EMM

Definicja EMM

Enterprise Mobility Management (EMM) to pośredni poziom zarządzania mobilnością firmową - rozszerza MDM o kontrolę nad samymi aplikacjami i treścią, nie tylko nad urządzeniem jako całością. Tam, gdzie MDM konfiguruje i nadzoruje sprzęt, EMM dokłada do niego dwa własne komponenty: MAM (Mobile Application Management) do zarządzania cyklem życia aplikacji oraz MCM (Mobile Content Management) do kontroli dokumentów i danych firmowych, niezależnie od tego, czyje to urządzenie.

Ta trójwarstwowa hierarchia - UEM obejmujący EMM, EMM obejmujący MDM, MAM i MCM - nie jest tylko porządkowaniem terminologii marketingowej. Ma praktyczne konsekwencje przy wyborze narzędzia: organizacja, która chce kontrolować wyłącznie firmowe aplikacje na prywatnych telefonach pracowników, bez ingerencji w cały sprzęt, sięga po sam MAM w ramach EMM, a nie po pełne MDM.

Praktyczne znaczenie EMM ujawnia się najwyraźniej w modelu BYOD: pracownik instaluje na prywatnym telefonie wyłącznie wydzieloną, zarządzaną aplikację albo kontener z danymi firmowymi, a EMM kontroluje tylko tę część - reszta telefonu, w tym prywatne zdjęcia i wiadomości, pozostaje poza jego zasięgiem. To odróżnia EMM od pełnego MDM, które w modelach COPE i CYOD obejmuje nadzorem całe urządzenie.

Jak to działa

EMM działa na dwóch niezależnych, ale powiązanych warstwach: warstwie aplikacji (MAM) i warstwie treści (MCM). Obie mogą funkcjonować bez pełnego MDM - to jest ich odróżnik od podejścia opartego wyłącznie na zarządzaniu urządzeniem jako całością.

Warstwa aplikacji zaczyna się od dystrybucji - administrator publikuje aplikację firmową przez zarządzany sklep (Managed Google Play, Apple Business Manager albo wewnętrzny katalog), a użytkownik instaluje ją bez konieczności rejestrowania całego urządzenia. Kolejny etap to aktualizacje i polityki użycia - EMM wymusza minimalną dopuszczalną wersję aplikacji, blokuje kopiowanie danych do aplikacji spoza kontrolowanego zestawu i pilnuje, by dane firmowe nie trafiały do prywatnych schowków systemowych.

Cykl zarządzania aplikacjami i treścią w EMM od dystrybucji przez polityki użycia i kontener po selektywne czyszczenie — To jest warstwa wartości, której samo MDM w ogóle nie ma - MDM kończy się na konfiguracji urządzenia, EMM zaczyna dopiero tutaj

Warstwa treści działa równolegle: dokumenty i dane firmowe trafiają do kontenera oddzielonego od reszty systemu - szyfrowanego, z osobnym zestawem uprawnień dostępu, niezależnie od tego, czy telefon jest w ogóle zarejestrowany w MDM. Gdy pracownik odchodzi z organizacji albo traci urządzenie, EMM wykonuje selektywne czyszczenie (selective wipe) - usuwa tylko dane firmowe z kontenera, zostawiając prywatne zdjęcia, wiadomości i aplikacje nietknięte. To bezpośrednia różnica względem pełnego zdalnego czyszczenia z hasła MDM, które przy rejestracji całego urządzenia może usunąć wszystko, co na nim jest.

Struktura i klasyfikacja

EMM domyślnie składa się z dwóch komponentów, które łatwo pomylić, bo oba operują "poniżej" poziomu całego urządzenia:

Porównanie MAM i MCM jako dwóch komponentów EMM - kontroli nad aplikacjami i kontroli nad treścią — MAM decyduje, co wolno zrobić z aplikacją. MCM decyduje, co wolno zrobić z danymi wewnątrz niej. To dwa osobne pytania, nawet gdy jeden dostawca odpowiada na oba naraz

MAM (Mobile Application Management) odpowiada za cykl życia samych aplikacji - dystrybucję, wymuszanie aktualizacji, blokowanie nieautoryzowanych aplikacji i egzekwowanie polityk użycia, na przykład zakazu kopiowania danych między aplikacją firmową a prywatną. Kontrola kończy się na granicy aplikacji - MAM nie widzi ani nie zarządza resztą systemu.
MCM (Mobile Content Management) odpowiada za same dane - dokumenty, pliki, wiadomości firmowe - niezależnie od tego, w jakiej aplikacji są otwierane. Typowe mechanizmy to szyfrowanie kontenera, kontrola uprawnień dostępu i blokada zapisu dokumentu poza wyznaczonym miejscem.

Rozróżnienie ma znaczenie praktyczne: MAM kontroluje, co można zrobić z aplikacją, a MCM kontroluje, co można zrobić z danymi wewnątrz niej. Oba komponenty mogą współistnieć albo działać osobno, zależnie od tego, jakiego zakresu kontroli potrzebuje organizacja - aplikacja objęta MAM nie musi mieć żadnej ochrony treści przez MCM, i odwrotnie.

W hierarchii zarządzania mobilnością EMM = MDM + MAM + MCM, a samo EMM jest jednym z komponentów UEM, obok zarządzania resztą floty IT. Ta hierarchia jest opisana też w haśle MDM, które ustanawia jej pełny zakres.

W szerszym kontekście

Wybór między pełnym MDM a samym EMM zależy w dużej mierze od modelu własności urządzenia, opisanego szerzej w haśle MDM:

W modelu BYOD organizacja zwykle nie ma prawa objąć całego prywatnego urządzenia nadzorem MDM - EMM jest tu naturalnym, a często jedynym akceptowalnym rozwiązaniem, bo kontroluje wyłącznie aplikację i dane firmowe, zostawiając resztę telefonu poza zasięgiem.
W modelach COPE i CYOD, gdzie urządzenie należy do organizacji, pełne MDM jest zwykle uzasadnione, a EMM działa jako jego rozszerzenie, nie zamiennik - kontrola nad aplikacjami i treścią dokłada się do już istniejącej kontroli nad sprzętem.

Ta zależność tłumaczy też, dlaczego w praktyce rzadko spotyka się wdrożenie EMM zupełnie bez elementu MDM - nawet minimalna rejestracja urządzenia, na przykład samo sprawdzenie, czy system jest aktualny, bywa warunkiem uruchomienia kontenera MAM albo MCM na danym telefonie.

Zastosowanie w praktyce

EMM pełni w organizacji kilka konkretnych ról, które wykraczają poza samo zarządzanie sprzętem:

Praca na urządzeniach prywatnych - EMM pozwala udostępnić pocztę, kalendarz i dokumenty firmowe na prywatnym telefonie bez rejestrowania go w pełnym MDM.
Kontrolowana dystrybucja aplikacji wewnętrznych - aplikacje niepubliczne, na przykład systemy księgowe czy narzędzia magazynowe, trafiają do pracowników przez zarządzany sklep, bez publikowania ich w ogólnodostępnym App Store czy Google Play.
Selektywny offboarding - przy odejściu pracownika administrator usuwa tylko dane firmowe z kontenera, bez ingerencji w prywatną część urządzenia - kluczowe w modelu BYOD, gdzie pełny wipe całego telefonu byłby nieproporcjonalny.
Zgodność z regulacjami przy pracy zdalnej - kontener MCM z szyfrowaniem i kontrolą dostępu wspiera wymogi RODO/GDPR oraz przygotowania do audytów pod NIS2 czy ISO 27001, nawet gdy organizacja nie ma technicznej możliwości pełnej kontroli nad sprzętem.
Integracja z tożsamością - dostęp do aplikacji firmowych bywa warunkowany stanem konta w systemie IAM, niezależnie od tego, czy samo urządzenie jest objęte MDM.

Sposób hostowania platformy EMM to osobna decyzja, niezależna od modelu własności urządzenia - określa, gdzie fizycznie znajduje się konsola administracyjna i baza polityk, a nie kto jest właścicielem sprzętu:

Trzy modele wdrożenia platformy EMM - chmura, on-premise i usługa zarządzana - według sposobu hostowania konsoli — Oś tego podziału to hosting platformy, nie własność urządzenia - organizacja może hostować EMM on-premise i mimo to zarządzać wyłącznie prywatnym sprzętem w modelu BYOD

Chmura (SaaS) - dostawca hostuje konsolę i infrastrukturę, organizacja płaci subskrypcję i nie zarządza serwerami; aktualizacje wdraża dostawca.
On-premise - organizacja hostuje EMM we własnej infrastrukturze, zachowując pełną kontrolę nad danymi i harmonogramem aktualizacji kosztem wyższych nakładów początkowych.
Usługa zarządzana - zewnętrzny dostawca obsługuje platformę EMM w imieniu organizacji na podstawie umowy, łącząc elastyczność chmury z przeniesieniem odpowiedzialności operacyjnej na dostawcę.

Wybór modelu wdrożenia nie zmienia zakresu kontroli EMM nad aplikacjami i treścią - wpływa wyłącznie na to, kto odpowiada za utrzymanie i dostępność samej platformy.

Najczęstsze nieporozumienia

"EMM to po prostu inna nazwa MDM."

Nieprawda - MDM zarządza całym urządzeniem, EMM dokłada do niego MAM i MCM, które mogą działać niezależnie od rejestracji urządzenia w MDM. Można wdrożyć EMM bez pełnego MDM, co jest typowe w BYOD, ale odwrotna sytuacja w praktyce nie ma sensu - samo MDM nie zarządza aplikacjami ani treścią na poziomie, jaki oferuje EMM.

"MAM i MCM to to samo, bo oba działają wewnątrz aplikacji."

Nieprawda - MAM kontroluje samą aplikację, jej dystrybucję, wersję i dostępność, a MCM kontroluje dane wewnątrz niej albo przenoszone między aplikacjami. Aplikacja może być w pełni zarządzana przez MAM, a mimo to nie mieć żadnej ochrony treści, jeśli MCM nie jest wdrożone - i odwrotnie, jak opisano w sekcji Struktura i klasyfikacja wyżej.

"EMM daje organizacji pełny wgląd w prywatny telefon pracownika."

Nieprawda w typowym wdrożeniu BYOD - EMM operuje w granicach kontenera aplikacji i danych firmowych, bez dostępu do prywatnych zdjęć, wiadomości ani aplikacji spoza tego zakresu. Zakres widoczności zależy jednak od konkretnej konfiguracji i warto go sprawdzić przed instalacją profilu zarządzania.

FAQ

Czym różni się EMM od MDM i UEM?

MDM zarządza samym urządzeniem jako całością - konfiguracją, politykami, komendami zdalnymi. EMM rozszerza MDM o zarządzanie aplikacjami (MAM) i treścią (MCM), a w modelu BYOD może działać nawet bez pełnej rejestracji urządzenia w MDM. UEM idzie o krok dalej i spina w jednej konsoli telefony, laptopy, komputery stacjonarne oraz IoT, niezależnie od systemu operacyjnego - EMM jest jednym z komponentów, które UEM obejmuje.

Czym różni się MAM od MCM w ramach EMM?

MAM zarządza cyklem życia aplikacji - dystrybucją, wymuszaniem aktualizacji, blokowaniem nieautoryzowanych aplikacji i politykami ich użycia. MCM zarządza samymi danymi - dokumentami i treścią firmową - niezależnie od tego, w jakiej aplikacji są otwierane, przez szyfrowanie kontenera i kontrolę uprawnień dostępu. Aplikacja może być objęta MAM bez żadnej ochrony treści przez MCM i odwrotnie - oba komponenty działają niezależnie, choć w praktyce często są wdrażane razem.

Czy EMM wymaga rejestracji całego urządzenia w MDM?

Nie zawsze. W modelu BYOD organizacja zwykle nie ma prawa objąć całego prywatnego urządzenia nadzorem MDM, więc EMM działa samodzielnie - kontroluje wyłącznie aplikację i dane firmowe w kontenerze, bez rejestrowania reszty telefonu. W modelach COPE i CYOD, gdzie urządzenie należy do organizacji, EMM zwykle współistnieje z pełnym MDM jako jego rozszerzenie, a nie jego zamiennik.

Powiązane pojęcia

UEM - najszerszy poziom zarządzania punktami końcowymi, obejmujący EMM i pozostały sprzęt IT w jednej konsoli.
MDM - baza, na której zbudowane jest EMM - zarządzanie samym urządzeniem jako całością.
MAM - komponent EMM odpowiedzialny za zarządzanie cyklem życia aplikacji.
MCM - komponent EMM odpowiedzialny za zarządzanie treścią i danymi firmowymi.
BYOD - model własności, w którym EMM zwykle działa bez pełnej rejestracji urządzenia w MDM.
COPE - model własności, w którym EMM współistnieje z pełnym MDM jako jego rozszerzenie.

Bezpieczeństwo infrastruktury

Znajdziesz tu dostawców systemów MDM, EMM i UEM.

Zobacz kategorię