Gdy mówi się o MDM, czyli Mobile Device Management, wszyscy od razu wyobrażają sobie kill-switch, który zdalnie dezaktywuje zgubiony telefon na polecenie pracownika działu bezpieczeństwa. Tak, to również istnieje, tylko bez efektów pirotechnicznych. Ale jest jeszcze mnóstwo innych rutynowych zadań, które z MDM wykonuje się dużo prościej i bezboleśnie.
Biznes dąży do optymalizacji i unifikacji procesów. I jeśli wcześniej nowy pracownik musiał udać się do tajemniczej piwnicy z kablami i lampkami, gdzie mądre, czerwonooczne starce pomagały skonfigurować pocztę korporacyjną na jego BlackBerry, to teraz MDM rozwinął się w całą ekosystem, który pozwala realizować te zadania w dwa kliknięcia. Porozmawiamy o bezpieczeństwie, ogórkowo-czarnorynbowej „Coli” i różnicach między MDM, MAM, EMM i UEM. A także o tym, jak zdalnie zatrudnić się do sprzedaży pieczonych słodkości.
Piątek w barze.
Nawet najbardziej odpowiedzialni ludzie czasami odpoczywają. I jak to często bywa, zapominają plecaki, laptopy i telefony komórkowe w kafejkach i barach. Największy problem polega na tym, że utrata tych urządzeń może stać się ogromnym bólem głowy dla działu bezpieczeństwa, jeśli zawierają wrażliwe informacje o firmie. Pracownicy Apple zdążyli się zapisać przynajmniej dwa razy, najpierw zgubili , a potem — . Tak, obecnie większość telefonów komórkowych jest szyfrowana od razu po wyjęciu z pudełka, ale nawet te korporacyjne laptopy nie zawsze są domyślnie konfigurowane z szyfrowaniem dysku twardego.
Dodatkowo zaczęły pojawiać się zagrożenia takie jak celowe kradzieże korporacyjnych urządzeń w celu pozyskania cennych danych. Telefon jest zaszyfrowany, wszystko maksymalnie bezpieczne i tak dalej. Tylko czy zauważyłeś kamerę monitorującą, pod którą odblokowałeś telefon, zanim go ukradziono? Biorąc pod uwagę potencjalną wartość danych na korporacyjnym urządzeniu, takie modele zagrożeń stały się całkiem realne.
Ludzie w ogóle są dość sklerotyczni. Wiele firm w USA zmuszonych było traktować laptopy jak materiał eksploatacyjny, które nieuchronnie będą zapomniane w barze, hotelu lub na lotnisku. Są dane, że w amerykańskich lotniskach Każdego tygodnia, z których co najmniej połowa zawiera poufne informacje bez jakiejkolwiek ochrony.
To wszystko przyczyniło się do znacznego wzrostu siwych włosów wśród specjalistów ds. bezpieczeństwa i doprowadziło do początkowego opracowania MDM (Zarządzanie Urządzeniami Mobilnymi). Potem pojawiła się potrzeba zarządzania cyklem życia aplikacji mobilnych na kontrolowanych urządzeniach, co zaowocowało rozwiązaniami MAM (Zarządzanie Aplikacjami Mobilnymi). Kilka lat temu systemy te zaczęły się łączyć pod wspólną nazwą EMM (Zarządzanie Mobilnością Przedsiębiorstwa) — jednolity system do zarządzania urządzeniami mobilnymi. Apogeum całej tej centralizacji stanowią rozwiązania UEM (Jednolite Zarządzanie Punktami Końcowymi).
Kochanie, kupiliśmy zoo.
Jako pierwsi zaczęli pojawiać się dostawcy, którzy oferowali rozwiązania do centralnego zarządzania urządzeniami mobilnymi. Jedną z najbardziej znanych firm — Blackberry — wciąż istnieje i ma się dobrze. Nawet w Rosji jest obecna i sprzedaje swoje produkty, głównie dla sektora bankowego. Na ten rynek weszli także SAP oraz różne mniejsze firmy, jak Good Technology, później kupione przez to samo Blackberry. W tym samym czasie zyskiwała na popularności koncepcja BYOD, gdy firmy próbowały oszczędzać, pozwalając pracownikom przynosić swoje własne urządzenia do pracy.
Prawda jest taka, że bardzo szybko okazało się, że pomoc techniczna i bezpieczeństwo są już przerażone zapytaniami typu „Jak skonfigurować MS Exchange na moim Arch Linux” oraz „Potrzebuję bezpośredniego VPN do prywatnego repozytorium Git i bazy danych produktów z mojego MacBooka”. Bez centralnych rozwiązań oszczędności na BYOD zamieniały się w koszmar w zakresie utrzymania całego zoo. Firmy potrzebowały, aby całe zarządzanie było automatyczne, elastyczne i bezpieczne.
W handlu detalicznym historia rozwijała się nieco inaczej. Około 10 lat temu firmy nagle zdały sobie sprawę, że pojawiły się urządzenia mobilne. Wcześniej pracownicy siedzieli przed ciepłymi lampowymi monitorami, a gdzieś w pobliżu nieodłącznie obecny był brodaty właściciel swetra, który zmuszał to wszystko do działania. Z pojawieniem się pełnoprawnych smartfonów funkcje rzadkich, wyspecjalizowanych PDA można teraz zrealizować na zwykłym, niedrogim urządzeniu seryjnym. Jednocześnie pojawiło się zrozumienie, że tym zbiorem trzeba jakoś zarządzać, ponieważ jest wiele platform, a każda z nich jest inna: Blackberry, iOS, Android, następnie — Windows Phone. W przypadku dużej firmy wszelkie ręczne działania to strzał w nogę. Taki proces pochłonie cenne roboczogodziny działu IT i wsparcia.
Dostawcy na samym początku oferowali oddzielne produkty MDM dla każdej platformy. Typowa sytuacja była, gdy zarządzano tylko smartfonami na iOS lub Androidzie. Kiedy z smartfonami jakoś sobie poradzono, okazało się, że terminalami zbierania danych w magazynie również trzeba jakoś zarządzać. W tym czasie bardzo potrzebne było wysłanie nowego pracownika do magazynu, aby po prostu zeskanował kody kreskowe na potrzebnych pudełkach i wprowadził te dane do bazy. Jeśli magazyny znajdują się w całym kraju, wsparcie stawało się dość skomplikowane. Należy podłączyć każde urządzenie do Wi-Fi, zainstalować aplikację i zapewnić dostęp do bazy danych. Dzięki nowoczesnym MDM, a dokładniej, EMM, bierzesz administratora, dajesz mu konsolę zarządzania i konfigurować tysiące urządzeń z szablonowymi scenariuszami z jednego miejsca.
Terminale w McDonald’s
W detalicznym handlu obserwuje się ciekawą tendencję — odejście od stacjonarnych kas i punktów sprzedaży. Wcześniej, jeśli w M.Video spodobał się czajnik, trzeba było wołać sprzedawcę i iść z nim przez całą salę do stacjonarnego terminalu. Po drodze klient zdążył dziesięć razy zapomnieć, po co szedł, i zmienić zdanie. Tracił się ten efekt impulsywnego zakupu. Teraz rozwiązania MDM pozwalają sprzedawcy od razu podejść z terminalem POS i przeprowadzić płatność. System łączy i konfiguruje terminale magazynowe oraz sprzedawców z jednej konsoli zarządzania. Pewnego czasu jedną z pierwszych firm, która zaczęła zmieniać model tradycyjnej kasy, był McDonald’s z jego interaktywnymi panelami do samoobsługi i kelnerkami z mobilnymi terminalami, które przyjmowały zamówienia prosto w kolejce.
Burger King również zaczął rozwijać swoją ekosystem, dodając aplikację, która umożliwiała składanie zamówienia zdalnie, aby mogło być przygotowane wcześniej. To wszystko łączyło się w harmonijną sieć z zarządzanymi interaktywnymi stanowiskami i mobilnymi terminalami u pracowników.
Sam sobie kasjer
Wiele hipermarketów spożywczych zmniejsza obciążenie dla kasjerów, instalując kasy samoobsługowe. „Globus” poszedł dalej. Na wejściu oferują wzięcie terminala Scan&Go z zintegrowanym skanerem, którym po prostu skanujesz wszystkie produkty na miejscu, pakujesz do torebek i wychodzisz, płacąc. Nie musisz potargać na kasie produktów rozłożonych w torbach. Wszystkie terminale są również zarządzane centralnie i integrują się zarówno z magazynami, jak i z innymi systemami. Niektóre firmy próbują podobnych rozwiązań zintegrowanych w wózku.
Tysiąc smaków
Oddzielną kwestią są automaty vendingowe. Wymagają one również aktualizacji oprogramowania oraz monitorowania zapasów spalonej kawy i suchego mleka. Co więcej, wszystko to musi być zsynchronizowane z terminalami personelu obsługującego. W tym zakresie wyróżnia się Coca-Cola, która ogłosiła nagrodę w wysokości 10 000 $ za najoryginalniejszy przepis na napój. W praktyce oznacza to umożliwienie użytkownikom mieszania najbardziej szalonych kombinacji w firmowych maszynach. W rezultacie pojawiły się opcje imbirowo-cytrynowej coli bez cukru i waniliowo-brzoskwiniowego „Sprite’a”. Do smaku ucha jak w słodyczach Bertie Bott’s Every Flavour Beans na szczęście jeszcze nie doszli, ale mają poważne zamiary. Cała telemetria i popularność każdej kombinacji są skrupulatnie monitorowane. Wszystko to jest również zintegrowane z mobilnymi aplikacjami użytkowników.
Czekamy na nowe smaki.
Sprzedajemy paszteciki
Cała magia systemów MDM/UEM polega na tym, że możesz szybko skalować swój biznes, zdalnie podłączając nowych pracowników. Możesz zorganizować sprzedaż wirtualnych pasztecików w innym mieście z pełną integracją z własnymi systemami w zaledwie dwa kliknięcia. Będzie to wyglądać mniej więcej tak.
Pracownik otrzymuje nowe urządzenie. W pudełku znajduje się kartka z kodem kreskowym. Skanujemy — urządzenie jest aktywowane, rejestrowane w MDM, pobiera oprogramowanie, stosuje je i uruchamia ponownie. Użytkownik wprowadza swoje dane lub jednorazowy token. I to wszystko. Teraz masz nowego pracownika, który ma dostęp do firmowej poczty, danych o zapasach w magazynie, potrzebnych aplikacji i integracji z mobilnym terminalem płatniczym. Osoba przyjeżdża do magazynu, odbiera towar i dostarcza go bezpośrednim klientom, przyjmując płatność za pomocą tego samego urządzenia. Prawie jak w strategii zatrudnienia kilku nowych jednostek.
Jak to wygląda
Jednym z najbardziej funkcjonalnych systemów UEM na rynku jest VMware Workspace ONE UEM (dawniej AirWatch). Umożliwia on integrację praktycznie z oraz z ChromeOS. Nawet Symbian był jeszcze niedawno wspierany. A Workspace ONE obsługuje także Apple TV.
Jeszcze jednym ważnym plusem jest to, że Apple pozwala tylko dwóm MDM, w tym Workspace ONE, na wcześniejsze grzebanie w API przed wydaniem nowej wersji iOS. Wszystkim innym w najlepszym razie - miesiąc wcześniej, a im - dwa.
Po prostu definiujesz wymagane scenariusze użycia, podłączasz urządzenie, a następnie ono działa, jak to się nazywa, automagicznie. Polityki przychodzą, ograniczenia są nakładane, a odpowiednie dostępy do wewnętrznych zasobów sieciowych są przyznawane, klucze są przesyłane, a certyfikaty są instalowane. Po kilku minutach nowe urządzenie pracownika jest już w pełni gotowe do użycia, z którego ciągle napływają niezbędne dane telemetryczne. Liczba scenariuszy jest ogromna, zaczynając od blokowania aparatu telefonu w konkretnej geolokalizacji, a kończąc na SSO za pomocą odcisku palca lub rozpoznawania twarzy.
Administrator konfiguruje launcher ze wszystkimi aplikacjami, które trafią do użytkownika.
Tak elastycznie dostosowywane są wszystkie możliwe i niemożliwe parametry, takie jak rozmiar ikon, zakaz ich przenoszenia czy zakaz ikony połączeń i kontaktów. Taka funkcjonalność jest przydatna przy użyciu platformy Android jako interaktywnego menu w restauracji i podobnych zadaniach.
Z punktu widzenia użytkownika wygląda to mniej więcej tak 
Interesujące rozwiązania oferują także inni dostawcy. Na przykład EMM SafePhone z NII SOKB oferuje certyfikowane rozwiązania dla bezpiecznego przesyłania głosu i wiadomości z szyfrowaniem i możliwością nagrywania.
Zrootowane telefony
Bólem głowy dla bezpieczeństwa informacji są zrootowane telefony, gdzie użytkownik ma maksymalne uprawnienia. Nie, czysto subiektywnie to idealna opcja. Twoje urządzenie powinno dawać ci pełne prawo do zarządzania. Niestety, stoi to w sprzeczności z korporacyjnymi zadaniami, które wymagają braku możliwości wpływania użytkownika na oprogramowanie korporacyjne. Na przykład nie powinien mieć możliwości dostępu do chronionej sekcji pamięci z plikami lub podsunięcia fałszywego GPS.
Dlatego wszyscy dostawcy starają się w jakiś sposób wykrywać wszelkie podejrzane aktywności na zarządzanym urządzeniu i blokować dostęp przy wykryciu praw root lub niestandardowego oprogramowania.
W Androidzie zazwyczaj polega się na . Od czasu do czasu ten sam Magisk pozwala na obejście jego kontroli, ale zazwyczaj Google bardzo szybko to naprawia. Z tego co mi wiadomo, Google Pay nigdy nie działał ponownie na zrootowanych urządzeniach po wiosennej aktualizacji.
Zamiast wyjścia
Jeśli jesteś dużą firmą, warto rozważyć wdrożenie UEM/EMM/MDM. Nowoczesne trendy wskazują, że takie systemy znajdują coraz szersze zastosowanie — od zablokowanych iPadów jako terminali w cukierni po dużą integrację z systemami magazynowymi i terminalami kurierskimi. Jednolita punkt zarządzania oraz szybka integracja lub zmiana roli pracownika przynoszą ogromne korzyści.
Mój email to SVinogradskiy@croc.ru
Źródło: habr.com
