MDM, MAM a ďalšie možnosti zabezpečenia zariadení

V predchádzajúcom článku o bezpečnosti vlastného telefónu sme spomenuli dva základné prístupy — plnú správu zariadenia (MDM) a ochranu len firemných aplikácií (MAM). V praxi však existuje viac možností a hlavne viac spôsobov, ako ich medzi sebou kombinovať. Tento článok ich popisuje podrobnejšie a ukazuje, čo sa dá reálne použiť na súkromné telefóny (BYOD), na firemné zariadenia aj na rôzne kombinácie oboch.

Prehľad: aké mechanizmy zabezpečenia existujú

Zabezpečenie mobilných zariadení nie je jedna funkcia, ktorú firma buď zapne, alebo nezapne. Ide o niekoľko samostatných mechanizmov, ktoré sa dajú navrstviť na seba podľa toho, komu zariadenie patrí a aké dáta na ňom majú byť dostupné:

• MDM (Mobile Device Management) — plná správa celého zariadenia.
• MAM (Mobile Application Management) — ochrana len firemných aplikácií, existuje v dvoch variantoch (s enrolmentom a bez neho).
• Work Profile / Apple User Enrollment — oddelený firemný „kontajner" na úrovni operačného systému, špecificky navrhnutý pre BYOD.
• Podmienený prístup (Conditional Access) — pravidlá, ktoré rozhodujú, či sa k firemným dátam dostane len na základe splnenia niektorej z vyššie uvedených podmienok.

Tieto mechanizmy sa navzájom nevylučujú — naopak, väčšina firiem ich v praxi kombinuje podľa typu zariadenia.

MDM — plná správa zariadenia

MDM znamená, že sa celé zariadenie zaregistruje (enroluje) do firemnej správy, napríklad cez Microsoft Intune. Firma potom riadi zariadenie ako celok: vynucuje zámku obrazovky a šifrovanie, môže obmedziť instaláciu aplikácií mimo schválených obchodov, nastaviť firemné Wi-Fi a VPN profily automaticky, na diaľku zariadenie zamknúť, lokalizovať alebo v krajnom prípade úplne vymazať (factory reset).

Práve preto, že rozsah kontroly je taký široký, sa plný MDM enrollment používa takmer výlučne na zariadenia vo vlastníctve firmy — pri súkromnom telefóne zamestnanca by znamenal neprimeraný zásah do jeho súkromia.

MAM — ochrana na úrovni aplikácií, s enrolmentom aj bez neho

MAM existuje v dvoch odlišných režimoch, ktoré sa v praxi často zamieňajú:

• MAM bez enrolmentu — zariadenie sa nikde neregistruje a zostáva úplne mimo dosahu firmy. Politika ochrany aplikácií sa uplatní len na konkrétne podporované aplikácie (napríklad Outlook, Teams, OneDrive) — vyžiada si PIN pri otvorení, zašifruje dáta v aplikácii, zablokuje kopírovanie do osobných aplikácií a umožní selektívne vymazanie len firemných dát. Toto je bežný štandard pre súkromné telefóny (BYOD), a bol témou predchádzajúceho článku.
• MAM s enrolmentom — rovnaké politiky ochrany aplikácií sa nasadia navyše na zariadenie, ktoré je už plne enrolované v MDM. Používa sa pri firemných zariadeniach, kde okrem správy celého zariadenia firma potrebuje zabrániť aj úniku dát medzi jednotlivými aplikáciami — napríklad aby sa dáta z Outlooku nedali skopírovať do neschválenej aplikácie ani na firemnom telefóne.

Work Profile a Apple User Enrollment — oddelený firemný „kontajner" priamo v systéme

Medzi plnou správou zariadenia a ochranou jednotlivých aplikácií existuje ešte jedna možnosť, ktorá je navrhnutá priamo pre BYOD a rieši jeho hlavný problém — súkromie zamestnanca.

• Android Enterprise Work Profile — na telefóne vznikne samostatný, viditeľne oddelený „firemný priestor" (aplikácie majú v ňom značku/odznak). Firma vidí a riadi len tento priestor — vrátane možnosti vymazať ho celý naraz — a osobná časť telefónu jej zostáva úplne neviditeľná.
• Apple User Enrollment — obdobný princíp na iPhone: vytvorí sa samostatný, šifrovaný „firemný" účet a priestor pre pracovné aplikácie a dáta. Firma opäť vidí a riadi len túto oddelenú časť, nie celé zariadenie ani osobné aplikácie.

Podmienený prístup (Conditional Access) ako spoločný „vrátnik"

Podmienený prístup (Conditional Access) nie je sám o sebe spôsob správy zariadenia — je to súbor pravidiel, ktoré pri každom prístupe k firemným dátam (napríklad k e-mailu alebo SharePointu) rozhodnú, či ho povolia. Môže vyžadovať napríklad viacfaktorové overenie, alebo aby žiadosť prichádzala buď zo zariadenia, ktoré je vyhodnotené ako „vyhovujúce" (čo predpokladá MDM enrollment), alebo z aplikácie, ktorá uplatňuje politiku ochrany aplikácií (čo funguje aj bez akéhokoľvek enrolmentu).

Práve táto možnosť nastaviť pravidlo typu „vyhovujúce zariadenie ALEBO chránená aplikácia" umožňuje firme mať jedno centrálne pravidlo, ktoré funguje naraz pre firemné aj súkromné zariadenia — bez potreby riešiť každý typ zariadenia samostatne.

Čo sa dá kombinovať: prehľad podľa typu zariadenia

Odporúčania — čo zvoliť pre jednotlivé scenáre

• Bežný BYOD telefón — postačuje MAM bez enrolmentu doplnený podmieneným prístupom vyžadujúcim viacfaktorové overenie.
• BYOD telefón s vyššími nárokmi na oddelenie — zvážiť Work Profile alebo Apple User Enrollment, najmä ak zamestnanec pracuje s citlivejšími dátami.
• Firemné zariadenie — vždy plný MDM enrollment, aby bola zaručená základná kontrola nad celým zariadením.
• Firemné zariadenie s citlivými dátami — kombinovať MDM s MAM navrstveným navyše, kvôli kontrole úniku dát medzi aplikáciami.
• Podmienený prístup nastaviť ako spoločné pravidlo pre všetky scenáre naraz — vyhovujúce zariadenie ALEBO chránená aplikácia, namiesto riešenia každého typu zariadenia osobitne.
• Pravidelne revidovať politiky — možnosti jednotlivých platforiem (Microsoft, Google, Apple) sa postupne menia a rozširujú.

Voľba medzi MDM, MAM a ich variantmi nie je otázka „buď - alebo", ale otázka, ktorý mechanizmus zodpovedá vlastníctvu zariadenia a citlivosti dát, ktoré na ňom majú byť dostupné. Správne poskladaná kombinácia umožňuje firme chrániť svoje dáta na firemných aj súkromných zariadeniach naraz, bez toho, aby musela pri BYOD zasahovať do súkromia zamestnancov.