MDM — mi ez, eszközkezelés és biztonsági irányelvek

Mi az MDM?

MDM (Mobile Device Management) — a mobileszközök központosított felügyeletének technológiája, amely lehetővé teszi a szervezetek számára a vállalati okostelefonok és táblagépek egyetlen konzolról történő vezérlését. Az MDM bevezetése megoldja a biztonsági, szabályozási megfelelőségi és a vállalati mobilinfrastruktúra automatizálásának problémáit.

Az MDM koncepciója a mobileszközök vállalati használatának növekedésével jelent meg (BYOD — Bring Your Own Device). Az első BlackBerry MDM-megoldások a 2000-es évek közepén jelentek meg, és a modern architektúra felhőplatformokon alapul, az operációs rendszerek gyártóitól származó push-értesítésekkel. Ma az MDM a tágabb EMM (Enterprise Mobility Management) kategória része, amely magában foglalja az alkalmazás- és tartalomkezelést is.

A Gartner (2025) szerint az MDM-megoldások piaca 11,8 milliárd USD értékű, és évente 14%-kal növekszik. A legnagyobb szállítók a VMware Workspace ONE, a Microsoft Intune, a Jamf (Apple-höz) és az IBM MaaS360. A megoldás kiválasztása a használt platformoktól, a szervezet méretétől és a biztonsági követelményektől függ.

Hogyan működik az MDM?

Az MDM-rendszer kliens-szerver architektúra elvén működik push-értesítésekkel. Az MDM-szerver parancsokat és házirendeket küld az eszközöknek az operációs rendszer gyártójának infrastruktúráján keresztül: Apple Push Notification Service (APNs) iOS-hez vagy Firebase Cloud Messaging (FCM) Androidhoz. Az eszközön egy MDM-ügynök van telepítve, amely fogadja a parancsokat és alkalmazza a házirendeket.

1. Az eszköz regisztrál az MDM-ben DEP (Apple) vagy Zero Touch (Android) segítségével — automatikusan aktiváláskor
2. Az MDM-szerver konfigurációs profilt küld biztonsági házirendekkel és beállításokkal
3. A rendszer nyomon követi az eszköz állapotát: operációs rendszer verziója, titkosítás, telepített tanúsítványok
4. Az adminisztrátor távolról telepíthet vagy eltávolíthat alkalmazásokat, zárolhatja az eszközt vagy törölheti az adatokat
5. Az eszköz rendszeresen jelentést küld a megfelelőségi állapotról (compliance report)

Az MDM konfigurációs profilokat használ (Configuration Profiles iOS-en, Managed Configurations Androidon), amelyek Wi-Fi, VPN, e-mail, tanúsítvány és korlátozási beállításokat tartalmaznak. A profilok aláírásra és titkosításra kerülnek a jogosulatlan módosítások megakadályozása érdekében. Minden eszköz ellenőrzi a profil integritását az alkalmazás előtt.

MDM iOS és Android rendszerhez

MDM iOS és Android rendszeren eltérően van megvalósítva a biztonsági architektúra különbségei miatt. Az Apple zárt MDM-protokollt biztosít az APNs-en keresztül, míg az Android nyílt Android Enterprise platformot kínál a munka- és személyes profilok (Work Profile) szétválasztásával. Mindkét megközelítés lehetővé teszi az eszközök kezelését, de eltérő ellenőrzési szinttel.

A legfontosabb különbség — Work Profile Androidon. Ez a funkció elkülönített munkaterületet hoz létre a munkavállaló eszközén anélkül, hogy befolyásolná a személyes alkalmazásokat és adatokat. iOS-en nincs ilyen elkülönítés — a vállalati felügyelet vagy a teljes eszközre kiterjed (vállalati eszközök esetén), vagy korlátozott képességekkel alkalmazzák (BYOD a User Enrollment segítségével, hozzáadva iOS 13-ban).

Alkalmazások terjesztése MDM-en keresztül

MDM — a vállalati mobilalkalmazások terjesztésének kulcsfontosságú összetevője. Az adminisztrátor távolról telepítheti, frissítheti és eltávolíthatja az alkalmazásokat az összes felügyelt eszközön a felhasználó részvétele nélkül. Ez különösen fontos a kötelező telepítést igénylő alkalmazásoknál: vállalati üzenetküldők, biztonsági rendszerek és belső üzleti eszközök.

iOS-en az alkalmazások az MDM Apple VPP-vel (Volume Purchase Program) való integrációján keresztül telepíthetők. Az adminisztrátor az MDM-konzolon keresztül rendeli hozzá az alkalmazásokat az eszközökhöz, és az iOS automatikusan telepíti azokat a háttérben. Saját In-House alkalmazásokhoz Enterprise Distribution használatos vállalati tanúsítvánnyal aláírva — az MDM parancsot küld az IPA-fájl telepítésére.

Androidon az alkalmazások Managed Google Play-en keresztül terjeszthetők. Az MDM-konzol csatlakozik a Google Play Console-hoz, az adminisztrátor kiválasztja a telepítendő alkalmazásokat, és beállítja a kötelezőséget vagy opcionális elérhetőséget. Az eszközök automatikusan szinkronizálódnak és telepítik a kijelölt alkalmazásokat. A frissítések is központilag felügyeltek.

// Flutter — MDM-házirend ellenőrzése az alkalmazásban
import 'package:flutter/services.dart';

class MdmService {
    static final MethodChannel _channel =
        const MethodChannel('com.example/mdm');

    static Future<bool> isDeviceCompliant() async {
        final bool = await _channel
            .invokeMethod<bool>('checkCompliance');
        return result ?? false;
    }
}

Az MDM fontos funkciója — csendes telepítés (silent app install). Az alkalmazások a felhasználó részvétele és megerősítő kérések nélkül települnek. Ez lehetővé teszi a szervezetek számára a kritikus biztonsági frissítések gyors telepítését az összes eszközön. iOS-en a csendes telepítés a Managed App Configuration segítségével, Androidon a Managed Google Play házirendjein keresztül működik.

MDM-megoldás választása

A választás MDM-megoldás több tényezőtől függ: használt mobilplatformok, eszközök száma, biztonsági követelmények és költségvetés. Nincs univerzális megoldás — minden platformnak megvannak az erősségei. A túlnyomórészt Apple-eszközökkel rendelkező szervezetek számára a Jamf Pro ajánlott, vegyes környezetekhez — VMware Workspace ONE vagy Microsoft Intune.

• Microsoft Intune — a legjobb megoldás a Microsoft 365-öt használó szervezetek számára. Integráció az Azure AD-vel, Conditional Access-szel és Compliance Policies-szel. Támogatja az iOS, Android, Windows és macOS rendszereket
• Jamf Pro — speciális megoldás Apple-eszközökhöz. Mély integráció az Apple DEP-vel, VPP-vel és MDM-protokollal. Nem támogatja az Androidot és Windowst
• VMware Workspace ONE — többplatformos megoldás bármely operációs rendszer támogatásával. Magában foglalja az alkalmazás-, e-mail- és tartalomkezelést egyetlen panelen keresztül
• IBM MaaS360 — vállalati megoldás AI-fenyegetéselemzéssel és automatikus biztonsági incidens-válaszadással

Az MDM kiválasztásakor vegye figyelembe a Teljes birtoklási költséget (Total Cost of Ownership). A költség az MDM-platform licenceiből, a push-értesítési infrastruktúrából és az adminisztrációs munkaerőköltségekből tevődik össze. A felhőalapú MDM-megoldások (SaaS) általában olcsóbbak karbantartás szempontjából, mint a helyszíni (on-premise) telepítések, és nem igényelnek dedikált szervererőforrásokat.