Mobile Device Management STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU EVROPSKÝ SOCIÁLNÍ FOND Mobile Device Management PRAHA & EU INVESTUJEME DO VAŠÍ BUDOUCNOSTI Edward Plch, System4u

Mobile Device Management XXX Mobile Device Management Edward Plch září 2013 STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

XXX Agenda Mobilní řešení – obecný přehled, srovnání platforem, hlavní požadavky na MDM Různé mobilní platformy a MDM Jak si vybrat MDM software XenMobile Device Manager System4u a mobilní řešení STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

XXX Mobilní řešení – obecný přehled, srovnání platforem, hlavní požadavky na MDM STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Firemní mobilní řešení – současný stav XXX Firemní mobilní řešení – současný stav Rostoucí počet mobilních zařízení ve firmách, tlaky managementu na jejich zavedení Platformy iOS Apple, Android, BlackBerry, Windows Phone 8 Ostatní platformy – Symbian, Windows Mobile atd. Bezpečnostní otázky iOS, Android, WP8, BlackBerry BRING YOUR OWN DEVICE (BYOD) Plus a minus BYOD, právní otázky, rozsah kontroly nad zařízením Více mobilních platforem v jedné firmě Nároky na správu, finanční náklady STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Mobilní řešení – hlavní požadavky XXX Mobilní řešení – hlavní požadavky Doporučujeme požadavky rozdělit na potřebné a nepotřebné s delším časovým výhledem. Přístup k firemním zdrojům = data v zařízení Groupware (Exchange a jiné mail servery, pomocí ActiveSync Úložiště dokumentů a práce s nimi (MS SharePoint) Přístup k intranetovým aplikacím Přístup pomocí VPN Přístup k firemní Wi-Fi (ověřování certifikáty) Správa zařízení Přihlášení zařízení pod firemní správu Zabezpečení zařízení a dat, oddělení soukromých a firemních dat Nastavení, správa a kontrola zařízení Řízení přístupu do firemní sítě Správa aplikací Kontrola firemních dokumentů v zařízení Podpora uživatelů STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Způsob přihlášení zařízení pod firemní správu XXX Způsob přihlášení zařízení pod firemní správu Propojení s Active Directory nebo jinou LDAP, podpora skupin AD Kroky na straně administrátora Kroky administrátora, než se může uživatel připojit (založení uživatele v MDM, členství ve skupinách atd.) Kroky na straně uživatele Podobný postup u všech mobilních platforem Stažení MDM klienta (Apple AppStore, Google Play, interní distribuce) Zadání adresy MDM serveru – u XenMobile není nutné Stažení a aplikace profilů a nastavení Různé úrovně ověření uživatele při registraci zařízení Jméno a heslo – z Active Directory Aktivační heslo, PIN kód, kombinace, dvoufaktorové ověřování STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Způsob přihlášení zařízení pod firemní správu XXX Způsob přihlášení zařízení pod firemní správu STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Zabezpečení zařízení a dat XXX Zabezpečení zařízení a dat Bezpečnost x použitelnost zařízení Koncept sandboxingu – aplikace a její data na jednom místě Nelze přistupovat k datům jiných aplikací Aplikace může svá data poslat do jiné aplikace (např. „open with“ v emailu) Detekce jailbreak a root Bezpečnostní politiky (hesla, šifrování obsahu, zákaz funkcí zařízení a mnoho dalšího) Autentifikace uživatele Heslo, certifikáty, dvoufaktorové ověřování Zápisy certifikátů, propojení s firemní PKI, uživatelské certifikáty, certifikáty zařízení Ochrana proti útokům a malware STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Nastavení, správa a kontrola zařízení XXX Nastavení, správa a kontrola zařízení Nastavení Zabezpečení zařízení Exchange ActiveSync Přístup browserem do intranetu VPN, WiFi Aplikace, konfigurace vlastních aplikací, nastavení záložek Správa Evidence zařízení, soukromá a firemní Informace o zařízení (stav, OS, verze atd.) Vzdálené zamčení zařízení Vzdálené smazání zařízení, všechna nebo jen firemní data Logy aplikací a komunikace zařízení Reporting Lokace zařízení, geotracking Vzdálená kontrola administrátora nad zařízením STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Řízení přístupu do firemní sítě XXX Řízení přístupu do firemní sítě Server MDM nepřenáší data, jen spravuje zařízení   nutnost řízení dalších přístupových kanálů (ActiveSync, VPN, intranet apod.) STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Řízení přístupu do firemní sítě - XenMobile XXX Řízení přístupu do firemní sítě - XenMobile STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Řízení přístupu do firemní sítě XXX Řízení přístupu do firemní sítě Automatické odepření přístupu k firemním datům v případě porušení pravidel zabezpečení zařízení Možnost definovat akce při porušení pravidel (např. poslat email administrátorovi, smazat zařízení apod.) Riziko VPN – VPN je navazována pro celé zařízení, je nutné omezit VPN jen pro vyjmenované aplikace! MDM často poskytuje vlastní šifrovaný tunel do firemní sítě (micro VPN) STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Správa aplikací Výpis aplikací instalovaných na mobilním zařízení XXX Správa aplikací Výpis aplikací instalovaných na mobilním zařízení Whitelisting a blacklisting aplikací Distribuce aplikací Uživatelé musí mít Apple ID a/nebo Gmail Z AppStore nebo Google Play Přímé poslání instalačního balíčku do zařízení (jen některé platformy) Z firemního aplikačního portálu (vlastní i cizí aplikace) Kontrola malware STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Správa aplikací – vlastní AppStore XXX Správa aplikací – vlastní AppStore STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Správa a kontrola firemních dokumentů XXX Správa a kontrola firemních dokumentů iOS i Android umí kontrolovat data v rámci jedné aplikace (sandboxing) Odesláním dat do jiné aplikace (např. otevření přílohy Office z emailu) ztrácíme nad daty kontrolu Řešení: správa dokumentů pomocí MDM – dokumenty prochází přes komponentu MDM – ta zajistí, že mimo klienta MDM nepůjdou otevřít Správa příloh emailů a dokumentů ze serveru MS Sharepoint – lze definovat omezení práce s dokumentem (zákaz uložení, kopírování, editování, screenshot apod.) STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Správa a kontrola firemních dokumentů XXX Správa a kontrola firemních dokumentů STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Ovládání řešení, podpora uživatelů a řešení problémů XXX Ovládání řešení, podpora uživatelů a řešení problémů Přívětivost konzole pro správu Informace o zařízení (typ a stav zařízení, verze OS, různá IDs, stav připojení, instalované aplikace apod.) Soulad zařízení s bezpečnostní politikou Protokol komunikace zařízení Kontrola synchronizace ActiveSync Reset konfigurace, opakované poslání nastavení Vzdálené ovládání zařízení administrátorem STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Různé mobilní platformy a MDM XXX Různé mobilní platformy a MDM STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Různé mobilní platformy a MDM XXX Různé mobilní platformy a MDM Apple iOS Vlastní rozhraní pro správu zařízení (konfigurační profily) Rozšíření funkčnosti s MDM agentem Výhoda jednoho výrobce hardwaru a OS Android Bez nativního rozhraní pro správu Rozdíly v OS Android u jednotlivých výrobců Rozšíření funkcí MDM pomocí Samsung Android SAFE Rozšíření funkcí pomocí Nitrodesk Touchdown email client Windows Phone 8 Vlastní rozhraní pro správu Zatím nejasná pozice a podpora STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

XXX Android a MDM Neexistuje obecný nástroj pro správu zařízení (lokální, vzdálený) Problematika více výrobců hardware, různé typy zařízení i operačního systému Podpora některých ActiveSync policies pomocí mail klienta Android, rozšíření pomocí klienta Nitrodesk Touchdown Značně omezené nativní možnosti administrace Nastavení zařízení pomocí lokálního klienta napojeného na MDM software Samsung Approved For Enteprise (SAFE) – rozšíření API pro správu Kontejner Samsung KNOX STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Jak si vybrat MDM software XXX Jak si vybrat MDM software STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Přední MDM řešení Potřeba kvalitní podpory od dodavatele XXX Přední MDM řešení Potřeba kvalitní podpory od dodavatele Potřeba porozumět principům mobilní platformy Potřeba být stále up-to-date Srovnávací report Gartner Srovnání iOS MDM http://www.enterpriseios.com/wiki/Comparison_MDM_Providers STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Magic Quadrant Gartner, květen 2013 XXX Magic Quadrant Gartner, květen 2013 STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Koncepce MDM software Správa celého zařízení Sandboxed řešení XXX Používá většina výrobců MDM Zařízení komunikuje přímo se serverem Nutná kontrola a zabezpečení všech firemních aplikací (email, kalendář, browser atd.) Sandboxed řešení Good for Enterprise Vlastní sandboxed aplikace, v ní jsou groupware klienti a browser, dokumenty, instant messaging Vlastní šifrování dat uložených v zařízení Vlastní Network Operation Center, MDM přenáší data i konfiguraci, šifrování AES 256 STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

XXX STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Komponenty MDM Hlavní server MDM Databáze ActiveSync filter XXX Komponenty MDM Hlavní server MDM Umístění v DMZ, možnost oddělení edge komponenty Možnosti high availability Databáze Umístění databáze ActiveSync filter Pomocí filtrování ActiveSync komunikace Pomocí příkazů Exchange Management Shell ActiveSync Server (Exchange, Domino Traveler, IceWarp atd.) LDAP SMTP Certificate Services STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU

Edward Plch System4u září 2013 STŘEDNÍ PRŮMYSLOVÁ ŠKOLA NA PROSEKU DĚKUJI ZA POZORNOST Edward Plch System4u září 2013