Firemní IT by dnes mělo především přemýšlet nad tím, jakým způsobem mobilní zařízení zaměstnanců v podnikové síti identifikovat, podle čeho vybírat mobilní platformy pro podnikové využití a jak telefony a tablety nastavovat. Dále jak zabezpečit přístupy k podnikovým datům a jak podniková a soukromá mobilní zařízení centrálně bez ohledu na platformu spravovat. Velmi důležitá je možnost uzamknutí ztracených nebo odcizených mobilních zařízení, jejich případná lokalizace nebo i vymazání uložených firemních dat. Rostoucí význam kvůli nebezpečí malwaru má správa mobilních aplikací například pomocí podnikového aplikačního shopu.
Takové potřeby podniků pomáhají řešit nové nástroje pro správu mobilních zařízení (MDM – mobile device management), jako je například MobileIron, Sybase Afaria, AirWatch, Mobile Fusion od společnosti RIM a další řešení. Systémy podporují hlavní mobilní platformy (iOS, Android, Blackberry, Windows Phone, Windows Mobile a Symbian) a možnost integrace s podnikovým IT prostředím. Díky množství vlastností tak mohou pomoci IT manažerům dýchat poněkud snadněji.

Mobile device management je jen začátek

Uvědomění si toho, že je již třeba řešit podnikovou mobilní bezpečnost, je pro každé IT dobrý začátek. Je to ale jen první krok na dlouhé cestě. Dalšími kroky by mělo být pochopení, jaký typ správy je vlastně potřeba a v jakém rozsahu. Specifika a potřeby se mohou mezi jednotlivými uživateli i v jednom podniku značně lišit. Přesné určení těchto rozdílných potřeb pak pomůže při přípravě podnikové mobilní strategie a při výběru a implementací systému pro mobile device management.

Základní minimum

Pomyslnými základními kameny podnikové mobilní strategie jsou tři požadavky na funkčnost systémů pro správu mobilních zařízení.

Nastavení mobilních zařízení

Podnikové IT potřebuje zajistit úvodní provozní nastavení mobilních zařízení, nainstalovat bezpečnostní certifikáty, připojit uživatelské účty k podnikové poště a k dalším interním zdrojům v podnikové síti.

Bezpečnostní pravidla a politiky

Základní bezpečnostní pravidla by se měla týkat uzamykání zařízení a vyžadování hesla pro jeho odemknutí. Měla by zahrnovat komplexnost hesla a pamatovat na změnu po uplynutí jeho životnosti. Důležité je samouzamykaní zařízení při nečinnosti a případné vymazání dat po několika nezdařených přístupech. Bezpečnostní politiky by měly dále vyžadovat kryptování vnitřní i externí paměti, ochranu specifických dat, konfiguraci služeb VPN, omezený přístup k systémovým funkcím, jako je například instalace aplikací nebo konfigurace funkcí samotného mobilního operačního systému.

Vzdálené vymazání

Opravdu klíčová je možnost vzdáleně vymazat podniková data. Pro správu mobilních zařízení vlastněných zaměstnanci to zahrnuje i možnost částečného vymazání (tzv. selective wipe), kdy jsou na zařízení ponechána uživatelova soukromá data. To se využívá zejména při ukončení pracovního poměru zaměstnance. U podnikových mobilních zařízení to ale takovou roli nehraje, v případě potřeby se vymažou v mobilním zařízení veškerá data.

Vybalancovaný přístup

Ve velmi málo případech je ale základní minimum dostačující. Nicméně i další extrém, kdy by se IT snažilo řídit vše, co jen řídit lze, také nefunguje. Uživatelé budou při používání mobilních zařízení ochromeni, podniková IT správa bude komplikovanější a bude vyčerpávat lidské a finanční zdroje. Příliš velký dohled také budí velké znepokojení mezi uživateli, zejména pokud se jedná o jejich vlastní mobilní zařízení.
Stanovení pomyslné hranice mezi IT a uživateli při správě mobilních zařízení je poměrně citlivou záležitostí. Pokud bude zaměstnancům správa jejich telefonů a tabletů připadat dotěrná až „prudičská“, mohlo by dojít až k narušení firemní kultury mezi zaměstnanci a IT. Je tedy třeba najít kompromis, aby uživatelé byli ochotni dobrovolně svěřit jejich telefon či tablet do podnikové správy a IT podpory. Nicméně i tato „hraniční čára“ mezi IT a uživateli se může značně lišit, například co se týká různých pozic nebo různých podniků či organizací.

Rozlišení uživatelů

Výhodou je, že většina systémů pro mobile device management předpokládá, že IT bude potřebovat různá zařízení spravovat různým způsobem. Koncept je tak podobný správě skupinových politik v Active Directory. Obecně lze ale vytvořit množství profilů a konfigurací, které je možné vrstvit podle různých potřeb a kritérii. To ostatně doporučuje i Apple pro podnikovou správu iPhonů a iPadů.
Může být vytvořena například sada profilů, které jsou rozděleny podle mobilních operačních systémů a jejich verzí. Pokud v podniku vedle sebe již jednotlivé verze iOS a Androidu existují, lze vytvořit přístup ke zdrojům podle využívaných mobilních platforem a rozsahu podpory. Tím například může být požadavek na ukládání dat v plně kryptovaném paměťovém prostoru. Může být také připraven profil na distribuci mobilních aplikací pro různé platformy nebo druhu zaměstnání. Nebo lze vytvořit profil pro zaměstnance s firemními zařízeními, kteří cestují, a potřebují proto mít v zahraničí přístup k datům v roamingu.
Většina výrobců MDM také umožňuje svá řešení propojit se stávajícími podnikovými adresářovými službami, jako je například Active Directory. To pak umožňuje profily doslova ušít na míru podle existujících uživatelů a jejich skupin nebo dle dalších podmínek.
Obzvláště pěknou vlastností většiny MDM systémů je monitorování a sbírání informací o prostředí v mobilních zařízeních. Pokud je telefon nebo tablet nastaven a aktivován pro práci s podnikovým prostředím, MDM systém disponuje širokým množstvím informacím, jako je druh platformy a verze operačního systému, telefonní číslo a IMEI telefonu, nainstalované aplikace, stav paměti a baterie, zda je systém v telefonu otevřen jailbreakem či rootem a další.
To pak dovoluje automaticky aplikovat profily, které jsou jednoduše rozděleny dle typu mobilního zařízení a jeho konfigurace. Telefony a tablety, jejichž operační systém je úmyslně upraven (jailbreake, příp. root), a jsou tudíž zranitelné a méně odolné proti útoku, mohou mít k dispozici profily, které jejich přístup k podnikovým datům citelně omezí.

Výchova uživatelů

Tak jak podniková mobilita a správa mobilních zařízení nabývá ve firmách na významu, je třeba si uvědomit, že samotné IT nebude moci dlouho samo rozhodovat o řešení a opravovat problémy. Bude potřeba větší spolupráce mezi uživateli a IT, která povede na straně IT k větší flexibilitě a na straně uživatelů k větší zodpovědnosti. Opatření na straně IT budou muset více reflektovat potřeby uživatelů, tak jak je bude vytvářet život ve firmě.
To neznamená, že by se IT mělo vzdát dohledu nad podnikovou mobilní bezpečností, správy mobilních zařízení nebo vytváření a uplatňování pravidel pro přístup k podnikovým datovým zdrojům. Po IT bude vyžadováno, aby se aktivně zapojilo do osvojování mobilních technologií a pochopení potřeb zaměstnanců. To také znamená větší osvětu uživatelů v oblasti mobilní bezpečnosti nebo nákladů za telekomunikační provoz. Na druhou stranu si i zaměstnanci musí uvědomit, že IT není všemocné a má své hranice.

Mobilní svět v pohybu

Mobile device management a podpora mobilních zařízení, zejména těch, která jsou vlastněna zaměstnanci, je nový koncept v práci podnikového IT. Nejsou zde vytvořena žádná pevná pravidla a postupy, většina záleží na tom, jak mají v jednotlivých podnicích nastavena bezpečnostní opatření a poskytují uživatelskou podporu. IT se díky prudkému rozvoji mobilních technologií dostává více pod tlak, uživatelé, ale i jejich zaměstnavatelé mají více možností. Je tedy na všech zainteresovaných stranách, aby si vyšly vstříc a nalezly vzájemný rovnovážný vztah. Ten by měl být založen především na tom, aby využívání mobilních technologií v podnicích nebylo zásadně omezováno, ale zároveň aby nebyla narušována podniková bezpečnost nebo zneužívány podnikové zdroje. Pak může mobilní rozvoj firmě pomoci k větší efektivitě všech činností.

Radek Vajner
Autor působí jako senior system engineer v Ness Technologies v České republice.