Basic, advanced o soluzione di terze parti

La scelta si fa in un punto solo: Devices > Mobile & endpoints > Settings > Universal > General > Mobile management, dove imposti Basic, Advanced, Custom oppure Off, e la imposti per unità organizzativa, così che il reparto commerciale possa avere regole diverse dall’amministrazione.

La basic mobile management è il livello predefinito e non chiede nulla all’utente: nessuna app di gestione da installare, nessun profilo da accettare. Protegge l’account di lavoro sul telefono, permette di richiedere un blocco schermo, di bloccare un dispositivo e di rimuovere i dati aziendali. Quello che non fa è altrettanto importante ai fini d’esame: niente gestione delle app, niente audit dei dispositivi, e informazioni come versione del sistema operativo e stato della cifratura arrivano nella console con giorni di ritardo, un dettaglio che pesa se su quei segnali costruisci regole di Context-Aware Access.

L’advanced mobile management alza il livello e alza anche il costo operativo. L’utente deve installare l’app Google Device Policy; su Android il telefono viene invitato a creare un work profile, su iOS occorre un profilo di configurazione e, lato tenant, un Apple Push Certificate da rinnovare ogni anno, pena la perdita del controllo su tutta la flotta iOS. In cambio ottieni gestione delle app, cifratura obbligatoria, blocco dei dispositivi compromessi o jailbroken, approvazione preventiva dei dispositivi e cancellazione completa. Non è disponibile ovunque: richiede edizioni come Business Plus, Enterprise Standard e Plus, Frontline, Education Standard e Plus o Cloud Identity Premium, quindi su Business Starter la risposta corretta a un requisito «work profile e app gestite» non è una configurazione ma un upgrade.

La terza opzione è una soluzione di terze parti, ed è quella giusta quando l’azienda gestisce già una flotta eterogenea con un EMM esistente o quando i dispositivi devono rispondere a un solo cruscotto insieme a laptop e macchine non Google. Workspace prevede integrazioni con partner esterni; la regola pratica è non sovrapporre due sistemi che impongono la stessa policy di password allo stesso dispositivo.

Le policy che applichi con la gestione di base

Con la basic management la leva principale sono i requisiti di password, in Devices > Mobile & endpoints > Settings > Universal > General > Password requirements. Qui l’opzione disponibile è chiedere all’utente di impostare una password, e viene accettato qualsiasi blocco schermo: nessuna imposizione di lunghezza, complessità o scadenza. I parametri fini, cioè Password strength su Basic, Standard o Strong, il numero minimo di caratteri, il tempo di inattività prima del blocco schermo, la durata della password, il divieto di riuso e la cancellazione dopo N tentativi falliti, compaiono solo attivando l’advanced management.

Restano comunque impostazioni universali utili in entrambi i casi: le voci di sicurezza per la cifratura e per il blocco dei dispositivi compromessi, e le voci di accesso ai dati per la sincronizzazione Android e iOS e per Endpoint verification. Come ogni impostazione della console si applicano per unità organizzativa e possono richiedere fino a 24 ore per propagarsi.

Vedere e controllare i dispositivi registrati

L’inventario vive in Devices > Mobile & endpoints > Devices, e serve il privilegio Mobile Device Management per leggerlo. Ogni dispositivo ha uno stato: Approved sincronizza i dati, Pending approval attende una decisione, Blocked non sincronizza. Lo stato di attesa non nasce da solo: compare quando accendi Device approvals, l’impostazione che richiede l’approvazione di un amministratore prima che una persona raggiunga i dati di lavoro da un dispositivo nuovo. È il modo più semplice per accorgersi di un telefono sconosciuto prima che scarichi una casella intera.

La distinzione fra dispositivo aziendale e BYOD non è un’etichetta descrittiva ma un fatto che decidi tu popolando l’inventario dei dispositivi di proprietà dell’azienda con numeri di serie o IMEI. Da lì discendono aspettative diverse: su un telefono aziendale puoi permetterti la cancellazione totale, su un dispositivo personale con work profile la sola azione accettabile è togliere la parte di lavoro. Bloccare un dispositivo ne impedisce la sincronizzazione; eliminarlo dall’elenco lo rimuove dall’inventario senza cancellare i dati, tranne su iOS, e il dispositivo non torna a sincronizzare finché l’utente non esegue di nuovo l’accesso.

Offboarding: il telefono di chi se ne va

Le due azioni si chiamano Wipe account e Wipe device e non sono intercambiabili. Wipe account rimuove l’account di lavoro e i dati aziendali lasciando intatto il personale: su Android con work profile sparisce il profilo di lavoro con le sue app, su iOS registrato a livello di utente è l’unica azione disponibile. Wipe device riporta il dispositivo alle impostazioni di fabbrica e cancella tutto, personale incluso, quindi si usa su hardware aziendale o su un telefono smarrito. Entrambe partono dalla scheda del dispositivo o dai dispositivi gestiti dell’utente, richiedono di solito pochi minuti e in casi sfortunati fino a tre ore.

La cancellazione però è solo il primo passo della lista di offboarding, e all’esame conta l’ordine: rimuovere i dati dai dispositivi mobili, eliminare email e telefono di recupero, cambiare la password, revocare i token OAuth 2.0 delle app autorizzate, azzerare i cookie di accesso, revocare chiavi di sicurezza e password per app, e infine sospendere o eliminare l’account. Fermarsi al wipe lascia vive sessioni e integrazioni che non passano dal telefono.