximale Rechte hat. Subjektiv gesehen ist das zwar ideal, denn dein Gerät sollte dir volle Kontrollrechte geben. Leider steht dies im Widerspruch zu den Unternehmenszielen, die erfordern, dass der Nutzer keinen Einfluss auf die Unternehmenssoftware hat. Beispielsweise sollte er nicht in der Lage sein, auf geschützte Speicherbereiche mit Dateien zuzugreifen oder gefälschte GPS-Daten einzuschleusen.
Daher versuchen alle Anbieter auf die ein oder andere Weise, verdächtige Aktivitäten auf dem verwalteten Gerät zu erkennen und den Zugriff bei Feststellung von Root-Rechten oder nicht standardmäßiger Firmware zu blockieren.
In Android verlässt man sich normalerweise auf . Gelegentlich ermöglicht es Magisk, die Prüfungen zu umgehen, aber in der Regel behebt Google das sehr schnell. Soweit ich weiß, funktioniert Google Pay auf gerooteten Geräten nach dem Frühjahrs-Update immer noch nicht.
Stattdessen Ausgabe
Wenn Sie ein großes Unternehmen sind, sollten Sie über die Implementierung von UEM/EMM/MDM nachdenken. Moderne Trends zeigen, dass solche Systeme immer breitere Anwendung finden – von gesperrten iPads als Terminals in der Konditorei bis hin zu großen Integrationen mit Lagerdatenbanken und Kurierterminalen. Eine zentrale Managementstelle und schnelle Integration oder Rollenwechsel von Mitarbeitern bieten erhebliche Vorteile.
Meine E-Mail ist SVinogradskiy@croc.ru
Quelle: habr.com
