agent mdm что это

Как защищать данные на мобильных сотрудников

Мобильный офис — крутая штука. Можно получать доступ к рабочим приложениями и документам с планшета или смартфона. Тем, кто работает в дороге или в командировках это экономит время, кто часто «в поле» — просто необходимо, а тем, кто в офисе — более чем удобно.

Правда, с точки зрения безопасников, каждый смартфон или планшет — это дыра в ИБ размером с карьерный самосвал. Поэтому чтобы всё это заработало, нужно выстроить процесс управления мобильными устройствами сотрудников. Как личных, так и закрепленных на корпоративном уровне. И решения для этого есть, в том числе и «из коробки».

После того как мы говорим, что можно, например, задать политику отключения камеры смартфона на территории охраняемой зоны, многие начинают просто лучиться счастьем.

Как всё начинается?

Чаще всего у заказчика есть некие базовые вещи типа разделения корпоративной почты и личной, свой сервер и сертификаты, например. Иногда встречаются свои приложения типа просмотра камер на объектах (для сотрудников) или защищенный браузер с доступом к внутренней сети предприятия вне зависимости от месторасположения устройства и так далее. Но все это разрозненно и не объединено в систему. На Западе MDM-решения (Mobile Device Management) уже давно прорабатываются и хорошо всем знакомы, а вот у нас полных внедрений хорошо если несколько десятков по всей стране. И мало кто понимает точно, что нужно: самый частый случай, это когда безопасники говорят «надо», а остальные пытаются подобрать решение, которое будет ещё и удобным.

Что вообще можно делать?

MDM — Mobile Device Management — это управление, непосредственно, самим устройством, то есть параметрами железа. Здесь можно задавать настройки Wi-Fi, запрещать использование камеры, получать данные о месторасположении устройства, настраивать VPN, доставлять сертификаты и так далее. Сотрудник поменял железку — ему накатили те же самые настройки, и он довольный продолжает работать, т.к. избавлен от частого посещения «логова сисадминов», для того чтобы заставить новую железку работать.

Есть софт — МАМ — Mobile Application Management. Это уже следющий уровень, т.к. настройки задаются уже на уровне приложений (подразумевается — корпоративных). Здесь, например, можно открыть корпоративную почту, скопировать текст. А вставить его в некорпоративное приложение уже нельзя. И вложение можно открыть только в авторизованном для этого приложении. И скриншоты делать нельзя. Чистых MDM в практике уже почти нет, обязательно есть хотя бы частичный функционал MAM.

Для того, чтобы реализовать управление корпоративными приложениями делаются контейнеры для отделения корпоративных данных от пользовательских. Например, чтобы при увольнении просто взять и сделать корпоративную часть замороженной отзывом сертификата. Главный вопрос — будет ли медиаплатформа, которая выступит своего рода шлюзом. Если нужно просто управление — решений десятки. Если нужна система, которая обеспечит обмен данными между гетерогенным железом и ОС — нужна единая платформа, которая будет готовить данные и каналы для каждого конкретного устройства.

Всё вместе — это EMM-система (Enterprise Mobility Management). Таких на российском рынке всего несколько.

Как это внедряется?

«Специалисты КРОК использовали комплексное решение для реализации политики безопасности в области BYOD в нашем ОАО «Авиадвигатель»: MDM-систему, которая позволяет централизованно управлять мобильными устройствами, и подсистему SSL VPN компании Check Point — предоставляет защищенный доступ к внутренним информационным ресурсам предприятия.

«Благодаря интеграции двух решений в «Авиадвигателе» разграничены права доступа пользователей к различным информационным ресурсам предприятия и обеспечена конфиденциальность данных при их передаче по открытым каналам связи, — говорит Антон Разумов, руководитель группы консультантов по безопасности компании Check Point Software Technologies. — Важно, что в результате внедрения системы удалось обеспечить сохранность информации на мобильных устройствах и внедрить централизованное распространение программного обеспечения и обновлений».

Если бы было нужно что-то более сложное, стоило бы смотреть в сторону XenMobile от Citrix. Это полное EMM-решение — удаленный контроль за устройствами, и геопозиционирование, настройка политик доступа при перемещении сотрудника из одного филиала в другой, возможность изолировать приложения друг от друга на логическом уровне, автоконфигураторы и так далее. Мы сейчас внедряем эту штуку на другом объекте, но пока на стадии тестов на отделе в 250 человек.

И еще один вопрос, который может быть интересен – как корпоративные приложения оказываются на мобильных и планшетах сотрудников? Все просто – они берут их из сторов, как привыкли. Только не имея корпоративной учетной записи доступа к ним никак не получить.

Вот так приложения выглядят в корпоративном сторе:

А это панель запуска корпоративных приложений для их агрегации в одном месте:

При этом, например, нельзя принудительно поставить приложение пользователю, он в любом случае должен нажать кнопку «ОК». Но все идет к уменьшению зависимости от решения пользователя. К примеру, нововведения для управления устройствами и контроля над данными в корпоративном сегменте в IOS 7 — уже появились политики разграничения доступа к данным внутри корпоративных и личных приложений, защищенные туннели до сети предприятия на уровне приложения, а не на уровне всего устройства. Вендоры, выпускающие EMM системы, активно поддерживают такого рода инициативы и довольно быстро интегрируют новый функционал в свои решения, зачастую расширяя его.

Самые частые задачи

Если не касаться безопасности — то это документы, BPM и PPM. Приложение позволяет вместе работать над документами, отправлять их по цепочке, подписывать прямо с телефона.

В документообороте особенно красиво смотрятся пуш-уведомления про документы, которые нужно подписать, или платежи, которые нужно согласовать. Скорость работы бухгалтерии увеличивается местами на порядок.

Вот, например, скриншот формы заказа безналичных платежей, которая приходит ответственным за утверждение у нас в КРОК. Видно, что подтвердить или отклонить заявку можно в один клик.

Можно ставить задачи удалённо. Популярны прикладные версии PPM (Project Portfolio Management) — менеджеры ставят задачи вне офиса, а исполнители отчитываются удалённо. Ещё ситуация — страховые, которые получают доступ к базам знаний прямо с планшетов при разговоре с конкретным клиентом. Логисты тоже очень любят быть в курсе поставок онлайн, им тоже важно делать правильные корпоративные приложения, а, значит, возникает потребность в MDM.

Иногда используются системы ТОИР (Техническое обслуживание и ремонт), и, например, при обходе оборудования вся важная информация будет сразу занесена в систему. Здесь, правда, есть нюанс — нужны специальные мобильные устройства, обычный iPad в цеху проживёт дня два-три, не больше.

Особенности менталитета

На Западе заказчики стремятся максимально использовать встроенные возможности системы. У нас люди просто не готовы мириться с тем, что им нужно, серьезным образом подстраивать бизнес под платформу, и переделывают именно её. Результат — готовый мобильный клиент к CRM, например, уже не подходит, его приходится допиливать. Вторая прекрасная особенность — иногда на объекте проще отбирать телефоны на входе, чем ставить политики безопасности. Но это уже вопрос не к нам.

Источник

Что такое MDM-системы и зачем компаниям управлять техникой сотрудников

MDM (Mobile Device Management) — это системы, которые позволяют ИТ-службам компаний управлять мобильными устройствами, находящимися у сотрудников. Речь не только о мобильных телефонах, но также о планшетах, ноутбуках и другой технике, используемой в рабочих целях.

Мобильные устройства сегодня востребованы среди удалённых сотрудников. Для некоторых категорий специалистов альтернативы им вовсе нет — например, для торговых представителей, работников производств с распределёнными локациями или сотрудников логистических компаний.

Корпоративная мобильность с начала 2000-х годов остаётся одним из основных трендов ИТ. Благодаря ей многие компании смогли безболезненно перейти на режим удалённой работы во время пандемии. Многие «мобилизованные» сотрудники, имеющие возможность трудиться на удалёнке, смогли сохранить свои рабочие места.

Существует три концепции корпоративной мобильности. Они отличаются подходами к использованию мобильных устройств.

Первая концепция — COPE (Corporate-Owned, Personally Enabled, «корпорация владеет, сотрудник включает самостоятельно») — подразумевает, что корпоративное устройство выдают сотруднику для решения рабочих задач. COPE была популярна в первые годы «мобилизации» — тогда мобильные устройства и ноутбуки стоили дорого и ещё не получили массового распространения. Вопросам обеспечения безопасности компании уделяли мало внимания. Обслуживание устройства и управление им в этой схеме полностью находится в ведении самого сотрудника.

Вторая концепция — CYOD (Choose Your Own Device, «выбери своё устройство») — предусматривает возможность для работника выбрать одно устройство из нескольких, предложенных компанией. При этом работодатель берёт на себя техническое обслуживание, контролирует содержимое гаджета и порядок его использования.

Третья концепция — BYOD (Bring Your Own Device, «принеси своё собственное устройство») — даёт сотрудникам наибольшую свободу. В рабочих целях можно использовать собственную технику, но и обслуживанием устройств занимается сам сотрудник.

Самое широкое распространение получила концепция BYOD. Её «проводниками» стали топ-менеджеры компаний. Они ставили ИТ-службы своих компаний перед фактом, что используют для работы личные смартфоны, планшеты и ноутбуки. Подходы COPE и CYOD компании тоже сейчас применяют, но не в таком массовом порядке. Дискуссии о плюсах и минусах каждой концепции также идут до сих пор.

Внимание ИТ-служб к использованию мобильных устройств сотрудниками неслучайно. Их задача — обеспечить информационную безопасность корпоративной инфраструктуры.

Мобильное устройство сотрудника, контролируемое им, — серьёзная угроза информационной безопасности предприятия. Причина в том, что устройство находится за пределами «периметра», и его использование невозможно строго регламентировать. Пользовательский смартфон, подключённый к корпоративной информационной системе, могут использовать злоумышленники для доступа к данным компании.

Даже собственный смартфон сотрудника, при помощи которого он подключается хотя бы к одному корпоративному сервису, нуждается в контроле со стороны ИТ-специалистов компании. Без этого бизнес сразу же сталкивается с серьёзными рисками. Как пример можно вспомнить недавнюю историю компании Garmin. Злоумышленники атаковали её вирусами-шифровальщиками. Компания вынуждена была заплатить выкуп вымогателям, чтобы восстановить работоспособность пользовательских приложений.

Производители мобильных устройств не оставляют корпорации один на один с киберугрозами. Существуют такие решения для защиты данных, как авторизованный доступ при помощи пароля или биометрии, возможность удалённой блокировки потерянного устройства (Apple), «сейф» для данных, хранящихся на смартфоне (Samsung KNOX или защищённое хранилище Huawei).

Все эти средства защиты могут (и то с ограничениями) обеспечить оборону только самого устройства от постороннего доступа. Смартфоны или планшеты при этом остаются «дырой», через которую злоумышленники при помощи вирусов могут получить доступ к данным корпораций.

Решить проблему могут специализированные средства управления мобильными устройствами, находящимися на руках сотрудников компаний, — MDM (Mobile Device Management, «управление мобильными устройствами»).

Термин MDM весьма широк. Общее назначение таких систем — управление мобильными устройствами, которые имеют доступ к инфраструктуре предприятия. Однако ключевая задача, которую они решают, — управление не столько самими устройствами, сколько приложениями, которые на них установлены.

Отсюда происходит важнейшая функция MDM-систем – МАМ (Mobile Application Management). Именно через приложения можно получить доступ к информации внутри «периметра» компании. В них ищут «дыры» злоумышленники. Через приложения происходит непреднамеренная утечка данных из-за неаккуратности пользователей.

Современные MDM-решения решают несколько задач. Организация защищает все «точки доступа» к корпоративной информации и ведёт поиск возможных угроз. Сотрудники компании получают доступ к различным корпоративным сервисам, начиная с электронной почты и мессенджеров и заканчивая корпоративными системами (ERP, CRM, логистика и прочие). Контролирует система и использование данных в удалённом режиме. Также с помощью MDM можно организовать дистанционную поддержку пользователей — помогать им с настройками устройств, установкой или обновлением приложений.

MDM-система даёт корпоративным ИТ-службам весьма широкие возможности, например:

MDM-системы обеспечивают безопасность инфраструктуры и повышают эффективность работы сотрудников. Это — косвенная выгода от их использования. Есть и прямая — сокращение расходов компаний на оборудование.

Господствующий в корпоративной мобильности подход BYOD даёт компаниям ощутимую выгоду. Получая свободу выбора, сотрудники сами обеспечивают себя необходимыми устройствами. Это особенно важно для небольших компаний, которые хотят сокращать расходы на закупку необходимой техники.

В условиях всеобщей «удалёнки» обеспеченность сотрудников устройствами помогла в самые короткие сроки и без потерь перевести специалистов из офисов в квартиры и сохранить непрерывность бизнеса. В таких условиях предприятию тем более важно администрировать пользовательские устройства и вести их удалённую поддержку.

MDM-системы не входят в состав ядра информационной платформы предприятия. Это позволяет разворачивать их оперативно, без крупных инвестиций и затрат рабочего времени сотрудников.

На рынке есть много специализированных решений как от мировых «гигантов», так и от небольших фирм-разработчиков. Выбор конкретной системы зависит от множества факторов, в первую очередь — от базовой платформы, на которой работает инфраструктура компании.

Основная аудитория MDM-систем — представители малого и среднего бизнеса. Крупный бизнес чаще использует собственные цифровые платформы либо пользуется решениями, входящими в состав «крупных» систем (например, SAP Mobile Secure, Microsoft Intune или IBM MaaS60).

В продуктовом портфеле профильных интеграторов есть сразу несколько решений для заказчиков разного уровня. Например, компания Macaroon может предложить услуги по развёртыванию MDM любого класса — Jamf Pro, Jamf School, Mosyle, MobileIron, Workspace ONE Intelligent Hub.

Рассмотрим несколько инструментов для управления парком мобильных устройств.

Jamf Pro — одно из самых популярных MDM-решений. Оно предлагает широкий набор инструментов для системных администраторов. С Jamf Pro можно в удалённом режиме устранять неполадки в работе устройств, управлять безопасностью, устанавливать необходимые приложения и предоставлять пользователям доступ к информационным системам в соответствии с внутренней политикой компании.

Достоинства Jamf Pro — простой и понятный даже непрофессионалам интерфейс, возможность выбора между облачной и серверной версиями. Есть и недостатки — поддержка только платформы Apple делает невозможным администрирование устройств на Android и Windows. Второй недостаток — довольно высокая цена этого решения.

«Младший брат» Jamf Pro, специализированная версия решения, адресованная учебным заведениям. С помощью Jamf School управлять устройствами учащихся могут и системные администраторы учебных заведений, и преподаватели, и родители.

У Jamf School функциональность как у основной версии, но также есть дополнительная возможность контролировать отдельные действия пользователей. Например, родители могут следить за тем, что дети делают в интернете. Цена более демократична, чем у Jamf Pro, поскольку решение ориентировано на учреждения образования.

Решение Mosyle также работает только на платформе Apple.

Помимо контроля устройств, применения корпоративных политик безопасности и управления ими, Mosyle умеет запускать удалённо кастомные скрипты, устанавливать приложения из AppStore и с корпоративного сервера. Кроме того, Mosyle отлично масштабируется и позволяет быстро подключать к инфраструктуре компании большое количество новых устройств.

Комплексное решение для управления мобильным парком. Оно работает не только с устройствами и приложениями, но и с контентом. Управление устройствами происходит на основе сертификатов, а всю информацию в телефонах и планшетах MobileIron разделяет на корпоративную и личную.

Для приложений, необходимых пользователям для работы, система имеет собственный магазин. Контроль за контентом она ведёт при помощи встроенного решения класса DLP (защита от утечек информации).

Решение работает на всех платформах. Его недостаток — относительная сложность, необходимость тщательной предварительной настройки и высокая стоимость. Основная аудитория продукта — средний бизнес.

VMware Workspace ONE (AirWatch)

AirWatch — самая функциональная в нашем перечне MDM-система. Она входит в состав Workspace ONE, платформы «цифровой рабочей области» от мирового лидера в области виртуализации VNWare.

Это кроссплатформенное решение, которое позволяет контролировать, администрировать, обеспечивать безопасность и давать доступ к корпоративным приложениям устройствам на любой платформе — Windows, Apple, Android или даже на хромбуках.

Пандемия сделала невозможным прежний режим работы для многих компаний. В скором будущем значительная доля работодателей будет использовать удалённый режим. Это значит, что большинство операций сотрудников с использованием корпоративных информационных систем будет происходить с мобильных устройств (смартфонов или ноутбуков), преимущественно личных.

В апреле 2020 года компания ESET выяснила, что 29% российских компаний оказались готовы к тому, чтобы перейти на «удалёнку» — это высокий показатель, учитывая стремительное развитие событий весной. 71% предприятий отметил, что у них нет ресурсов для полноценного перехода на удалённый режим, при этом наиболее проблемной задачей стало обеспечение безопасности информационных систем.

Справиться с проблемой можно путём внедрения на предприятиях систем управления мобильными устройствами. Они позволят быстро и централизованно привести в соответствие с нормами безопасности все устройства, с которых возможен доступ к корпоративной инфраструктуре. Помимо этого, система наладит контроль и предпримет меры реагирования на кибер-инциденты.

Мы намеренно не даём конкретных рекомендаций по выбору MDM-решения. Компания Macaroon ведёт десятки проектов, связанных с внедрением таких систем. На основе этого опыта мы можем утверждать, что универсальных решений не существует. Конкретный выбор зависит от множества факторов — как технологических, так и экономических.

Сотрудники Macaroon готовы провести анализ потребностей компании, учесть все особенности её инфраструктуры, потребности бизнеса, как существующие, так и перспективные, и предложить заказчику наиболее подходящее решение на основе этих данных.

Источник

Mobile Device Management – сравнение и выбор

Mobile Device Management (MDM) – класс решений для управления мобильными устройствами. Эти решения, изначально предназначенные для контроля смартфонов и планшетов, на сегодняшний день можно применять и на ноутбуках с MacOS или Windows 10.

Актуально ли это для вашей организации? Если у вас есть возможность войти в корпоративную почту или работать с корпоративными сервисами с мобильного телефона, то фактически телефон является продолжением рабочего компьютера. Все мы знаем, что сейчас из-за эпидемиологической обстановки многие работают из дома, используя личные смартфоны или планшеты. Количество «мобильных» пользователей неуклонно растет, причём часто такими пользователями являются ключевые сотрудники и топ-менеджеры. Через мобильное устройство можно осуществить вирусную рассылку, раскрыть конфиденциальные данные; устройство с ценной информацией, в конце концов, может быть просто украдено.

Как MDM может помочь компании?

Часть этих задач может решаться системным или бесплатно распространяемым ПО. Но если нужно защитить несколько смартфонов разных версий Android и iOS, если таких смартфонов не 10, а 100 — тут MDM просто необходим.

Что же выбрать? Для сравнения были выбраны мировые лидеры MDM MobileIron и VMware AirWatch. Так как у многих компаний развернута инфраструктура Check Point, добавлен Сheck Point SandBlast Mobile. Российские MDM почти не уступают зарубежным, поэтому стоит рассмотреть Kaspersky Security для мобильных устройств, Secret MDM и SafePhone. Для удобства всё сведено в таблицу.

Как понять, какой из представленных продуктов выбрать?

Вам нужно полноценное MDM-решение (MobileIron, VMware AirWatch, SafePhone), если в вашей компании:

В случае, если речь идет в основном о защите корпоративных или личных устройств, а не о жёстком контроле, лучше выбрать нацеленные на безопасность решения – Сheck Point SandBlast Mobile, Kaspersky Security для мобильных устройств, Secret MDM.

Надеемся, что данный обзор поможет вам!

Автор: Савинов Кирилл. Главный системный архитектор. РАССЭ (ГК «АйТеко»).

Источник