Mobile Device Management w Google Workspace

W 2020 roku wielu pracodawców miało okazję doszlifować do perfekcji procesy zdalnej komunikacji w zespołach rozproszonych. Jeśli płynna i bezpieczna współpraca nie stanowi już wyzwania dla Twoich pracowników, to najlepszy moment, aby dopiąć strategię ochrony danych na ostatni guzik – czyli objąć kontrolą administracyjną służbowe urządzenia przeznaczone do pracy zdalnej. 

Ryzyko związane z urządzeniami mobilnymi

Pracownicy zdalni przetwarzają równie istotne dane klientów i firmy, co pracownicy stacjonarni, ale ich urządzenia służbowe są dużo mniej bezpieczne, niż te, które na noc pozostają zamknięte w pustym biurze. Laptopy i telefony komórkowe wynoszone poza siedzibę firmy są narażone między innymi na: 

• Zgubienie, 
• Kradzież,
• Połączenia z publiczną siecią Wi-Fi,
• Dostęp osób trzecich (np. znajomych i dzieci pracownika),

Dochodzą do tego standardowe zagrożenia, które nie są związane z lokalizacją urządzenia:

• Instalacja niezaufanych programów i aplikacji, 
• Próby wyłudzenia haseł, 
• Groźne strony internetowe, 
• Podłączanie niezaufanych nośników pamięci (np. pendrive’ów),
• Zbyt proste hasła.

Każde z tych zagrożeń może w sprzyjających okolicznościach stać się bezpośrednią przyczyną wycieku danych. Konsekwencją takich wycieków są nie tylko problemy wizerunkowe i utrata zaufania klientów, ale często też wysokie kary finansowe, o czym miał okazję przekonać się sklep internetowy Morele.

Mobile Device Management – co to jest? 

Mobile Device Management (w skrócie MDM), czyli zarządzanie urządzeniami mobilnymi, polega na połączeniu wszystkich służbowych laptopów, komputerów, tabletów i telefonów komórkowych z systemem, który pozwala administratorom monitorować ich aktywność i ustawienia.

Systemów przeznaczonych do zarządzania urządzeniami jest wiele, ale klienci Google Workspace nie muszą szykować się na kolejne inwestycje. Google Workspace to pakiet wszystkich niezbędnych narzędzi do pracy zdalnej. Poza pocztą i zestawem aplikacji webowych ta usługa gwarantuje firmom także pełną kontrolę nad bezpieczeństwem oraz dostęp do ustawień związanych z Mobile Device Management.

Funkcje Mobile Device Management w Google Workspace

Omówmy teraz najważniejsze ustawienia, które administrator może dostosować w konsoli Google Workspace, aby zapewnić większe bezpieczeństwo danych firmy przetwarzanych na urządzeniach mobilnych pracowników.

Jak połączyć urządzenia mobilne z konsolą administracyjną? 

Rejestracja wykonywana przez użytkownika

Kiedy urządzenie mobilne staje się widoczne w panelu administracyjnym? Gdy tylko użytkownik zaloguje się na nim przy pomocy służbowego loginu i hasła do usługi Google Workspace. Oznacza to, że administrator nie musi podejmować żadnych kroków, aby mieć wgląd w liczbę laptopów i telefonów, na których znajdują się dane firmy. Większość reguł Mobile Device Management można też zdalnie wdrożyć na prywatnych urządzeniach pracowników, jeśli używają ich do sprawdzania służbowej poczty. Jeśli firma używa zaawansowanych opcji MDM, to po zalogowaniu jest wymagane zatwierdzenie urządzenia przez administratora. 

Administracyjna rejestracja służbowych urządzeń z MDM

Urządzenia, które należą do firmy, powinny zostać zarejestrowane w konsoli jeszcze zanim trafią w ręce użytkowników końcowych. Administrator może to zrobić na dwa sposoby: 

• Rejestracja bezdotykowa (zero-touch enrollment) – urządzenie przy każdym włączeniu (nawet jeśli zostały przywrócone ustawienia fabryczne) automatycznie loguje się do systemu i pozostaje pod kontrolą firmy. Ta funkcja jest dostępna tylko w wariancie Enterprise na urządzeniach z Androidem zakupionych u oficjalnego partnera. 
• Rejestracja manualna – administrator przygotowuje spis urządzeń poprzez import listy numerów seryjnych. Dzięki temu nowe logowania pracowników nie muszą być weryfikowane, a administrator może otrzymywać powiadomienia o nieaktywnych urządzeniach.  

Warto pamiętać, że ustawienia MDM nie muszą być wdrażane globalnie w całej firmie. Można stopniować restrykcyjność zabezpieczeń, ustawiając inne warunki dla każdej jednostki organizacyjnej w Google Workspace. 

Mobile Device Management – ustawienia podstawowe

Podstawowe funkcje MDM są dostępne we wszystkich pakietach Google Workspace.

Lista urządzeń i alerty

Administrator może wyświetlać listę urządzeń, które są synchronizowane z Google Workspace. Na liście znajdują się podstawowe dane: właściciel, typ i model urządzenia, system operacyjny, status, data pierwszego i ostatniego logowania. Dzięki temu, że Google Workspace zbiera informacje na temat podłączonych urządzeń, administrator może zdefiniować reguły alertów i otrzymywać powiadomienia mailowe o podejrzanej aktywności oraz zagrożeniach.

Wymagania dotyczące haseł

Pierwszą barierą, która oddziela dane na kontach Google od niepowołanych osób, jest hasło. Jednak, gdy korzystamy z poczty i dysku na laptopie czy telefonie, to nie wpisujemy hasła do konta za każdym razem – urządzenie zapisuje dane logowania, aby ułatwić nam pracę. Równocześnie jednak ułatwia dostęp do danych innym, gdy stracimy smartfon z oczu. Dlatego administrator Google Workspace może wymusić stosowanie dodatkowej warstwy zabezpieczeń – ekranu blokady chronionego hasłem, symbolem lub biometrią. W ustawieniach zaawansowanych można zdefiniować także konkretne wymagania, jakie muszą spełniać hasła. 

Zarządzanie aplikacjami 

Administrator może stworzyć listę dozwolonych aplikacji służbowych, które pozostaną pod jego kontrolą i zostaną usunięte, gdy pracownik opuści firmę. Do listy można dodawać zarówno aplikacje publiczne, jak i prywatne, a użytkownicy dostają powiadomienie, że należy wyrazić zgodę na korzystanie z aplikacji zarządzanej. Administrator może uruchomić automatyczne instalowanie aplikacji zarządzanej lub uniemożliwić pracownikowi samodzielne odinstalowanie jej. 

Zdalne usuwanie danych z urządzenia

Przy pierwszym logowaniu na służbowe konto z prywatnego telefonu warto pamiętać, że każde urządzenie zarejestrowane w konsoli Google Workspace może być zdalnie przywrócone do ustawień fabrycznych. Administrator może:

• Usunąć tylko służbowe konto Google i wszystkie dane firmy – ta opcja wykorzystywana jest zazwyczaj przy zdalnym offboardingu.
• Usunąć wszystkie dane z urządzenia, wraz z zawartością karty SD – to szczególnie pomocna opcja w sytuacjach awaryjnych, takich jak kradzież lub zgubienie telefonu. Jeżeli użytkownik telefonu z systemem Android skonfigurował wcześniej profil służbowy, to jego osobiste dane nie zostaną usuniętę. 

Mobile Device Management – ustawienia zaawansowane

Zaawansowane opcje MDM są dostępne w pakietach Google Workspace Business Plus i Enterprise.

Szczegółowe reguły haseł

W zaawansowanych opcjach MDM można ustawić nie tylko wymaganie hasła, ale także konkretne warunku, które hasło musi spełniać: 

• Poziom skomplikowania – standardowe (dowolne znaki) lub silne (min. 1 litera, liczba i znak specjalny),
• Minimalna liczba znaków,
• Czas nieaktywności, który prowadzi do zablokowania ekranu,
• Okres ważności hasła – gdy minie określona liczba dni, użytkownik musi zmienić hasło,
• Blokowanie starych haseł – określa, ile spośród poprzednich haseł nie może być wykorzystane ponownie. 

W panelu istnieje też możliwość uruchomienia funkcji czyszczenie pamięci urządzenia po określonej liczbie nieudanych prób logowania. 

Zatwierdzanie logowania z urządzeń prywatnych

Gdy ta opcja jest włączona, to każde nowe logowanie na konto Google z nowego urządzenia nienależącego do firmy musi być zatwierdzone przez administratora. Użytkownik nie uzyska dostępu do żadnych firmowych danych z nowego urządzenia, dopóki administrator nie wyrazi na to zgody.

Zaawansowane zarządzanie aplikacjami

Zagrożenia bezpieczeństwa danych na smartfonach mogą też płynąć z wewnątrz. Pracownik może nieświadomie nadać bardzo szerokie uprawnienia aplikacji, która pochodzi z wątpliwego źródła. Zaawansowane ustawienia MDM w Google Workspace pozwalają administratorom uniemożliwić instalowanie aplikacji niezarządzanych oraz wybrać kto ma uprawnienia do instalowania danej aplikacji zarządzanej.

Inne ustawienia 

Zaawansowane Mobile Device Management w Google Workspace ma wiele innych istotnych funkcji, w tym:

• Blokowanie wyświetlania szczegółowych powiadomień na ekranie blokady,
• Blokowanie przesłania plików przez USB,
• Wymaganie szyfrowania kopii zapasowych urządzenia, 
• Resetowanie urządzeń, które nie synchronizowały się w wybranym okresie.

Dostępność niektórych opcji MDM jest uzależniona od systemu operacyjnego urządzenia, pakietu lub ustawień w konsoli administracyjne. Aby poznać wszystkie tajniki usługo Google Workspace, umów się na konsultację z przedstawicielem oficjalnego Partnera Google, FOTC. Chętnie zorganizujemy też indywidualne szkolenie dla Twojego zespołu.