MDM — cos'è, gestione dei dispositivi e politiche di sicurezza

Cos'è MDM?

MDM (Mobile Device Management) è una tecnologia di gestione centralizzata dei dispositivi mobili, che consente alle organizzazioni di controllare smartphone e tablet aziendali da un'unica console. L'implementazione di MDM risolve problemi di sicurezza, conformità normativa e automazione dell'infrastruttura mobile aziendale.

Il concetto di MDM è emerso con la crescita dell'uso aziendale dei dispositivi mobili (BYOD — Bring Your Own Device). Le prime soluzioni MDM per BlackBerry sono apparse a metà degli anni 2000 e l'architettura moderna si basa su piattaforme cloud con notifiche push dei produttori di sistemi operativi. Oggi MDM fa parte della più ampia categoria EMM (Enterprise Mobility Management), che include anche la gestione di applicazioni e contenuti.

Secondo Gartner (2025), il mercato delle soluzioni MDM è valutato 11,8 miliardi di dollari e continua a crescere del 14% annuo. I maggiori fornitori sono VMware Workspace ONE, Microsoft Intune, Jamf (per Apple) e IBM MaaS360. La scelta della soluzione dipende dalle piattaforme utilizzate, dalla scala dell'organizzazione e dai requisiti di sicurezza.

Come funziona MDM?

Il sistema MDM opera con un'architettura client-server con notifiche push. Il server MDM invia comandi e politiche ai dispositivi attraverso l'infrastruttura del produttore del sistema operativo: Apple Push Notification Service (APNs) per iOS o Firebase Cloud Messaging (FCM) per Android. Sul dispositivo è installato un agente MDM che riceve i comandi e applica le politiche.

1. Il dispositivo si registra in MDM tramite DEP (Apple) o Zero Touch (Android) — automaticamente all'attivazione
2. Il server MDM invia un profilo di configurazione con politiche di sicurezza e impostazioni
3. Il sistema monitora lo stato del dispositivo: versione del sistema operativo, crittografia, certificati installati
4. L'amministratore può installare o rimuovere applicazioni da remoto, bloccare il dispositivo o cancellare i dati
5. Il dispositivo segnala periodicamente lo stato di conformità (report di conformità)

MDM utilizza profili di configurazione (Configuration Profiles su iOS, Managed Configurations su Android) che contengono impostazioni Wi-Fi, VPN, posta, certificati e restrizioni. I profili vengono firmati e crittografati per impedire modifiche non autorizzate. Ogni dispositivo verifica l'integrità del profilo prima di applicarlo.

MDM per iOS e Android

MDM su iOS e Android è implementato in modo diverso a causa delle differenze nell'architettura di sicurezza. Apple fornisce un protocollo MDM proprietario tramite APNs, mentre Android offre una piattaforma aperta Android Enterprise con separazione dei profili lavorativi e personali (Work Profile). Entrambi gli approcci consentono la gestione dei dispositivi, ma con diversi livelli di controllo.

La differenza principale è Work Profile su Android. Questa funzione crea uno spazio di lavoro isolato sul dispositivo del dipendente senza influenzare app e dati personali. iOS non ha tale separazione — la gestione aziendale copre l'intero dispositivo (per i dispositivi aziendali) o si applica con capacità limitate (BYOD tramite User Enrollment, aggiunto in iOS 13).

Distribuzione delle app tramite MDM

MDM è un componente chiave della distribuzione aziendale di app mobili. L'amministratore può installare, aggiornare e rimuovere applicazioni da remoto su tutti i dispositivi gestiti senza intervento dell'utente. Ciò è particolarmente importante per le applicazioni che richiedono installazione obbligatoria: messaggeri aziendali, sistemi di sicurezza e strumenti interni.

Su iOS, le applicazioni vengono installate tramite l'integrazione di MDM con Apple VPP (Volume Purchase Program). L'amministratore assegna le applicazioni ai dispositivi tramite la console MDM e iOS le installa automaticamente in background. Per le applicazioni In-House personalizzate, viene utilizzata Enterprise Distribution con firma del certificato aziendale — MDM invia un comando per installare il file IPA.

Su Android, le applicazioni vengono distribuite tramite Managed Google Play. La console MDM si connette a Google Play Console, l'amministratore seleziona le app da installare e configura l'obbligatorietà o la disponibilità opzionale. I dispositivi si sincronizzano automaticamente e installano le applicazioni assegnate. Anche gli aggiornamenti sono gestiti centralmente.

// Flutter — MDM policy check in app
import 'package:flutter/services.dart';

class MdmService {
    static final MethodChannel _channel =
        const MethodChannel('com.example/mdm');

    static Future<bool> isDeviceCompliant() async {
        final bool = await _channel
            .invokeMethod<bool>('checkCompliance');
        return result ?? false;
    }
}

Una funzione importante di MDM è l'installazione silenziosa delle app. Le applicazioni vengono installate senza intervento dell'utente o richieste di conferma. Ciò consente alle organizzazioni di distribuire rapidamente aggiornamenti di sicurezza critici su tutti i dispositivi. Su iOS, l'installazione silenziosa funziona tramite Managed App Configuration; su Android — tramite le politiche di Managed Google Play.

Scegliere una soluzione MDM

La scelta di una soluzione MDM dipende da diversi fattori: le piattaforme mobili utilizzate, il numero di dispositivi, i requisiti di sicurezza e il budget. Non esiste una soluzione universale — ogni piattaforma ha i suoi punti di forza. Per le organizzazioni con dispositivi prevalentemente Apple, si consiglia Jamf Pro; per ambienti misti — VMware Workspace ONE o Microsoft Intune.

• Microsoft Intune — la soluzione migliore per le organizzazioni che utilizzano Microsoft 365. Integrazione con Azure AD, Conditional Access e Compliance Policies. Supporta iOS, Android, Windows e macOS
• Jamf Pro — soluzione specializzata per dispositivi Apple. Integrazione profonda con Apple DEP, VPP e protocollo MDM. Non supporta Android e Windows
• VMware Workspace ONE — soluzione multipiattaforma compatibile con qualsiasi sistema operativo. Include la gestione di applicazioni, email e contenuti tramite un unico dashboard
• IBM MaaS360 — soluzione aziendale con analisi delle minacce basata su IA e risposta automatica agli incidenti di sicurezza

Quando si sceglie MDM, considerare il Costo Totale di Proprietà (TCO). Il costo è composto da licenze della piattaforma MDM, infrastruttura di notifiche push e costi di manodopera amministrativa. Le soluzioni MDM cloud (SaaS) sono generalmente più economiche da mantenere rispetto alle installazioni on-premise e non richiedono risorse server dedicate.