MDM для корпоративных телефонов: минимум политик без обзора рынка
Поставьте управление мобильными устройствами (MDM) на телефоны, которые выдала компания: код, шифрование, учёт, удалённая очистка рабочего профиля. Личный телефон сотрудника — другая модель: мобильные и BYOD. Гостевой Wi-Fi корпоративный MDM не заменяет: гостевой Wi-Fi. Сравнение продуктов рынка не пишем.
Статья опирается на логику направления «Безопасность конечных устройств» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 4 включает безопасную конфигурацию в том числе переносных устройств: cisecurity.org/controls. Это не российский закон. Условия контроля телефона согласуйте с кадрами: на корпоративном устройстве это проще, чем на личном.
Минимум политик
| Политика | Зачем |
|---|---|
| Код или биометрия на разблокировку | Найденный телефон не открывается сразу |
| Шифрование накопителя | Вынутая карта или диск без кода бесполезны. Диски ПК: LUKS и BitLocker |
| Учёт в консоли = строка в реестре | Иначе «выдали и забыли»: реестр активов |
| Удалённая блокировка и очистка рабочего контейнера | Потеря и увольнение. Не обход защиты чужого телефона |
| Запрет снятой защиты ОС (jailbreak / root) | Политики MDM иначе не на что опереться |
Почта и мессенджер компании — только в управляемом профиле. Обход MDM и снятие профиля здесь не разбираем. На пять телефонов без консоли MDM можно начать с учёта и кода, но потеря без удалённой очистки уже дыра.
Покрытие, не логотип на слайде
Числитель: устройства в консоли MDM со статусом «под управлением». Знаменатель: телефоны, которые компания выдала (строки реестра). Доля ниже 100% — список исключений с датой, не «ещё настроим». Пилот на одном запасном аппарате: политика кода включается; команда блокировки с консоли срабатывает. Риск: очистка всего устройства вместо рабочего контейнера сотрёт личные фото, если политика смешала профили — на корпоративном телефоне личное держать негде, это зафиксируйте при выдаче.
Выдача — после ознакомления с правилами: ознакомление при приёме. Локальный администратор Windows на ПК — не MDM: LAPS.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Телефон в реестре, в консоли нет | Выдали в обход. Заберите или зачислите в MDM |
| Сотрудник снял профиль | Почта должна отвалиться. Не оставляйте «вход по паролю в браузере» |
| Увольнение, почта на телефоне жива | Нет очистки и отзыва учётки. Сделайте оба шага в один день |
| Личные телефоны в той же консоли | Это BYOD. Разведите политики, не мешайте контейнеры |
Где это в модели зрелости
Материал относится к направлению «Безопасность конечных устройств» (хаб: конечные устройства, карта: карта зрелости). BYOD отвечает, можно ли личное. MDM отвечает, чем закрыт выданный парк. Без покрытия консоль — картинка.
Как проверить
- Каждый выданный телефон есть в консоли MDM и в реестре.
- Включены код, шифрование, запрет снятой защиты ОС, удалённая очистка контейнера.
- На запасном аппарате блокировка с консоли срабатывает.
- Личные устройства не в той же политике, что корпоративные.
- Статья не обзор рынка и не инструкция снять MDM.
Источники
- CIS Control 4: cisecurity.org/controls.
