MDM (Gestión de dispositivos móviles)

Qué es MDM

MDM (Mobile Device Management / Gestión de dispositivos móviles) es una solución para que empresas y organizaciones gestionen y controlen de forma centralizada los smartphones, tabletas, portátiles y otros dispositivos móviles de los empleados.

Con la generalización del trabajo remoto, han aumentado las oportunidades de que los empleados accedan a datos empresariales desde fuera de la oficina. Al implementar MDM, los administradores de TI pueden ejecutar desde una consola de gestión la aplicación de políticas de seguridad de dispositivos, la distribución y restricción de aplicaciones, y el borrado remoto (eliminación remota de datos) en caso de pérdida.

MDM se integra con IAM (Gestión de identidades y accesos) para controlar "quién", "desde qué dispositivo" y "a qué puede acceder", funcionando como un componente importante de la arquitectura de confianza cero.

Funciones principales de MDM

• Registro y configuración de dispositivos: Registrar nuevos dispositivos en MDM y distribuir automáticamente configuración Wi-Fi, configuración VPN, cuentas de correo y políticas de seguridad. Con DEP (Device Enrollment Program) de Apple o Zero-Touch Enrollment de Android, el dispositivo se registra automáticamente en MDM desde el momento en que se saca de la caja.
• Imposición de políticas de seguridad: Aplicar obligatoriamente políticas como número mínimo de dígitos del código de acceso, activación del cifrado de dispositivo, tiempo hasta el bloqueo de pantalla y versión mínima del SO. Se puede bloquear el acceso a datos empresariales desde dispositivos que no cumplen las políticas.
• Gestión de aplicaciones (MAM): Gestionar la distribución de aplicaciones necesarias para el trabajo, la restricción de instalación de aplicaciones innecesarias y el cifrado de datos dentro de las aplicaciones. El control de permisos de aplicaciones también se puede configurar a través de MDM.
• Borrado remoto: En caso de pérdida o robo del dispositivo, borrar remotamente los datos del dispositivo desde la consola de gestión. Se puede elegir entre "borrado completo" (inicialización completa del dispositivo) y "borrado selectivo" (borrado solo de datos empresariales).
• Seguimiento de ubicación y modo perdido: Rastrear la ubicación de un dispositivo perdido y activar un "modo perdido" que muestra un mensaje en la pantalla. Por consideraciones de privacidad, la operación general es activarlo solo en caso de pérdida, no como seguimiento constante.

BYOD y desafíos de MDM

En entornos BYOD (Bring Your Own Device / uso de dispositivos personales para el trabajo), la implementación de MDM tiene desafíos específicos.

• Preocupaciones de privacidad: Los empleados frecuentemente se resisten a instalar perfiles MDM en sus dispositivos personales. Existe la preocupación de "¿la empresa podrá ver mis fotos y mensajes personales?". En realidad, el alcance de acceso de MDM a datos personales es limitado, pero es indispensable una explicación transparente.
• Separación mediante contenedorización: Como enfoque para resolver los desafíos de BYOD, se crea un contenedor cifrado (área virtual) para uso empresarial en el dispositivo, separando completamente los datos personales de los empresariales. Solo los datos dentro del contenedor se gestionan con MDM, sin tocar el área personal.
• Migración a MAM (Mobile Application Management): También aumentan las empresas que migran de MDM, que gestiona todo el dispositivo, a MAM, que gestiona solo las aplicaciones empresariales. Las "Políticas de protección de aplicaciones" de Microsoft Intune pueden proteger los datos dentro de las aplicaciones empresariales sin registro en MDM.

En la elaboración de políticas BYOD, es importante el equilibrio entre los requisitos de seguridad y la privacidad de los empleados. Las políticas excesivamente restrictivas pueden provocar rechazo de los empleados y fomentar el shadow IT (uso de dispositivos y servicios que el departamento de TI no conoce).

Integración de MDM y confianza cero

En la arquitectura de seguridad moderna, MDM es un componente importante del modelo de confianza cero.

• Evaluación de confiabilidad del dispositivo: En confianza cero, se verifica el estado del dispositivo antes de permitir el acceso. Al incorporar la información del dispositivo proporcionada por MDM (versión del SO, presencia de cifrado, detección de jailbreak, fecha de última aplicación de parche) en las políticas de acceso condicional, se puede bloquear automáticamente el acceso desde dispositivos que no cumplen los estándares de seguridad.
• Verificación continua: No solo en la autenticación inicial, sino monitorear continuamente el estado de cumplimiento del dispositivo durante la sesión. Si el dispositivo entra en estado de violación de política (ejemplo: no ha aplicado la actualización del SO), restringir el acceso en tiempo real.
• Integración con IAM: Combinando la autenticación de usuario (IAM) con la autenticación de dispositivo (MDM), se verifica desde múltiples ángulos que "el usuario correcto está accediendo al recurso autorizado desde un dispositivo confiable".

Los productos representativos de MDM / UEM (Unified Endpoint Management) incluyen Microsoft Intune, VMware Workspace ONE, Jamf (especializado en dispositivos Apple) y Google Endpoint Management.

Conceptos erróneos comunes

Implementar MDM permite a la empresa monitorear todos los datos personales de los empleados

La información que MDM puede obtener se limita al tipo de dispositivo, versión del SO, lista de aplicaciones instaladas, estado de cifrado, etc. No puede acceder a fotos personales, mensajes ni historial de navegación. En entornos BYOD, la contenedorización permite separar completamente los datos empresariales de los personales.

MDM es una solución que solo necesitan las grandes empresas

Si incluso un solo empleado accede a datos empresariales con un dispositivo móvil, es necesario considerar MDM. Los MDM basados en la nube se ofrecen a precios accesibles para pymes, y solo el borrado remoto en caso de pérdida o robo del dispositivo ya justifica la implementación.

Términos relacionados

Artículos relacionados