Quando si parla di MDM, che sta per Mobile Device Management, è naturale pensare a un kill-switch che distrugge a distanza un telefono smarrito su comando di un dipendente della sicurezza informatica. Certamente, esiste anche questo, ma senza effetti pirotecnici. Ci sono anche molte altre attività quotidiane che con l'MDM si svolgono in modo molto più semplice e indolore.
Le aziende puntano all'ottimizzazione e all'unificazione dei processi. Se un tempo un nuovo dipendente doveva recarsi in un misterioso scantinato pieno di cavi e lampadine, dove saggi vecchi con occhi rossi lo aiutavano a configurare la posta aziendale sul suo Blackberry, ora l'MDM si è evoluto in un'intera ecosistema che consente di eseguire queste operazioni con un semplice clic. Parleremo di sicurezza, della 'Coca-Cola' cetriolo e ribes e delle differenze tra MDM, MAM, EMM e UEM. E anche di come si possa essere assunti a distanza per vendere torte.
Venerdì al bar
Anche le persone più responsabili a volte si prendono una pausa. E, come spesso accade, dimenticano zaini, laptop e telefoni cellulari nei caffè e nei bar. Il problema più grande è che la perdita di questi dispositivi può trasformarsi in un enorme mal di testa per il dipartimento di sicurezza informatica, se contengono informazioni sensibili per l'azienda. I dipendenti della stessa Apple sono riusciti a lasciarsi sfuggire almeno due volte, perdendo inizialmente , e poi — . Sì, ora la maggior parte dei telefoni cellulari viene fornita con la crittografia predefinita, ma anche i laptop aziendali non sempre sono configurati con la crittografia del disco rigido di default.
Inoltre, iniziavano a sorgere minacce come il furto mirato dei dispositivi aziendali per ottenere dati preziosi. Il telefono è crittografato, tutto è al massimo della sicurezza e tutto il resto. Solo che avete notato la telecamera di sorveglianza sotto la quale avete sbloccato il telefono prima di farvelo rubare? Considerando il potenziale valore dei dati su un dispositivo aziendale, tali modelli di minaccia sono diventati piuttosto reali.
In generale, le persone sono un po' smemorate. Molte aziende negli Stati Uniti hanno dovuto iniziare a trattare i laptop come beni di consumo che inevitabilmente verranno dimenticati in bar, hotel o aeroporti. Si stima che negli aeroporti statunitensi ogni settimana, di cui almeno la metà contiene informazioni riservate senza alcuna protezione.
Tutto ciò ha fatto emergere più di qualche capello bianco tra i professionisti della sicurezza e ha portato allo sviluppo iniziale di MDM (Mobile Device Management). Successivamente, è emersa la necessità di gestire il ciclo di vita delle applicazioni mobili su dispositivi controllati, con l'introduzione delle soluzioni MAM (Mobile Application Management). Negli ultimi anni, queste soluzioni sono state consolidate sotto il nome di EMM (Enterprise Mobility Management) — un sistema unificato per la gestione dei dispositivi mobili. L'apice di tutta questa centralizzazione è rappresentato dalle soluzioni UEM (Unified Endpoint Management).
Tesoro, abbiamo comprato uno zoo.
I primi fornitori a comparire sono stati quelli che offrivano soluzioni per la gestione centralizzata dei dispositivi mobili. Una delle aziende più note, Blackberry, è ancora attiva e si presenta bene. Anche in Russia è presente e vende i suoi prodotti, principalmente nel settore bancario. Questo mercato è stato anche conquistato da SAP e da diverse aziende più piccole come Good Technology, successivamente acquisita dallo stesso Blackberry. In quel periodo stava guadagnando popolarità il concetto di BYOD, dove le aziende cercavano di risparmiare permettendo ai dipendenti di portare i propri dispositivi personali sul lavoro.
Tuttavia, è emerso rapidamente che il supporto tecnico e la sicurezza informatica già tremavano di fronte a richieste come «Come configuro MS Exchange sul mio Arch Linux» e «Ho bisogno di un VPN diretto al mio repository Git privato e al database prodotti dal mio MacBook». Senza soluzioni centralizzate, ogni risparmio legato al BYOD si trasformava in un incubo per la gestione di tutto il parco di dispositivi. Le aziende necessitavano di un management automatico, flessibile e sicuro.
Nel commercio al dettaglio, la storia si è sviluppata in modo un po' diverso. Circa dieci anni fa, le aziende hanno improvvisamente preso coscienza della presenza di dispositivi mobili. Prima, i dipendenti lavoravano davanti a monitor a tubo catodico, mentre nei paraggi c'era sempre un intruso barbuto con un maglione che si assicurava che tutto funzionasse. Con l'arrivo degli smartphone full-size, le funzioni di rari e specializzati PDA potevano ora essere trasferite su comuni dispositivi seriali economici. Allo stesso tempo, è emersa la consapevolezza che bisognava gestire questo zoo, poiché ci sono molte piattaforme diverse: Blackberry, iOS, Android, e successivamente — Windows Phone. In una grande azienda, qualsiasi movimento manuale è un colpo autoinflitto. Questo processo consumerebbe ore preziose di lavoro per il reparto IT e il supporto.
All'inizio, i fornitori offrivano soluzioni MDM separate per ogni piattaforma. Era piuttosto comune gestire solo gli smartphone su iOS o Android. Una volta che la situazione con gli smartphone era più o meno sotto controllo, è emerso che bisognava gestire anche i terminali di raccolta dati nei magazzini. È fondamentale poter inviare un nuovo dipendente in magazzino affinché scanni semplicemente i codici a barre sulle scatole necessarie e inserisca questi dati nel database. Se i vostri magazzini si trovano in tutto il paese, il supporto diventa piuttosto complesso. È necessario collegare ogni dispositivo al Wi-Fi, installare l'applicazione e garantire l'accesso al database. Con gli MDM moderni, o meglio, EMM, si fornisce all'amministratore una console di gestione per configurare migliaia di dispositivi con scenari predefiniti da un unico luogo.
Terminali in McDonald’s
Nel settore retail si sta osservando un'interessante tendenza: allontanarsi dalle casse fisse e dai punti di pagamento tradizionali. In passato, se in un negozio come M.Video piaceva un bollitore, era necessario chiamare un venditore e attraversare l'intero negozio fino al terminale fisso. Durante il tragitto, il cliente aveva il tempo di dimenticare dieci volte perché era andato e cambiare idea. Si perdeva così l'effetto della vendita impulsiva. Oggi le soluzioni MDM consentono al venditore di avvicinarsi direttamente con un terminale POS e completare il pagamento. Il sistema integra e configura i terminali del magazzino e dei venditori da un'unica console di gestione. In passato, una delle prime aziende a cambiare il modello della cassa tradizionale è stata McDonald's con i suoi pannelli interattivi per l'auto-servizio e le ragazze con terminali mobili che accettavano ordini direttamente in mezzo alla fila.
Anche Burger King ha iniziato a sviluppare la propria ecosistema, aggiungendo un'applicazione che permetteva di ordinare da remoto, in modo da avere il cibo pronto in anticipo. Tutto questo si integrava in una rete armoniosa con chioschi interattivi gestiti e terminali mobili per i dipendenti.
Fai da te il cassiere
Molti ipermercati riducono il carico sui cassieri installando casse self-service. «Globus» è andato oltre. All'ingresso offrono di prendere un terminale Scan&Go con scanner integrato, con il quale puoi semplicemente scansionare tutti i prodotti sul posto, confezionarli in sacchetti e uscire dopo aver effettuato il pagamento. Non è necessario svuotare alla cassa i prodotti già confezionati. Tutti i terminali sono anche gestiti centralmente e si integrano sia con i magazzini che con altri sistemi. Alcune aziende stanno provando soluzioni simili integrate nel carrello.
Mille sapori
Una storia a parte sono i distributori automatici. Anche questi devono essere aggiornati, monitorando le scorte di caffè bruciato e latte in polvere. E tutto questo deve essere sincronizzato con i terminali del personale di servizio. Tra le grandi aziende, si è distinta Coca-Cola, che ha annunciato un premio di 10.000 $ per la ricetta di bevanda più originale. In altre parole, ha permesso agli utenti di mescolare le combinazioni più stravaganti nei distributori ufficiali. Così sono emerse versioni di cola allo zenzero e limone senza zucchero e di Sprite alla vaniglia e pesca. Fino al gusto di cerume, come nelle caramelle Bertie Bott’s Every Flavour Beans, ancora non ci sono arrivati, ma sono molto determinati. Tutta la telemetria e la popolarità di ciascuna combinazione vengono monitorate con attenzione. Tutto ciò è anche integrato con le applicazioni mobili degli utenti.
Aspettiamo nuovi gusti.
Vendiamo i ravioli
Il bello dei sistemi MDM/UEM è che puoi rapidamente scalare la tua attività, collegando nuovi dipendenti a distanza. Puoi tranquillamente organizzare la vendita di prodotti da forno in un'altra città con un'integrazione completa nei tuoi sistemi in due clic. Sarà all'incirca così.
Un nuovo dispositivo viene consegnato al dipendente. Nella scatola c'è una carta con un codice a barre. Scansioniamo — il dispositivo si attiva, si registra in MDM, prende il firmware, si applica e si riavvia. L'utente inserisce i propri dati o un token usa e getta. Tutto. Ora hai un nuovo dipendente che ha accesso alla posta aziendale, ai dati delle giacenze di magazzino, alle applicazioni necessarie e all'integrazione con il terminale di pagamento mobile. La persona arriva in magazzino, ritira il prodotto e lo porta ai clienti, accettando il pagamento con lo stesso dispositivo. Quasi come in una strategia per assumere un paio di nuove unità.
Come appare
Uno dei sistemi UEM più funzionali sul mercato è VMware Workspace ONE UEM (ex AirWatch). Consente di integrarsi praticamente con e con ChromeOS. Anche Symbian è stato supportato fino a poco tempo fa. Inoltre, Workspace ONE supporta Apple TV.
Un altro importante vantaggio. Apple consente solo a due MDM, incluso Workspace ONE, di esplorare in anticipo l'API prima del rilascio di una nuova versione di iOS. A tutti, nel migliore dei casi — un mese, e a loro — due.
Basta impostare gli scenari d'uso necessari, collegare il dispositivo e il resto funziona, per così dire, automagicamente. Arrivano le policy, le restrizioni, vengono forniti i necessari accessi alle risorse di rete interne, viene caricato le chiavi e installati i certificati. Dopo pochi minuti, il nuovo dipendente ha già un dispositivo completamente pronto per lavorare, dal quale fluisce costantemente la telemetria necessaria. Gli scenari sono enormi, che vanno dal blocco della fotocamera del telefono in una specifica geolocalizzazione fino all'SSO tramite impronta digitale o riconoscimento facciale.
L'amministratore configura il launcher con tutte le applicazioni che arriveranno all'utente.
Tutte le opzioni, anche quelle più inusuali, come la dimensione delle icone, il divieto di spostarle, o la rimozione dell'icona della chiamata e dei contatti, possono essere configurate in modo flessibile. Questa funzionalità è utile quando si utilizza una piattaforma Android come menu interattivo in ristoranti e situazioni simili.
Dal punto di vista dell'utente, appare più o meno così 
Ci sono soluzioni interessanti anche da altri fornitori. Ad esempio, EMM SafePhone dell'Institute for Technological Development offre soluzioni certificate per la trasmissione sicura di voce e messaggi, con crittografia e possibilità di registrazione.
Telefoni rootati
La preoccupazione principale per la sicurezza informatica sono i telefoni rootati, dove l'utente ha diritti massimi. No, puramente soggettivamente, questa sembra la soluzione ideale. Il tuo dispositivo dovrebbe darti pieni diritti di gestione. Sfortunatamente, questo è in contrasto con gli obiettivi aziendali, che richiedono l'assenza di possibilità per l'utente di influenzare il software aziendale. Ad esempio, non dovrebbe avere la possibilità di accedere a sezioni protette della memoria contenenti file o di inserire un GPS fasullo.
Pertanto, tutti i fornitori cercano in un modo o nell'altro di rilevare qualsiasi attività sospetta sui dispositivi gestiti e di bloccare l'accesso alla rilevazione dei privilegi di root o di firmware non standard.
In Android, si fa solitamente affidamento su . Di tanto in tanto, lo stesso Magisk riesce a eludere i suoi controlli, ma in genere Google risolve il problema molto rapidamente. A quanto mi risulta, Google Pay non ha ancora ripreso a funzionare su dispositivi rootati dopo l'aggiornamento primaverile.
Invece dell'output
Se sei un'azienda di grandi dimensioni, dovresti considerare l'implementazione di UEM/EMM/MDM. Le tendenze moderne indicano che tali sistemi stanno trovando applicazioni sempre più ampie - dai iPad bloccati utilizzati come terminali in una pasticceria a grandi integrazioni con database di magazzino e terminali di corrieri. Un unico punto di gestione e rapida integrazione o cambio di ruolo del dipendente offrono vantaggi considerevoli.
La mia email è SVinogradskiy@croc.ru
Fonte: habr.com
