MDM Android là gì?

Một doanh nghiệp có 60 nhân viên kinh doanh.

Công ty cấp điện thoại Android cho 25 người. Hai mươi nhân viên khác sử dụng điện thoại cá nhân để truy cập email và ứng dụng công việc. Một nhóm nhân viên giao nhận lại sử dụng smartphone Android chỉ để chạy vài ứng dụng phục vụ công việc.

Nhìn bên ngoài, tất cả đều là điện thoại Android.

Nhưng dưới góc độ quản trị doanh nghiệp, chúng không giống nhau.

Điện thoại thuộc hoàn toàn về công ty có thể cần một chế độ quản lý. Điện thoại cá nhân cần một mô hình khác để tách dữ liệu công việc khỏi đời sống riêng. Thiết bị chỉ dùng cho một nhiệm vụ cố định lại có yêu cầu khác nữa.

Đây chính là vấn đề mà MDM Android và hệ sinh thái Android Enterprise hướng tới giải quyết.

Google cho biết Android Enterprise hỗ trợ doanh nghiệp cấu hình thiết bị cho cả công việc lẫn mục đích cá nhân thông qua Work Profile, thiết lập thiết bị chỉ dành cho công việc, hoặc cấu hình thiết bị cho một chức năng chuyên biệt.

Hiểu đúng MDM Android là gì vì vậy không chỉ giúp doanh nghiệp quản lý điện thoại. Quan trọng hơn, nó giúp xác định:

Thiết bị nào cần quản lý, quản lý đến đâu và đâu là giới hạn cần tôn trọng.

---

1. MDM Android là gì?

MDM Android có thể hiểu là việc sử dụng hệ thống Mobile Device Management để triển khai, cấu hình, quản lý và bảo vệ các thiết bị Android được sử dụng trong tổ chức.

Trong mô hình Android Enterprise, một giải pháp quản lý thường có thành phần quản lý chính sách trên thiết bị và bảng điều khiển EMM/MDM để doanh nghiệp đăng ký thiết bị rồi áp dụng các chính sách quản trị phù hợp.

Nói đơn giản:

MDM Android = nền tảng quản trị + thiết bị Android + chính sách doanh nghiệp.

Mục tiêu không phải là biến điện thoại thành một thiết bị bị “theo dõi mọi thứ”.

Mục tiêu đúng hơn là giúp bộ phận quản trị trả lời:

• Điện thoại nào đang thuộc hệ thống?
• Thiết bị thuộc công ty hay cá nhân?
• Ứng dụng công việc nào được phép sử dụng?
• Chính sách bảo mật nào cần áp dụng?
• Dữ liệu công việc nằm ở đâu?
• Nếu mất máy thì xử lý thế nào?
• Khi nhân viên nghỉ việc thì quyền truy cập được thu hồi ra sao?

NIST cũng xem quản lý thiết bị tập trung là một phần của chiến lược bảo mật thiết bị di động doanh nghiệp và lưu ý cả hai trường hợp: thiết bị do tổ chức cung cấp và thiết bị thuộc sở hữu cá nhân.

---

2. MDM Android khác bài “MDM là gì” ở điểm nào?

Ở Bài 2, chúng ta đã giải thích MDM ở cấp độ tổng quát.

Bài này đi sâu vào riêng Android.

Điểm quan trọng nhất là Android Enterprise có nhiều mô hình quản lý khác nhau.

Một chiếc điện thoại công ty dùng hoàn toàn cho công việc không nên được quản lý giống một chiếc điện thoại cá nhân.

Android hiện phân biệt các mô hình như Fully Managed Device, Work Profile và các thiết bị chuyên dụng cho mục đích cố định.

Có thể hình dung:

Điện thoại công ty → quản lý toàn thiết bị khi phù hợp

Điện thoại cá nhân → quản lý vùng công việc

Điện thoại dùng cho một nhiệm vụ → giới hạn vào chức năng cần thiết

Đây là điểm cốt lõi của quản trị Android hiện đại.

---

3. Fully Managed Device là gì?

Fully Managed Device là thiết bị được tổ chức quản lý toàn bộ và được thiết kế cho trường hợp thiết bị thuộc sở hữu doanh nghiệp, chủ yếu phục vụ công việc.

[Tình huống giả định]

Một công ty giao điện thoại Android cho nhân viên giao hàng.

Điện thoại thuộc tài sản doanh nghiệp.

Công việc trên máy chủ yếu gồm:

ứng dụng giao nhận, bản đồ, ứng dụng liên lạc nội bộ và một số công cụ phục vụ khách hàng.

Trong trường hợp này, doanh nghiệp có lý do rõ ràng hơn để thiết lập cấu hình và chính sách cho toàn bộ thiết bị.

Ví dụ, tùy giải pháp MDM/EMM được lựa chọn, doanh nghiệp có thể triển khai các ứng dụng cần thiết và điều chỉnh chính sách trên đội thiết bị từ hệ thống quản lý. Android Enterprise cũng hỗ trợ Managed Google Play để doanh nghiệp quản lý và phân phối ứng dụng cho người dùng.

Điểm quan trọng là:

Quyền sở hữu thiết bị ảnh hưởng trực tiếp đến phạm vi quản trị hợp lý.

Đừng lấy chính sách của điện thoại công ty áp nguyên xi lên điện thoại cá nhân.

---

4. Work Profile Android là gì?

Đây là một trong những khái niệm quan trọng nhất khi tìm hiểu MDM Android.

Work Profile tạo một vùng công việc riêng trên thiết bị Android để tách ứng dụng và dữ liệu công việc khỏi ứng dụng và dữ liệu cá nhân.

Google cho biết với Work Profile, tổ chức quản lý ứng dụng và dữ liệu thuộc vùng công việc, trong khi ứng dụng, dữ liệu và thông tin sử dụng thuộc profile cá nhân không hiển thị hoặc không thể truy cập bởi tổ chức theo mô hình này.

Ví dụ một nhân viên có thể có:

Vùng cá nhân

Facebook cá nhân
ảnh gia đình
ứng dụng ngân hàng
game
tài khoản cá nhân

và:

Vùng công việc

email công ty
CRM
ứng dụng bán hàng
tài liệu nội bộ
ứng dụng doanh nghiệp

trên cùng một điện thoại.

Đây là một bước tiến rất quan trọng về tư duy quản trị:

Bảo vệ dữ liệu doanh nghiệp không nhất thiết đồng nghĩa với kiểm soát toàn bộ đời sống số của nhân viên.

---

5. Tình huống thực tế: “Công ty quản lý điện thoại của tôi đến đâu?”

[Tình huống tổng hợp]

Một nhân viên mới được yêu cầu đưa điện thoại Android cá nhân vào hệ thống quản lý để truy cập tài nguyên công ty.

Ngay lập tức người đó lo lắng:

“Nếu cài MDM thì công ty có đọc được ảnh, tin nhắn và những ứng dụng riêng của tôi không?”

Đây là câu hỏi hoàn toàn hợp lý.

Câu trả lời không nên đơn giản là:

“Cứ cài đi, không sao đâu.”

Doanh nghiệp phải giải thích mô hình quản lý đang được áp dụng.

Trong trường hợp Work Profile trên thiết bị cá nhân, Google nêu rõ tổ chức có thể quản lý ứng dụng và dữ liệu thuộc Work Profile; các ứng dụng và dữ liệu trong profile cá nhân không hiển thị cho tổ chức. Tuy nhiên, tổ chức vẫn có thể thấy một số thông tin cơ bản về thiết bị như model, hệ điều hành và các thông tin thiết bị được Google liệt kê.

Như vậy câu hỏi đúng không phải chỉ là:

“MDM có quyền gì?”

Mà phải là:

“Thiết bị đang được đăng ký theo mô hình nào và mô hình đó trao cho quản trị viên những quyền gì?”

Đây cũng là thông tin doanh nghiệp nên giải thích cho nhân viên trước khi triển khai.

---

6. MDM Android quản lý ứng dụng như thế nào?

Ứng dụng là một trong những phần quan trọng nhất của quản trị thiết bị Android.

Một công ty có thể cần nhân viên sử dụng:

CRM, email, phần mềm kho, ứng dụng giao hàng, ứng dụng xác thực hoặc những công cụ nội bộ khác.

Nếu mỗi nhân viên tự cài đặt và tự quản lý, doanh nghiệp dễ gặp tình trạng:

người dùng sai phiên bản, thiếu ứng dụng cần thiết, sử dụng ứng dụng không được phê duyệt hoặc thiết bị không còn đáp ứng chính sách.

Android Enterprise hỗ trợ quản lý và triển khai ứng dụng thông qua Managed Google Play, đồng thời cho phép tổ chức xây dựng danh sách ứng dụng được phê duyệt theo nhu cầu.

Vì vậy, thay vì chỉ hỏi:

“Nhân viên đang cài những gì?”

doanh nghiệp nên chuyển sang câu hỏi quản trị:

“Những ứng dụng nào cần thiết để thiết bị thực hiện đúng chức năng công việc?”

Hai câu hỏi nghe giống nhau nhưng triết lý hoàn toàn khác.

Một bên dễ biến thành giám sát.

Một bên là quản trị.

---

7. MDM Android có giúp bảo vệ dữ liệu doanh nghiệp không?

Có, nhưng không nên hiểu rằng chỉ cần cài MDM là dữ liệu sẽ tự động an toàn.

MDM chỉ là một thành phần của hệ thống bảo mật.

NIST lưu ý rằng thiết bị di động hiện được sử dụng để truy cập hệ thống doanh nghiệp và xử lý dữ liệu nhạy cảm. Hướng dẫn của NIST vì vậy đề cập đến bảo mật xuyên suốt vòng đời thiết bị, từ triển khai, sử dụng đến khi ngừng sử dụng.

Một mô hình quản trị tốt cần kết hợp:

Thiết bị + tài khoản + ứng dụng + quyền truy cập + dữ liệu + chính sách + con người.

Ví dụ, một điện thoại Android có MDM nhưng nhân viên vẫn dùng mật khẩu yếu, doanh nghiệp phân quyền tài khoản quá rộng hoặc quy trình nghỉ việc không thu hồi tài khoản đúng lúc thì rủi ro vẫn tồn tại.

Do đó:

MDM không thay thế chính sách bảo mật. MDM giúp thực thi một phần chính sách đó trên thiết bị.

---

8. Khi điện thoại Android bị mất thì sao?

[Tình huống giả định]

18 giờ 30 phút, một nhân viên kinh doanh phát hiện chiếc điện thoại công ty để quên trên taxi.

Điện thoại có:

email công ty, ứng dụng CRM, danh bạ khách hàng và một số tài liệu làm việc.

Câu hỏi đầu tiên của doanh nghiệp không nên là:

“Ai nhặt được chiếc điện thoại?”

Câu hỏi quan trọng hơn là:

“Thiết bị đó hiện còn quyền truy cập vào những tài nguyên nào?”

Một quy trình ứng phó có thể cần xem xét:

trạng thái thiết bị, tài khoản đăng nhập, phiên truy cập, dữ liệu công việc và những biện pháp quản trị từ xa mà nền tảng đang hỗ trợ.

Điểm mấu chốt là doanh nghiệp phải chuẩn bị trước khi mất điện thoại.

Nếu đợi đến lúc thiết bị thất lạc mới hỏi:

“Có cách nào quản lý từ xa không?”

thì hệ thống quản trị đã đi sau sự cố.

---

9. Zero-touch enrollment có ý nghĩa gì?

Hãy tưởng tượng doanh nghiệp mua 300 điện thoại Android.

Nếu IT phải mở từng hộp, cài từng ứng dụng và cấu hình thủ công từng chiếc thì chi phí vận hành sẽ tăng rất nhanh.

Android Enterprise cung cấp zero-touch enrollment cho các trường hợp và thiết bị phù hợp, cho phép triển khai và cấu hình thiết bị doanh nghiệp từ xa ở quy mô lớn.

Về mặt quản trị, điều này thay đổi tư duy từ:

“IT cài từng điện thoại.”

sang:

“IT xây dựng chính sách, thiết bị nhận cấu hình theo hệ thống.”

Đó chính là lý do MDM đặc biệt có giá trị khi số lượng thiết bị tăng lên.

---

10. Đừng nhầm MDM Android với phần mềm theo dõi bí mật

Đây là điểm TracerSpy cần làm rõ trong toàn bộ cụm nội dung mới.

MDM Android hướng tới quản trị thiết bị có chủ đích và có phạm vi xác định.

Nó không nên được quảng bá theo kiểu:

“Xem mọi thứ trên điện thoại nhân viên.”

“Giám sát bí mật.”

“Nhân viên không thể biết.”

Những cách diễn đạt như vậy vừa làm sai bản chất của quản trị thiết bị vừa tạo ra rủi ro về quyền riêng tư và pháp lý.

Thay vào đó, doanh nghiệp nên xác định rõ:

Ai sở hữu thiết bị?

Ai được quyền quản trị?

Dữ liệu nào thuộc doanh nghiệp?

Mục đích quản lý là gì?

Nhân viên được thông báo những gì?

Dữ liệu được lưu trong bao lâu?

Điều gì xảy ra khi nhân viên nghỉ việc?

Chính những câu hỏi đó mới tạo nên một hệ thống MDM có trách nhiệm.

---

11. TracerSpy nên đứng ở đâu trong hệ thống quản lý Android?

Đây cũng là điểm cần định vị thương hiệu rõ hơn.

TracerSpy không nên tự mô tả mình là Android Enterprise hay một nền tảng MDM đầy đủ nếu sản phẩm thực tế chưa đáp ứng các tiêu chuẩn và khả năng tương ứng.

Hướng nội dung tốt hơn là:

TracerSpy là một giải pháp hỗ trợ quản lý và giám sát thiết bị trong những trường hợp người sử dụng có quyền quản lý hợp pháp đối với thiết bị, tùy theo chức năng thực tế của dịch vụ.

Khi doanh nghiệp xây dựng hệ thống quản lý Android, hãy bắt đầu từ nhu cầu chứ không phải từ phần mềm:

Xác định thiết bị → xác định quyền sở hữu → phân loại dữ liệu → xác định ứng dụng → xây dựng chính sách → phân quyền quản trị → chọn công nghệ → kiểm tra định kỳ.

Cách tiếp cận này cũng giúp TracerSpy xây dựng uy tín tốt hơn về lâu dài.

Thay vì hứa “theo dõi được nhiều nhất”, thương hiệu có thể tập trung vào:

quản lý đúng mục đích – bảo vệ dữ liệu – minh bạch – an toàn – có trách nhiệm.

---

12. Doanh nghiệp nhỏ có cần MDM Android?

Không nhất thiết phải có hàng trăm điện thoại mới cần nghĩ đến quản trị.

Một công ty chỉ có 15 smartphone nhưng mỗi máy đều truy cập dữ liệu khách hàng có thể cần chính sách quản lý nghiêm túc.

Ngược lại, một công ty có 100 nhân viên nhưng chỉ vài thiết bị liên quan đến tài nguyên quan trọng có thể có nhu cầu khác.

Trước khi lựa chọn giải pháp, hãy trả lời:

Có bao nhiêu Android đang truy cập dữ liệu công ty?

Bao nhiêu máy thuộc công ty?

Bao nhiêu máy thuộc nhân viên?

Ứng dụng nào thực sự cần cho công việc?

Dữ liệu quan trọng nằm ở đâu?

Ai được quyền quản trị?

Quy trình khi mất điện thoại là gì?

Quy trình khi nhân viên nghỉ việc là gì?

Nếu chưa trả lời được những câu này, việc đầu tiên chưa phải tìm “phần mềm MDM tốt nhất”.

Việc đầu tiên là xác định chính sách quản lý thiết bị Android.

---

9 bài học quan trọng khi triển khai MDM Android

1. Không phải mọi điện thoại Android đều cần cùng một mức quản lý. Quyền sở hữu và mục đích sử dụng phải được xác định trước.

2. Fully Managed phù hợp với những trường hợp thiết bị thuộc doanh nghiệp và cần quản trị toàn thiết bị.

3. Work Profile giúp tách công việc và cá nhân. Đây là lựa chọn quan trọng trong những mô hình có cả dữ liệu công việc lẫn đời sống riêng trên một thiết bị.

4. MDM không chỉ quản lý điện thoại. Ứng dụng, tài khoản, chính sách và dữ liệu cũng là những phần quan trọng.

5. Quyền quản trị càng lớn thì trách nhiệm càng lớn. Không nên thu thập dữ liệu chỉ vì công nghệ cho phép.

6. Quản lý từ xa phải được chuẩn bị trước sự cố. Đừng đợi mất điện thoại mới xây dựng quy trình.

7. Quản lý hàng trăm thiết bị cần tự động hóa. Các cơ chế triển khai như zero-touch có giá trị khi đội thiết bị tăng quy mô.

8. MDM không thay thế chính sách bảo mật. Công nghệ chỉ là một lớp trong quản trị rủi ro thiết bị.

9. Minh bạch tạo niềm tin. Nhân viên cần hiểu phần nào của thiết bị được quản lý và vì sao.

---

Câu hỏi thường gặp về MDM Android

MDM Android là gì?

MDM Android là việc sử dụng hệ thống quản lý thiết bị di động để đăng ký, cấu hình và áp dụng chính sách cho các thiết bị Android phục vụ tổ chức. Android Enterprise cung cấp các mô hình quản lý khác nhau tùy quyền sở hữu và cách sử dụng thiết bị.

Android Enterprise có phải MDM không?

Android Enterprise là hệ sinh thái và tập hợp khả năng quản lý doanh nghiệp của Android. Doanh nghiệp thường sử dụng một giải pháp EMM/MDM tương thích để đăng ký và quản trị thiết bị Android.

Work Profile có xem được dữ liệu cá nhân không?

Theo tài liệu Android Enterprise, khi Work Profile được sử dụng trên thiết bị cá nhân, tổ chức quản lý ứng dụng và dữ liệu công việc; ứng dụng và dữ liệu trong profile cá nhân không hiển thị hoặc không thể truy cập bởi tổ chức theo mô hình đó.

Điện thoại công ty có thể được quản lý toàn bộ không?

Android hỗ trợ Fully Managed Device cho thiết bị thuộc tổ chức và được sử dụng cho công việc. Quyền và chính sách cụ thể còn phụ thuộc giải pháp quản lý, phiên bản Android và cấu hình triển khai.

MDM Android có phù hợp với doanh nghiệp nhỏ?

Có thể phù hợp. Tiêu chí quan trọng không chỉ là số lượng điện thoại mà còn là giá trị dữ liệu, ứng dụng, quyền truy cập và rủi ro mà các thiết bị tạo ra.

---

Kết luận: MDM Android là quản trị đúng phạm vi

Điểm quan trọng nhất khi tìm hiểu MDM Android là gì không nằm ở câu hỏi:

“Phần mềm quản lý được bao nhiêu chức năng?”

Mà nằm ở câu hỏi:

“Doanh nghiệp thực sự cần quyền nào để bảo vệ thiết bị và dữ liệu của mình?”

Một chiếc Android thuộc công ty, một điện thoại BYOD và một thiết bị kiosk có thể cần ba cách quản lý khác nhau.

Android Enterprise đã xây dựng các mô hình quản trị để phản ánh chính sự khác biệt đó.

Đối với TracerSpy, đây cũng nên trở thành nguyên tắc xuyên suốt của cụm nội dung mới:

Không quản lý nhiều hơn mức cần thiết.
Không thu thập dữ liệu chỉ vì có thể.
Xác định rõ quyền sở hữu.
Minh bạch về phạm vi.
Bảo vệ dữ liệu và con người song song.

Khi doanh nghiệp làm được điều đó, MDM không còn đơn thuần là một phần mềm.

Nó trở thành một phần của hệ thống quản trị thiết bị và bảo mật doanh nghiệp.