Pengurusan Peranti Mudah Alih (MDM) dan Dasar BYOD

Peranti mesti didaftarkan dalam MDM sebelum polisi boleh digunakan. Peranti milik korporat boleh didaftarkan melalui penyediaan pukal: Apple DEP/ABM (Automated Device Enrollment), Android Zero-Touch atau Windows Autopilot menetapkan profil MDM secara automatik semasa but pertama — peranti telah diurus sebelum pekerja menyentuhnya. Pendaftaran BYOD memerlukan pekerja memasang aplikasi Company Portal atau mengimbas kod QR. Profil MDM memasang sijil pengurusan yang membolehkan pelayan MDM menghantar polisi, memadam peranti atau menyoal status pematuhan.

Selepas didaftarkan, MDM menguatkuasakan polisi keselamatan pada peranti. Keperluan Passcode/PIN: panjang minimum, kerumitan dan penguncian selepas percubaan gagal. Encryption: menguatkuasakan penyulitan keseluruhan peranti (FileVault, BitLocker, Android FBE). Had masa kunci Screen: maksimum 5 minit tidak aktif sebelum dikunci. Pengesanan Jailbreak/root: menandakan atau mengkuarantin peranti yang terjejas secara automatik. Versi OS minimum: menyekat peranti yang menjalankan versi OS yang telah tamat sokongan daripada mengakses sumber korporat. Senarai benarkan/senarai sekat Apps: hanya membenarkan Apps yang diluluskan pada peranti korporat.

Pemadaman dari jauh ialah keupayaan IT untuk memadamkan semua data pada peranti yang hilang atau dicuri. Platform MDM menyediakan dua jenis: pemadaman penuh (tetapan semula kilang, semua data dipadamkan) dan pemadaman terpilih (hanya membuang data korporat — e-mel, profil VPN dan Apps terurus — sambil mengekalkan foto serta Apps peribadi). Untuk BYOD, pemadaman terpilih amat penting kerana pekerja tidak bersetuju untuk kehilangan data peribadi. Menggabungkan pemadaman dari jauh dengan penjejakan lokasi boleh menentukan sama ada peranti benar-benar hilang atau dicuri sebelum pemadaman dicetuskan, sekali gus mengurangkan kehilangan data secara tidak sengaja.

MDM boleh menghantar sijil digital secara senyap kepada peranti terurus, sekali gus membolehkan pengesahan kukuh tanpa penglibatan pengguna. Kes penggunaan: sijil Wi-Fi 802.1X yang mengesahkan peranti kepada WLAN korporat tanpa frasa laluan dikongsi, sijil klien VPN untuk pengesahan VPN berasaskan sijil dan sijil penandatanganan/penyulitan e-mel (S/MIME) untuk keselamatan e-mel hujung ke hujung. Sijil yang dikeluarkan oleh PKI korporat dan dihantar melalui MDM mengelakkan kelemahan rangkaian Wi-Fi PSK, yang menggunakan satu kunci dikongsi untuk memberikan akses kepada setiap peranti dalam rangkaian.

Polisi BYOD mengawal cara peranti peribadi boleh mengakses sumber korporat. Elemen polisi utama: kelayakan (versi OS dan jenis peranti yang disokong), keperluan pendaftaran (pendaftaran MDM atau MAM wajib sebelum akses), pengasingan data (data korporat hanya dalam Apps atau bekas terurus), sempadan sokongan (IT membantu dengan Apps korporat, bukan isu peranti peribadi), notis privasi (data yang dikumpulkan MDM daripada peranti — inventori Apps adalah perkara biasa, tetapi foto peribadi tidak dikumpulkan) dan prosedur keluar (pemadaman terpilih apabila pekerja meninggalkan organisasi).

Alat Mobile Threat Defense (MTD) (Lookout, Zimperium, Microsoft Defender for Endpoint pada peranti mudah alih) menambahkan pengesanan ancaman berasaskan tingkah laku pada peranti mudah alih, serupa dengan EDR pada komputer meja. MTD mengesan: Apps berniat jahat, serangan rangkaian (MITM pada Wi-Fi yang tidak dipercayai), eksploit peringkat OS dan tingkah laku peranti yang tidak normal. MTD berintegrasi dengan MDM supaya peristiwa pengesanan ancaman secara automatik menandakan peranti sebagai tidak patuh, lalu menyekat akses kepada sumber korporat melalui Conditional Access sehingga ancaman diselesaikan. Ini menutup jurang yang ditinggalkan oleh polisi pematuhan MDM asas.

Peranti mudah alih yang mengakses sumber korporat di luar pejabat hendaklah menggunakan VPN mudah alih atau VPN mengikut Apps yang menyalurkan hanya trafik Apps tertentu. VPN mengikut Apps (disokong oleh MDM) menghalakan trafik Apps terurus melalui VPN, manakala trafik Apps peribadi pergi terus ke internet — sekali gus mengurangkan kebimbangan privasi dan penggunaan lebar jalur VPN. Dengan gabungan polisi Conditional Access (Azure AD, Okta), organisasi boleh mewajibkan peranti didaftarkan dalam MDM dan mematuhi polisi sebelum memberikan akses kepada e-mel korporat, SharePoint atau aplikasi dalaman.

MDM boleh mengumpulkan data yang banyak tentang peranti: sejarah lokasi, Apps yang dipasang, sambungan rangkaian dan statistik penggunaan peranti. Pada peranti BYOD, keadaan ini menimbulkan ketegangan antara keperluan keselamatan korporat dengan privasi pekerja. Amalan terbaik: nyatakan dengan jelas perkara yang dikumpulkan MDM dalam polisi BYOD sebelum pendaftaran, gunakan MAM sahaja untuk BYOD bagi mengelakkan akses kepada bahagian peribadi dan elakkan pengaktifan penjejakan lokasi berterusan pada peranti peribadi. Dalam sesetengah bidang kuasa, pemantauan peranti peribadi oleh majikan dihadkan oleh undang-undang. Semakan undang-undang terhadap polisi BYOD sebelum penggunaan adalah penting dalam organisasi global.

Alternatif kepada MDM penuh pada BYOD ialah pendekatan ruang kerja dalam bekas. Penyelesaian seperti Samsung Knox, BlackBerry Dynamics dan Microsoft Managed Home Screen mewujudkan bekas yang disulitkan dan terurus pada peranti. Apps serta data korporat berada di dalam bekas; Apps peribadi berada di luarnya. IT boleh memadamkan bekas sahaja, tanpa menyentuh data peribadi. Bekas tersebut menguatkuasakan PIN, penyulitan dan polisi Apps sendiri secara berasingan daripada tetapan OS peranti, lalu memberikan keselamatan kukuh tanpa memerlukan pendaftaran MDM pada peringkat peranti.

Dalam pelajaran ini, anda telah mempelajari bahawa: MDM menguatkuasakan dasar penyulitan, kod laluan, penguncian dan pematuhan pada peranti mudah alih dengan keupayaan pemadaman dari jauh; BYOD policies mengimbangi keselamatan korporat dengan privasi pekerja menggunakan pemadaman terpilih dan pengurusan MAM sahaja; dan MDM combined with Conditional Access memastikan hanya peranti yang didaftarkan dan mematuhi syarat boleh mengakses sumber korporat. Seterusnya, kita akan meneroka tembok api berasaskan hos dan Allowlisting aplikasi.