MDM là gì và tại sao doanh nghiệp cần hiểu đúng?

Một buổi sáng, bộ phận IT của một doanh nghiệp nhận được ba yêu cầu gần như cùng lúc.

Một nhân viên mới cần điện thoại để bắt đầu công việc.

Một nhân viên khác báo mất thiết bị được công ty cấp.

Người thứ ba vừa nghỉ việc nhưng điện thoại trước đó vẫn được sử dụng để truy cập email và một số ứng dụng của doanh nghiệp.

Nếu công ty chỉ quản lý vài chiếc điện thoại, những tình huống này có thể được xử lý thủ công. Nhưng khi số thiết bị tăng từ 5 lên 50, 100 hoặc hàng nghìn chiếc, câu chuyện hoàn toàn khác.

Ai đang sử dụng thiết bị nào?

Máy nào đáp ứng chính sách bảo mật?

Ứng dụng công việc đã được cài chưa?

Nếu thiết bị bị mất thì dữ liệu doanh nghiệp được xử lý thế nào?

Khi nhân viên nghỉ việc, quyền truy cập được thu hồi ra sao?

Đó là lúc khái niệm MDM – Mobile Device Management xuất hiện.

NIST định nghĩa MDM về cơ bản là hoạt động quản trị các thiết bị như smartphone, tablet và máy tính thông qua những khả năng quản lý phù hợp. NIST cũng xem quản lý thiết bị tập trung là một thành phần trong chiến lược bảo vệ thiết bị di động của doanh nghiệp.

Nhưng hiểu MDM đơn giản là “phần mềm theo dõi điện thoại nhân viên” sẽ làm sai bản chất của công nghệ này.

---

1. MDM là gì?

MDM là viết tắt của Mobile Device Management, có thể hiểu là quản lý thiết bị di động.

MDM cho phép một tổ chức quản trị những thiết bị được sử dụng trong môi trường công việc thông qua một hệ thống quản lý tập trung.

Tùy nền tảng, loại thiết bị và giải pháp được triển khai, quản trị viên có thể thực hiện những công việc như cấu hình thiết bị, thiết lập chính sách, quản lý ứng dụng, kiểm tra trạng thái tuân thủ hoặc thực hiện một số hành động quản trị từ xa.

Apple mô tả MDM là framework cho phép cấu hình thiết bị an toàn qua mạng bằng cách gửi profile và command tới thiết bị. Các khả năng có thể bao gồm cập nhật phần mềm/cài đặt, kiểm tra việc tuân thủ chính sách và khóa hoặc xóa thiết bị từ xa.

Vì vậy:

MDM ≠ đọc mọi dữ liệu của nhân viên.

Một cách dễ hình dung hơn:

MDM giống như trung tâm quản trị cho đội thiết bị của tổ chức.

Doanh nghiệp xác định thiết bị nào tham gia hệ thống, chính sách nào được áp dụng và quyền quản trị nào thực sự cần thiết.

---

2. Một câu chuyện nhỏ: khi 5 điện thoại trở thành 80 điện thoại

[Tình huống giả định phục vụ giáo dục]

Một doanh nghiệp bán hàng ban đầu chỉ có 5 nhân viên.

Mỗi người được cấp một smartphone để liên hệ khách hàng. Người quản lý ghi tên nhân viên và số điện thoại vào một bảng Excel.

Cách đó hoạt động khá tốt.

Hai năm sau, doanh nghiệp có 80 nhân viên.

Ngoài điện thoại bán hàng còn có máy tính bảng cho bộ phận kho, thiết bị cho quản lý và một số nhân viên sử dụng điện thoại cá nhân để truy cập tài khoản công việc.

Lúc này bảng Excel vẫn cho biết:

“Anh A đang giữ điện thoại số 15.”

Nhưng nó không trả lời được:

Thiết bị số 15 có còn đáp ứng chính sách của doanh nghiệp không?

Và đó là khác biệt quan trọng giữa quản lý danh sách thiết bị với quản trị thiết bị.

NIST lưu ý rằng thiết bị di động ngày nay đã trở thành một phần thường trực của môi trường doanh nghiệp và được dùng để truy cập mạng, hệ thống cũng như xử lý dữ liệu nhạy cảm. Vì vậy, việc bảo vệ chúng cần được xem xét trong toàn bộ vòng đời từ triển khai, sử dụng đến khi thiết bị ngừng hoạt động.

---

3. MDM hoạt động như thế nào?

Không phải mọi hệ thống MDM đều hoạt động giống hệt nhau, nhưng có thể hình dung theo một chu trình đơn giản:

Thiết bị → đăng ký quản lý → nhận cấu hình/chính sách → báo trạng thái → quản trị viên xử lý khi cần.

Ví dụ, trên hệ sinh thái Apple, sau khi thiết bị được đăng ký phù hợp, dịch vụ quản lý có thể gửi các cấu hình, profile và command đến thiết bị.

Android Enterprise cũng cung cấp nhiều chế độ quản lý tùy quyền sở hữu và mục đích sử dụng thiết bị. Một thiết bị thuộc doanh nghiệp có thể được quản lý toàn bộ; trong trường hợp khác, Work Profile có thể được sử dụng để tách phần công việc khỏi phần cá nhân.

Điều này dẫn đến một nguyên tắc rất quan trọng:

Doanh nghiệp phải xác định quyền sở hữu và mục đích của thiết bị trước khi xác định mức độ quản lý.

Không nên lấy mô hình dành cho điện thoại 100% thuộc sở hữu công ty rồi áp đặt nguyên trạng lên điện thoại cá nhân của nhân viên.

---

4. MDM có thể quản lý những gì?

Khả năng cụ thể phụ thuộc vào hệ điều hành, hình thức đăng ký, quyền sở hữu thiết bị và sản phẩm MDM được sử dụng.

Nhưng nhìn ở cấp độ quản trị, có thể chia thành một số nhóm lớn.

Thiết bị: xác định thiết bị được quản lý và trạng thái của chúng.

Cấu hình: triển khai những cài đặt cần thiết cho công việc.

Ứng dụng: phân phối hoặc quản lý các ứng dụng phục vụ doanh nghiệp.

Chính sách: áp dụng những yêu cầu phù hợp về bảo mật và sử dụng.

Tuân thủ: xác định thiết bị có đáp ứng chính sách của tổ chức hay không.

Dữ liệu công việc: hỗ trợ bảo vệ tài nguyên của doanh nghiệp.

Xử lý sự cố: tùy hệ thống có thể thực hiện các hành động quản trị như khóa hoặc xóa dữ liệu được quản lý từ xa.

Android Enterprise cho biết hệ thống quản lý của họ hỗ trợ cấu hình thiết bị theo nhiều mục đích khác nhau và có thể triển khai thiết bị từ xa, kể cả ở quy mô lớn.

Do đó, MDM không chỉ giải quyết câu hỏi:

“Điện thoại đang ở đâu?”

Nó hướng tới câu hỏi lớn hơn:

“Thiết bị này có đang ở trạng thái phù hợp để sử dụng tài nguyên của doanh nghiệp hay không?”

---

5. Điện thoại công ty và điện thoại cá nhân khác nhau thế nào trong MDM?

Đây là điểm doanh nghiệp rất dễ nhầm.

Hãy xét hai nhân viên.

Nhân viên A được công ty cấp một smartphone chỉ để làm việc.

Nhân viên B dùng điện thoại cá nhân nhưng cài email và ứng dụng của công ty.

Hai chiếc điện thoại đều truy cập dữ liệu doanh nghiệp, nhưng mức độ quản lý hợp lý không nhất thiết giống nhau.

Android phân biệt rõ Fully Managed Device với Work Profile. Fully Managed phù hợp với thiết bị thuộc tổ chức và được quản lý toàn bộ; Work Profile có thể quản lý phần công việc trong khi thiết bị vẫn có phần cá nhân.

Android cũng cho biết Work Profile tách ứng dụng và dữ liệu công việc do tổ chức quản lý khỏi dữ liệu cá nhân của nhân viên.

Apple cũng hỗ trợ quản lý trong cả môi trường thiết bị tổ chức cung cấp và một số mô hình BYOD, với các cơ chế quản trị phù hợp cho dữ liệu doanh nghiệp.

Đây chính là nền tảng để chúng ta sau này phát triển một cluster riêng về:

BYOD – COPE – CYOD – thiết bị công ty – thiết bị cá nhân.

---

6. MDM có phải công cụ giám sát nhân viên không?

Không nên hiểu MDM theo cách đó.

Mục tiêu của quản lý thiết bị doanh nghiệp là kiểm soát những yếu tố cần thiết để thiết bị, ứng dụng và dữ liệu công việc đáp ứng chính sách của tổ chức.

Điều đó khác với việc thu thập mọi hoạt động cá nhân của người sử dụng.

Hãy xem một tình huống.

[Tình huống giả định]

Công ty thông báo:

“Từ tuần sau tất cả điện thoại sẽ được đưa vào hệ thống quản lý.”

Nhưng thông báo dừng lại ở đó.

Nhân viên bắt đầu đặt câu hỏi:

“Công ty có xem ảnh cá nhân của tôi không?”

“Tin nhắn riêng có bị đọc không?”

“Sau giờ làm, vị trí của tôi có bị theo dõi không?”

Có thể hệ thống không thực hiện bất kỳ việc nào trong số đó.

Nhưng vì công ty không giải thích nên vấn đề chuyển từ công nghệ thành tâm lý và niềm tin.

Đây là bài học quan trọng cho doanh nghiệp:

Khả năng kỹ thuật không tự động tạo ra quyền sử dụng khả năng đó.

Trước khi triển khai MDM, doanh nghiệp nên xác định rõ mục đích, phạm vi thiết bị, dữ liệu cần thiết, quyền của quản trị viên và thông tin cần công khai cho người sử dụng.

---

7. Một tình huống khác: nhân viên nghỉ việc

[Tình huống giả định]

Một nhân viên bán hàng làm việc ba năm và sau đó nghỉ việc.

Trong thời gian đó, người này sử dụng điện thoại công ty để truy cập:

• email;
• danh bạ khách hàng;
• ứng dụng CRM;
• tài liệu báo giá;
• ứng dụng nội bộ.

Nếu không có quy trình quản trị, doanh nghiệp rất dễ chỉ tập trung vào một việc:

“Nhớ trả điện thoại lại cho công ty.”

Nhưng thu hồi phần cứng chưa phải toàn bộ câu chuyện.

Doanh nghiệp còn cần xem xét tài khoản, quyền truy cập, dữ liệu công việc và trạng thái thiết bị.

Đây chính là lý do quản lý vòng đời thiết bị quan trọng. Hướng dẫn NIST SP 800-124 Rev.2 bao quát cả việc triển khai, sử dụng và xử lý thiết bị khi kết thúc vòng đời sử dụng trong doanh nghiệp.

Một quy trình tốt phải được xây dựng trước khi nhân viên nghỉ việc, chứ không phải sau khi sự việc xảy ra mới tìm cách giải quyết.

---

8. MDM, EMM và UEM có giống nhau không?

Ba thuật ngữ này thường xuất hiện cùng nhau.

MDM – Mobile Device Management: tập trung vào quản lý thiết bị.

EMM – Enterprise Mobility Management: phạm vi rộng hơn, có thể bao gồm MDM cùng quản lý ứng dụng và những thành phần quản trị di động khác.

UEM – Unified Endpoint Management: mở rộng tư duy quản lý tới nhiều loại endpoint hơn.

NIST cho biết EMM đôi khi được gọi là UEM và một bộ EMM có thể bao gồm MDM, Mobile Application Management (MAM), Mobile Threat Defense (MTD) cùng những công nghệ quản lý khác.

Người mới tìm hiểu không cần ghi nhớ tất cả thuật ngữ ngay lập tức.

Chỉ cần hiểu:

MDM là một lớp quan trọng trong hệ sinh thái quản trị thiết bị và endpoint của doanh nghiệp.

---

9. Doanh nghiệp nhỏ có cần MDM không?

Không nên quyết định chỉ dựa trên số lượng nhân viên.

Một doanh nghiệp 10 người nhưng nhân viên thường xuyên xử lý dữ liệu khách hàng trên điện thoại có thể có nhu cầu quản trị rõ ràng hơn một doanh nghiệp lớn nhưng hầu như không sử dụng thiết bị di động cho dữ liệu quan trọng.

Hãy bắt đầu bằng 7 câu hỏi:

1. Có bao nhiêu thiết bị truy cập dữ liệu công ty?
2. Thiết bị thuộc doanh nghiệp hay nhân viên?
3. Trên thiết bị có dữ liệu nào cần bảo vệ?
4. Những ứng dụng nào được sử dụng cho công việc?
5. Nếu điện thoại thất lạc thì quy trình là gì?
6. Khi nhân viên nghỉ việc thì quyền truy cập được thu hồi thế nào?
7. Ai trong công ty có quyền quản trị thiết bị?

Nếu doanh nghiệp không trả lời được những câu hỏi này, vấn đề trước mắt chưa hẳn là “mua MDM nào”.

Vấn đề đầu tiên là xây dựng chính sách quản lý thiết bị.

---

MDM và TracerSpy: công nghệ phải đi cùng phạm vi sử dụng

Trong hệ sinh thái nội dung TracerSpy, khái niệm MDM giúp chúng ta nhìn việc quản lý điện thoại theo một hướng rộng hơn.

Không phải:

“Phần mềm có thể xem được những gì?”

Mà là:

“Doanh nghiệp cần quản lý những gì để bảo vệ thiết bị và dữ liệu?”

Đối với các thiết bị mà doanh nghiệp có quyền quản lý phù hợp, TracerSpy có thể được xem xét trong phạm vi những chức năng quản trị thiết bị mà dịch vụ thực tế cung cấp.

Tuy nhiên, không nên biến bất kỳ công nghệ quản lý thiết bị nào thành lý do để bí mật xâm nhập đời tư của nhân viên.

Doanh nghiệp nên đi theo trình tự:

Mục tiêu → quyền sở hữu thiết bị → dữ liệu cần bảo vệ → phạm vi quản lý → chính sách → thông báo/minh bạch → công nghệ → kiểm tra định kỳ.

Đó cũng là lý do trong những bài tiếp theo chúng ta sẽ tách riêng các vấn đề như MDM Android, quản lý điện thoại công ty, phân quyền quản trị, BYOD và bảo mật thiết bị thay vì nhồi tất cả vào một bài.

---

10 bài học rút ra về MDM

1. MDM là quản lý thiết bị, không đồng nghĩa với theo dõi đời tư.
2. Doanh nghiệp phải biết thiết bị nào đang truy cập dữ liệu của mình.
3. Thiết bị công ty và thiết bị cá nhân cần chính sách khác nhau.
4. Mức độ quản lý phải phù hợp với mục đích.
5. Quản lý ứng dụng cũng quan trọng như quản lý phần cứng.
6. Mất thiết bị phải có quy trình phản ứng từ trước.
7. Nhân viên nghỉ việc cần quy trình thu hồi quyền truy cập.
8. Bảo mật dữ liệu phải được xem xét trong toàn bộ vòng đời thiết bị.
9. Minh bạch giúp giảm xung đột giữa quản trị và quyền riêng tư.
10. Công nghệ chỉ hiệu quả khi đi cùng chính sách, con người và trách nhiệm.

---

Câu hỏi thường gặp về MDM

MDM là viết tắt của gì?

MDM là viết tắt của Mobile Device Management, nghĩa là quản lý thiết bị di động.

MDM có quản lý Android được không?

Có. Android cung cấp framework quản lý doanh nghiệp với nhiều mô hình như Fully Managed Device và Work Profile.

MDM có quản lý iPhone và iPad được không?

Có. Apple tích hợp framework quản lý thiết bị trong các nền tảng của mình và hỗ trợ cấu hình, chính sách, quản lý ứng dụng cùng nhiều chức năng quản trị khác.

MDM có xóa dữ liệu từ xa không?

Một số mô hình và nền tảng hỗ trợ hành động xóa hoặc khóa từ xa, nhưng khả năng cụ thể phụ thuộc loại enrollment, quyền sở hữu thiết bị và giải pháp quản lý.

MDM có phù hợp với BYOD không?

Có thể. Các nền tảng hiện đại có cơ chế dành cho thiết bị cá nhân, chẳng hạn Work Profile của Android giúp tách phần công việc và phần cá nhân.

MDM có phải phần mềm theo dõi nhân viên?

Không nên đánh đồng hai khái niệm. MDM tập trung vào quản trị thiết bị, ứng dụng, cấu hình, chính sách và dữ liệu công việc. Phạm vi triển khai cần phù hợp với quyền sở hữu thiết bị, mục đích và các nghĩa vụ pháp lý áp dụng.

---

Kết luận

Hiểu đúng MDM là gì giúp doanh nghiệp chuyển từ cách quản lý điện thoại mang tính phản ứng sang quản trị có hệ thống.

Một thiết bị mới được cấp cho nhân viên, một chiếc điện thoại bị thất lạc hay một nhân viên nghỉ việc đều không nên trở thành tình huống khiến doanh nghiệp bắt đầu xử lý từ con số 0.

MDM giúp tạo ra một cấu trúc quản trị:

Thiết bị → người sử dụng → ứng dụng → chính sách → dữ liệu → bảo mật → vòng đời.

Nhưng bài học quan trọng hơn vẫn là:

Quản lý tốt không phải quản lý càng nhiều càng tốt, mà là quản lý đúng những gì doanh nghiệp thực sự cần quản lý.

Khi kết hợp công nghệ phù hợp với chính sách rõ ràng, minh bạch với người sử dụng và giới hạn quyền quản trị hợp lý, doanh nghiệp vừa có thể bảo vệ tài sản số vừa xây dựng môi trường làm việc có trách nhiệm.