0Pricing
Cloud & IT Cert Prep · บทเรียน

การจัดการอุปกรณ์เคลื่อนที่ (MDM) และนโยบาย BYOD

ควบคุมอุปกรณ์ขององค์กรและอุปกรณ์ส่วนบุคคลผ่านนโยบาย MDM ที่บังคับใช้การเข้ารหัส การลบข้อมูลจากระยะไกล การติดตั้งใบรับรอง และการอนุญาตรายการแอป

การจัดการอุปกรณ์เคลื่อนที่ (MDM) และนโยบาย BYOD เป็นบทเรียน Cloud & IT Cert Prep ฟรีบน CoddyKit นี่คือบทเรียนที่ 3 จากทั้งหมด 4 บทเรียน คุณสามารถอ่านบทเรียนทั้งหมดด้านล่างฟรี — จากนั้นลองปฏิบัติด้วยตัวคุณเองในเบราว์เซอร์พร้อมตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7 บทเรียนนี้เป็นส่วนหนึ่งของเส้นทางการเรียน Cloud & IT Cert Prep และความก้าวหน้าของคุณจะซิงค์ข้ามเว็บและแอป CoddyKit คอร์ส Cloud & IT Cert Prep มีบทเรียนทั้งหมด 4 บทเรียน

ความท้าทายด้านความปลอดภัยของอุปกรณ์เคลื่อนที่

อุปกรณ์เคลื่อนที่ — สมาร์ตโฟนและแท็บเล็ต — เก็บอีเมลของบริษัท ข้อมูลรับรอง VPN แอปยืนยันตัวตน และเอกสารสำคัญ แต่ในแต่ละวันอุปกรณ์เหล่านี้ออกนอกขอบเขตพื้นที่ทางกายภาพขององค์กร อุปกรณ์ที่สูญหายหรือถูกขโมยจึงมีความเสี่ยงที่จะทำให้ข้อมูลรั่วไหลได้ทันที พนักงานยังใช้อุปกรณ์ส่วนตัวในการทำงาน (BYOD) ทำให้ข้อมูลของบริษัทและข้อมูลส่วนตัวอยู่รวมกันบนฮาร์ดแวร์ที่องค์กรไม่ได้ควบคุม การจัดการอุปกรณ์เคลื่อนที่ (MDM) ช่วยให้ทีม IT มองเห็นและควบคุมปลายทางอุปกรณ์เคลื่อนที่ เพื่อบังคับใช้นโยบายความปลอดภัยได้ไม่ว่าอุปกรณ์จะเดินทางไปที่ใด

MDM, MAM และ EMM

คำย่อที่เกี่ยวข้องกันสามคำนี้ครอบคลุมขอบเขตการจัดการอุปกรณ์เคลื่อนที่ MDM (การจัดการอุปกรณ์เคลื่อนที่) ควบคุมอุปกรณ์ทั้งเครื่อง ได้แก่ บังคับใช้การเข้ารหัส ล็อกหน้าจอ ล้างข้อมูลจากระยะไกล และติดตั้งใบรับรอง MAM (การจัดการแอปพลิเคชันเคลื่อนที่) จัดการเฉพาะแอปของบริษัทที่กำหนด — เหมาะสำหรับ BYOD ที่ไม่ควรควบคุมอุปกรณ์ทั้งเครื่อง EMM (การจัดการความคล่องตัวขององค์กร) เป็นคำรวมที่ครอบคลุม MDM + MAM + การจัดการเนื้อหาบนอุปกรณ์เคลื่อนที่ แพลตฟอร์มสมัยใหม่ (Microsoft Intune, Jamf, VMware Workspace ONE) ผสานความสามารถทั้งสามด้าน และยังจัดการแล็ปท็อปกับเดสก์ท็อปควบคู่กับอุปกรณ์เคลื่อนที่ได้ด้วย

วิธีการลงทะเบียน MDM

ต้องลงทะเบียนอุปกรณ์ใน MDM ก่อนจึงจะนำ นโยบายไปใช้ได้ อุปกรณ์ขององค์กร สามารถลงทะเบียนผ่านการจัดเตรียมจำนวนมากได้: Apple DEP/ABM (การลงทะเบียนอุปกรณ์อัตโนมัติ), Android Zero-Touch หรือ Windows Autopilot จะกำหนดโปรไฟล์ MDM โดยอัตโนมัติเมื่อเปิดเครื่องครั้งแรก — อุปกรณ์จะได้รับการจัดการก่อนที่พนักงานจะได้สัมผัสด้วยซ้ำ การลงทะเบียน BYOD กำหนดให้พนักงานติดตั้งแอป Company Portal หรือสแกนคิวอาร์โค้ด โปรไฟล์ MDM จะติดตั้งใบรับรองการจัดการ ซึ่งทำให้เซิร์ฟเวอร์ MDM สามารถส่งนโยบาย ล้างข้อมูลอุปกรณ์ หรือสอบถามสถานะการปฏิบัติตามข้อกำหนดได้

# MDM enrollment methods by ownership model
COBO (Corporate-Owned, Business-Only):
  Enrollment: Apple DEP / Android Zero-Touch / Autopilot
  Control: Full device wipe, all apps managed

COPE (Corporate-Owned, Personally Enabled):
  Enrollment: DEP/Zero-Touch with personal app allowance
  Control: Work profile separated from personal

BYOD (Bring Your Own Device):
  Enrollment: User-initiated via Company Portal
  Control: MAM only, no full device wipe

CYOD (Choose Your Own Device):
  Enrollment: From approved device list + MDM
  Control: Like COPE

นโยบายความปลอดภัยหลักของ MDM

เมื่อลงทะเบียนแล้ว MDM จะบังคับใช้นโยบายความปลอดภัยบนอุปกรณ์ ข้อกำหนด Passcode/PIN: ความยาวขั้นต่ำ ความซับซ้อน และการล็อกหลังจากพยายามไม่สำเร็จหลายครั้ง การเข้ารหัส: บังคับใช้การเข้ารหัสทั้งอุปกรณ์ (FileVault, BitLocker, Android FBE) เวลารอการล็อกหน้าจอ: ไม่เกิน 5 นาทีเมื่อไม่มีการใช้งานก่อนล็อก การตรวจจับการเจลเบรกหรือการเข้าถึง root: ทำเครื่องหมายหรือกักกันอุปกรณ์ที่ถูกเจาะโดยอัตโนมัติ เวอร์ชัน OS ขั้นต่ำ: บล็อกอุปกรณ์ที่ใช้ OS ซึ่งหมดอายุการสนับสนุนไม่ให้เข้าถึงทรัพยากรของบริษัท รายการอนุญาตหรือรายการบล็อกของแอป: อนุญาตเฉพาะแอปที่ได้รับอนุมัติบนอุปกรณ์ของบริษัท

# Example MDM compliance policy (Intune/Jamf)
OS version minimum    : iOS 17.0 / Android 13
Passcode min length   : 8 characters
Passcode complexity   : Require alphanumeric
Max failed attempts   : 10 (then remote wipe)
Screen lock timeout   : 5 minutes
Encryption required   : YES
Jailbreak detection   : BLOCK (mark non-compliant)
VPN required          : For corporate resource access
Apps blocked          : TikTok, personal cloud storage

การล้างข้อมูลจากระยะไกล

การล้างข้อมูลจากระยะไกล คือความสามารถที่ IT ใช้ลบข้อมูลทั้งหมดบนอุปกรณ์ที่สูญหายหรือถูกขโมย แพลตฟอร์ม MDM มีสองรูปแบบ ได้แก่ การล้างข้อมูลทั้งเครื่อง (คืนค่าเป็นค่าโรงงานและลบข้อมูลทั้งหมด) และ การล้างข้อมูลแบบเลือก (ลบเฉพาะข้อมูลของบริษัท — อีเมล โปรไฟล์ VPN และแอปที่จัดการ — โดยคงรูปถ่ายและแอปส่วนตัวไว้) สำหรับ BYOD การล้างข้อมูลแบบเลือกเป็นสิ่งจำเป็น เนื่องจากพนักงานไม่ได้ยินยอมให้สูญเสียข้อมูลส่วนตัว การใช้การล้างข้อมูลจากระยะไกลร่วมกับ การติดตามตำแหน่ง ช่วยระบุได้ว่าอุปกรณ์สูญหายหรือถูกขโมยจริงหรือไม่ก่อนเริ่มล้างข้อมูล จึงลดการสูญเสียข้อมูลโดยไม่ตั้งใจ

การติดตั้งใบรับรองผ่าน MDM

MDM สามารถส่ง ใบรับรองดิจิทัล ไปยังอุปกรณ์ที่จัดการอยู่ได้อย่างเงียบ ๆ ทำให้ยืนยันตัวตนที่รัดกุมได้โดยไม่ต้องให้ผู้ใช้ดำเนินการ กรณีใช้งาน ได้แก่ ใบรับรอง Wi-Fi 802.1X ที่ยืนยันตัวตนอุปกรณ์กับ WLAN ของบริษัทโดยไม่ใช้รหัสผ่านร่วม ใบรับรอง ไคลเอ็นต์ VPN สำหรับการยืนยันตัวตน VPN ด้วยใบรับรอง และ ใบรับรองสำหรับลงนามหรือเข้ารหัสอีเมล (S/MIME) เพื่อรักษาความปลอดภัยอีเมลตั้งแต่ต้นทางถึงปลายทาง ใบรับรองที่ออกโดย PKI ของบริษัทและส่งผ่าน MDM ช่วยหลีกเลี่ยงจุดอ่อนของเครือข่าย Wi-Fi แบบ PSK ซึ่งคีย์ร่วมเพียงชุดเดียวทำให้อุปกรณ์ทุกเครื่องในเครือข่ายเข้าถึงได้

การออกแบบนโยบาย BYOD

นโยบาย BYOD กำกับวิธีที่อุปกรณ์ส่วนตัวสามารถเข้าถึงทรัพยากรของบริษัทได้ องค์ประกอบสำคัญของนโยบาย ได้แก่ คุณสมบัติผู้มีสิทธิ์ (เวอร์ชัน OS และประเภทอุปกรณ์ที่รองรับ) ข้อกำหนดการลงทะเบียน (ต้องลงทะเบียน MDM หรือ MAM ก่อนเข้าถึง) การแยกข้อมูล (ข้อมูลของบริษัทต้องอยู่ในแอปหรือพื้นที่จัดเก็บที่มีการจัดการเท่านั้น) ขอบเขตการสนับสนุน (IT ช่วยเหลือเกี่ยวกับแอปของบริษัท ไม่ใช่ปัญหาของอุปกรณ์ส่วนตัว) ประกาศความเป็นส่วนตัว (MDM เก็บข้อมูลใดจากอุปกรณ์ — รายการแอปเป็นข้อมูลที่เก็บโดยทั่วไป แต่รูปถ่ายส่วนตัวไม่ใช่) และ ขั้นตอนเมื่อสิ้นสุดการใช้งาน (ล้างข้อมูลแบบเลือกเมื่อพนักงานออกจากองค์กร)

การป้องกันภัยคุกคามบนอุปกรณ์เคลื่อนที่ (MTD)

เครื่องมือ การป้องกันภัยคุกคามบนอุปกรณ์เคลื่อนที่ (MTD) (Lookout, Zimperium, Microsoft Defender for Endpoint บนอุปกรณ์เคลื่อนที่) เพิ่มการตรวจจับภัยคุกคามตามพฤติกรรมให้กับอุปกรณ์เคลื่อนที่ เช่นเดียวกับ EDR บนเดสก์ท็อป MTD ตรวจจับแอปที่เป็นอันตราย การโจมตีเครือข่าย (MITM บน Wi-Fi ที่ไม่น่าเชื่อถือ) การใช้ประโยชน์จากช่องโหว่ระดับ OS และพฤติกรรมผิดปกติของอุปกรณ์ MTD ผสานการทำงานกับ MDM เพื่อให้เหตุการณ์ตรวจพบภัยคุกคามทำเครื่องหมายอุปกรณ์ว่าไม่เป็นไปตามข้อกำหนดโดยอัตโนมัติ และบล็อกการเข้าถึงทรัพยากรของบริษัทผ่าน Conditional Access จนกว่าจะแก้ไขภัยคุกคามได้ วิธีนี้ช่วยปิดช่องว่างที่เหลืออยู่จากนโยบายการปฏิบัติตามข้อกำหนดพื้นฐานของ MDM

VPN บนอุปกรณ์เคลื่อนที่และ Conditional Access

อุปกรณ์เคลื่อนที่ที่เข้าถึงทรัพยากรของบริษัทจากนอกสำนักงานควรใช้ VPN บนอุปกรณ์เคลื่อนที่ หรือ VPN รายแอป ซึ่งจะสร้างอุโมงค์เฉพาะการรับส่งข้อมูลของแอปที่กำหนด VPN รายแอป (รองรับโดย MDM) จะกำหนดเส้นทางการรับส่งข้อมูลของแอปที่จัดการผ่าน VPN ขณะที่การรับส่งข้อมูลของแอปส่วนตัวจะไปยังอินเทอร์เน็ตโดยตรง — ช่วยลดข้อกังวลด้านความเป็นส่วนตัวและการใช้แบนด์วิดท์ VPN เมื่อใช้ร่วมกับนโยบาย Conditional Access (Azure AD, Okta) องค์กรสามารถกำหนดให้อุปกรณ์ต้องลงทะเบียน MDM และเป็นไปตามข้อกำหนดก่อนอนุญาตให้เข้าถึงอีเมลของบริษัท, SharePoint หรือแอปพลิเคชันภายใน

# Conditional Access policy example
IF user attempts to access Microsoft 365:
  AND device is NOT MDM-enrolled:
    BLOCK access
  AND device IS enrolled:
    AND device is compliant (encryption, OS version, no jailbreak):
      GRANT access (may require MFA)
    AND device is NON-COMPLIANT:
      BLOCK access
      NOTIFY user to remediate
      NOTIFY IT helpdesk

MDM และข้อควรพิจารณาด้านความเป็นส่วนตัว

MDM สามารถเก็บข้อมูลสำคัญเกี่ยวกับอุปกรณ์ได้ เช่น ประวัติตำแหน่ง แอปที่ติดตั้ง การเชื่อมต่อเครือข่าย และสถิติการใช้งานอุปกรณ์ บนอุปกรณ์ BYOD สิ่งนี้ทำให้เกิดความขัดแย้งระหว่างความต้องการด้านความปลอดภัยของบริษัทกับความเป็นส่วนตัวของพนักงาน แนวทางปฏิบัติที่ดี ได้แก่ เปิดเผยอย่างชัดเจนว่า MDM เก็บข้อมูลใดบ้างในนโยบาย BYOD ก่อนลงทะเบียน ใช้เฉพาะ MAM สำหรับ BYOD เพื่อหลีกเลี่ยงการเข้าถึงพื้นที่ส่วนตัว และหลีกเลี่ยงการเปิดใช้การติดตามตำแหน่งอย่างต่อเนื่องบนอุปกรณ์ส่วนตัว ในบางเขตอำนาจศาล การติดตามตรวจสอบอุปกรณ์ส่วนตัวของนายจ้างถูกจำกัดตามกฎหมาย การตรวจสอบนโยบาย BYOD โดยฝ่ายกฎหมายก่อนนำไปใช้เป็นสิ่งจำเป็นสำหรับองค์กรระดับโลก

โซลูชันแบบพื้นที่จัดเก็บแยกและพื้นที่ทำงาน

ทางเลือกนอกเหนือจาก MDM เต็มรูปแบบบน BYOD คือแนวทาง พื้นที่ทำงานแบบคอนเทนเนอร์ โซลูชันอย่าง Samsung Knox, BlackBerry Dynamics และ Microsoft Managed Home Screen จะสร้างคอนเทนเนอร์ที่เข้ารหัสและมีการจัดการบนอุปกรณ์ แอปและข้อมูลของบริษัทจะอยู่ภายในคอนเทนเนอร์ ส่วนแอปส่วนตัวจะอยู่นอกคอนเทนเนอร์ IT สามารถล้างข้อมูลเฉพาะคอนเทนเนอร์โดยไม่แตะต้องข้อมูลส่วนตัว คอนเทนเนอร์จะบังคับใช้ PIN การเข้ารหัส และนโยบายแอปของตนเอง โดยเป็นอิสระจากการตั้งค่า OS ของอุปกรณ์ จึงให้ความปลอดภัยสูงโดยไม่ต้องลงทะเบียนอุปกรณ์กับ MDM ในระดับทั้งเครื่อง

ตรวจสอบอย่างรวดเร็ว

ทดสอบความเข้าใจแนวคิด CompTIA Security+ (SY0-701) จากบทเรียนนี้

ทบทวนบทเรียน

ในบทเรียนนี้ คุณได้เรียนรู้ว่า MDM บังคับใช้นโยบายการเข้ารหัส รหัสผ่าน การล็อก และการปฏิบัติตามข้อกำหนดบนอุปกรณ์เคลื่อนที่ พร้อมความสามารถในการลบข้อมูลจากระยะไกล นโยบาย BYOD สร้างสมดุลระหว่างความปลอดภัยขององค์กรกับความเป็นส่วนตัวของพนักงานด้วยการลบข้อมูลเฉพาะส่วนและการจัดการแบบ MAM เท่านั้น และ MDM ที่ทำงานร่วมกับ Conditional Access ช่วยให้มั่นใจว่ามีเพียงอุปกรณ์ที่ลงทะเบียนและปฏิบัติตามข้อกำหนดเท่านั้นที่เข้าถึงทรัพยากรขององค์กรได้ บทถัดไป เราจะศึกษาไฟร์วอลล์บนโฮสต์และการอนุญาตรายการแอปพลิเคชัน

คำถามที่พบบ่อย

บทเรียน “การจัดการอุปกรณ์เคลื่อนที่ (MDM) และนโยบาย BYOD” ฟรีหรือไม่

ใช่ — ข้อความเต็มของ “การจัดการอุปกรณ์เคลื่อนที่ (MDM) และนโยบาย BYOD” ฟรีให้อ่านที่นี่บนเว็บ เพื่อปฏิบัติแบบโต้ตอบ (ตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7) และปลดล็อคส่วนที่เหลือของคอร์ส Cloud & IT Cert Prep ให้อัปเกรดเป็น CoddyKit PRO คอร์ส Cloud & IT Cert Prep มีบทเรียนทั้งหมด 4 บทเรียน

คุณจะเรียนรู้อะไรในบทเรียน “การจัดการอุปกรณ์เคลื่อนที่ (MDM) และนโยบาย BYOD”

ควบคุมอุปกรณ์ขององค์กรและอุปกรณ์ส่วนบุคคลผ่านนโยบาย MDM ที่บังคับใช้การเข้ารหัส การลบข้อมูลจากระยะไกล การติดตั้งใบรับรอง และการอนุญาตรายการแอป คุณปฏิบัติ Cloud & IT Cert Prep ด้วยโค้ดที่ใช้งานได้จริงที่คุณเรียกใช้โดยตรงในเบราว์เซอร์ และติวเตอร์ AI ตลอด 24/7 ตอบคำถามของคุณขณะที่คุณไปผ่านบทเรียน

คุณต้องมีประสบการณ์ก่อนที่จะเริ่มเรียน Cloud & IT Cert Prep หรือไม่

ไม่จำเป็นต้องมีประสบการณ์มาก่อน Cloud & IT Cert Prep บน CoddyKit ออกแบบมาสำหรับผู้เริ่มต้นไปจนถึงผู้เรียนขั้นสูง คุณสามารถเริ่มต้นที่นี่หรือเริ่มจากตัวแรกและเรียนด้วยความเร็วของคุณเอง นี่คือบทเรียนที่ 3 จากทั้งหมด 4 บทเรียน

บทเรียน “การจัดการอุปกรณ์เคลื่อนที่ (MDM) และนโยบาย BYOD” ใช้เวลานานแค่ไหน

บทเรียน CoddyKit ส่วนใหญ่ใช้เวลาประมาณ 5–10 นาที แต่ละบทเรียนจึงสั้นและเป็นแบบโต้ตอบ คุณสามารถก้าวหน้าอย่างต่อเนื่องและกลับมาเรียนต่อจากตรงที่เพิ่งหยุดบนเว็บและแอปได้เลย

ฉันเขียนและรันโค้ดในบทเรียน Cloud & IT Cert Prep นี้ได้ไหม

ได้ บทเรียน Cloud & IT Cert Prep ทุกบทมีตัวแก้ไขโค้ดในตัว คุณจึงเขียนและรันโค้ดจริงได้เลยในเบราว์เซอร์ และได้รับข้อเสนอแนะจาก AI ในทันที — ไม่ต้องติดตั้งในเครื่องของคุณ

บทเรียนทั้งหมดในหลักสูตรนี้

  1. แพลตฟอร์ม Antivirus, EDR และ XDR
  2. การเสริมความแข็งแกร่งให้ OS: การติดตั้งแพตช์ การกำหนดค่าพื้นฐาน และเกณฑ์มาตรฐาน CIS
  3. การจัดการอุปกรณ์เคลื่อนที่ (MDM) และนโยบาย BYOD
  4. ไฟร์วอลล์บนเครื่องโฮสต์และการอนุญาตรายการแอปพลิเคชัน
← กลับไปที่ Cloud & IT Cert Prep