MDM (mobile device management, керування мобільними пристроями) — програмне забезпечення, що дає змогу організаціям централізовано реєструвати, налаштовувати, захищати й контролювати робочі смартфони, планшети й ноутбуки.
Як працює MDM
Пристрій реєструють у MDM-сервісі — зазвичай установленням профілю керування або через програми автоматичної реєстрації Apple і Google. Після цього адміністратор може:
- вимагати код-пароль, шифрування й мінімальну версію ОС;
- централізовано передавати налаштування Wi-Fi, VPN, пошти й сертифікатів;
- встановлювати, оновлювати чи блокувати застосунки;
- перевіряти відповідність політикам, наприклад виявляти пристрої з джейлбрейком або root-доступом;
- визначати місцеположення, блокувати чи віддалено стирати загублені й викрадені пристрої.
Поширені продукти — Microsoft Intune, Jamf та Ivanti, побудовані на механізмах керування iOS, Android Enterprise, Windows і macOS. Сьогодні MDM часто входить до ширшого класу рішень для уніфікованого керування кінцевими точками (UEM).
Чому це важливо
На мобільних пристроях зберігаються корпоративна пошта, документи й застосунки для автентифікації, а губляться вони легко. MDM надає сигнали про стан пристрою, на які спираються політики доступу нульової довіри, і допомагає запобігати витокам даних, утримуючи корпоративні дані в керованих застосунках. Для сценаріїв BYOD існують м’якші варіанти, наприклад робочі профілі, що відокремлюють особисті й корпоративні дані.
Оскільки MDM має потужний контроль над кожним пристроєм, вона сама стає цінною мішенню. У 2018 році Cisco Talos описала кампанію, у якій шкідливий MDM-сервер установлював шпигунське ПЗ на iPhone в Індії, а у 2023 році вразливості нульового дня в Ivanti Endpoint Manager Mobile використали для зламу міністерств уряду Норвегії.
Рекомендації
- Захищати консолі адміністрування MDM багатофакторною автентифікацією й оперативно оновлювати MDM-сервери.
- Обмежувати права адміністраторів і журналювати всі віддалені стирання та зміни політик.
- Збирати лише необхідні дані й пояснювати працівникам правила конфіденційності.
- Ніколи не встановлювати профілі керування з недовірених джерел.
