MDM и EMM: как управлять парком рабочих смартфонов

MDM, EMM и UEM: в чём разница

MDM (Mobile Device Management) это управление самим устройством: настройки, ограничения, блокировка, стирание. EMM (Enterprise Mobility Management) шире: к управлению устройством добавляется управление приложениями, корпоративными данными и доступом. UEM (Unified Endpoint Management) объединяет в одной консоли телефоны, планшеты, ноутбуки и иногда специализированные терминалы.

На практике названия часто смешивают. Важнее не аббревиатура, а набор функций под ваши задачи. Перед выбором системы составьте список сценариев: что должно происходить при выдаче, потере, ремонте и возврате устройства. По этому списку проще сравнивать решения, чем по таблицам возможностей. Для склада с терминалами нужен режим киоска и массовая настройка. Для офиса с почтой и документами важнее разделение личных и рабочих данных.

Android Enterprise: основа для Android-парка

Android Enterprise это встроенный в Android набор механизмов управления. Через него MDM-система получает доступ к политикам устройства и к управляемому магазину приложений. Есть несколько режимов работы.

• Полностью управляемое устройство: корпоративный телефон, компания контролирует всё. Подходит для курьеров, монтажников, складов.
• Выделенное устройство (dedicated): одно или несколько приложений, режим киоска. Подходит для терминалов, планшетов-витрин, устройств в общем пользовании.
• Рабочий профиль на личном устройстве: отдельный контейнер для рабочих приложений, компания не видит личные данные.
• Рабочий профиль на корпоративном устройстве: телефон принадлежит компании, но сотруднику разрешено личное использование.

Режим выбирают до регистрации устройства. Перевести телефон из одного режима в другой обычно можно только через сброс к заводским настройкам. Для iPhone и iPad аналогичную роль играют механизмы Apple для управления устройствами и автоматической регистрации.

Смешанный парк из Android и iOS поддерживает большинство систем управления, но политики для двух платформ всё равно настраиваются отдельно. Названия похожих функций и их возможности различаются, поэтому проверяйте каждый нужный сценарий на обеих платформах.

Регистрация: zero-touch, QR-код и ручной способ

Самый удобный вариант для крупного парка это zero-touch. Поставщик, подключённый к программе, заранее привязывает устройства к вашей организации. Сотрудник включает новый телефон, подключается к сети, и устройство само скачивает настройки MDM. Никто не трогает телефон руками на складе ИТ.

Если zero-touch недоступен, используют регистрацию по QR-коду. На экране приветствия нового или сброшенного телефона несколько раз касаются экрана, открывается сканер, и устройство считывает код с настройками. Способ хорош для партий в десятки устройств. Код можно распечатать и положить в коробку с устройствами, тогда настройку выполнит сам сотрудник или администратор на объекте. Есть и регистрация по токену или специальному идентификатору, но она медленнее и чаще даёт ошибки.

Политики и режим киоска

Политика это набор правил, который MDM применяет к группе устройств. Типичные настройки: требования к паролю, шифрование, запрет установки приложений из неизвестных источников, отключение камеры или USB-отладки, настройки Wi-Fi и VPN, ограничение сброса к заводским настройкам.

Режим киоска оставляет на экране только разрешённые приложения. Пользователь не может выйти в настройки, установить лишнее или сменить лаунчер. Для терминалов сбора данных это почти обязательная настройка, подробнее о них в статье ТСД или смартфон со сканером. Продумайте доступ администратора: как техник на месте выйдет из киоска, если нужно что-то поправить.

Делите парк на группы по ролям, а не по моделям. У водителя, кладовщика и менеджера разные наборы приложений и ограничений. Одна общая политика на всех либо слишком строгая, либо слишком мягкая. Начинайте с минимально необходимых ограничений и добавляйте новые по мере необходимости: слишком жёсткая политика на старте порождает поток обращений и обходные пути.

Блокировка, стирание и поиск устройства

Потерянный рабочий телефон это прежде всего риск утечки данных, а уже потом стоимость устройства. MDM позволяет удалённо заблокировать экран, показать сообщение с контактом для возврата, определить последнее местоположение (если это разрешено политикой и законом) и стереть данные.

Различайте два вида стирания. Полный сброс удаляет всё и возвращает устройство к заводскому состоянию. Удаление рабочего профиля убирает только корпоративные приложения и данные, личное остаётся. На личных телефонах сотрудников допустим только второй вариант.

Защита от сброса к заводским настройкам (Factory Reset Protection) после кражи может заблокировать устройство и для вас. Настройте в политике корпоративную учётную запись для разблокировки, иначе возвращённый телефон окажется бесполезным.

Обновления, учёт и инвентаризация

Через MDM задают правила обновления системы: устанавливать сразу, в окно обслуживания (например ночью) или откладывать на ограниченный срок. Откладывать стоит только для проверки совместимости рабочих приложений, а не бессрочно. Устаревшая система без патчей безопасности опаснее, чем редкий сбой после обновления.

Приложения ставятся из управляемого магазина или как внутренние приложения компании. Удобно держать тестовую группу из нескольких устройств: новая версия сначала уходит туда, а через несколько дней на весь парк. При закупке проверяйте, сколько лет производитель обещает выпускать обновления безопасности для модели.

Консоль MDM показывает модель, серийный номер, IMEI, версию системы, установленные приложения, заряд батареи и время последнего выхода на связь. Это готовая основа для инвентаризации, но только если данные связаны с бухгалтерским учётом и с конкретным сотрудником.

Заведите единый идентификатор: инвентарный номер на корпусе и в карточке устройства в MDM. Фиксируйте, за кем закреплено устройство, и обновляйте запись при каждой передаче. Настройте отчёт по устройствам, которые давно не выходили на связь: это кандидаты в потерянные или сломанные. Следите за состоянием батарей и сроками поддержки моделей, чтобы планировать замену заранее, а не в день, когда половина парка перестанет получать обновления.

BYOD или корпоративные телефоны и увольнение

BYOD (свой телефон на работе) снижает затраты на закупку, но ограничивает контроль. Компания управляет только рабочим профилем, не может требовать определённую модель и версию системы, а сотрудник вправе отказаться. Корпоративные устройства дороже, зато однородны, полностью управляемы и не создают споров о личных данных. Для полевых и складских ролей обычно выбирают корпоративные.

Увольнение лучше прописать как процедуру. Отключите учётную запись в корпоративных системах, удалите рабочий профиль или заберите устройство, проверьте, что телефон вышел из-под действия старой учётной записи, и только потом выдавайте его следующему сотруднику после сброса. Порядок передачи согласуйте с юристом и кадровой службой, особенно для BYOD.

Типичные ошибки внедрения

• Внедрить MDM на весь парк сразу, без пилотной группы и тестовых сценариев.
• Выбрать режим регистрации, а потом обнаружить, что для смены нужен сброс всех устройств.
• Сделать одну политику для всех ролей.
• Не продумать выход из режима киоска для техника на месте.
• Не связать MDM с инвентарным учётом и кадровыми процессами.
• Включить агрессивное энергосбережение, которое останавливает рабочие приложения в фоне.
• Не объяснить сотрудникам, что компания видит и чего не видит на их устройствах.

Чек-лист внедрения MDM

• Описаны роли сотрудников и задачи устройств для каждой роли.
• Выбран режим: полностью управляемые, выделенные или рабочий профиль.
• При закупке проверена поддержка zero-touch и сроки обновлений модели.
• Подготовлены политики по группам и настройки киоска.
• Настроена корпоративная учётная запись для защиты от сброса.
• Определены окна обновлений и тестовая группа.
• Устройства связаны с инвентарными номерами и сотрудниками.
• Прописаны процедуры потери устройства и увольнения.
• Проведён пилот на небольшой группе перед массовым развёртыванием.