Gestión de dispositivos Android

La gestión de dispositivos Android permite a los equipos de TI controlar de forma remota la configuración, la seguridad y el cumplimiento normativo de los smartphones y tabletas Android de toda la organización. Si gestionas más de unos pocos dispositivos Android sin una solución MDM específica, es probable que te enfrentes a un nivel de seguridad irregular, a la implementación manual de aplicaciones y a la falta de un método claro para dar de baja a un empleado que abandona la empresa.

Esta guía abarca todo, desde los modos de implementación de Android Enterprise hasta el registro sin intervención, con consejos prácticos para los equipos de TI que gestionan flotas mixtas.

¿Qué es la gestión de dispositivos Android?

En esencia, la gestión de dispositivos Android se reduce a una cosa: aplicar una política coherente a dispositivos que no controlas físicamente. La gestión de dispositivos Android utiliza software MDM para enviar configuraciones, aplicar medidas de seguridad básicas, implementar o bloquear aplicaciones y ejecutar acciones remotas como el bloqueo y el borrado de datos, todo ello sin tener que tocar cada dispositivo individualmente.

El marco subyacente que lo hace posible es Android Enterprise, el conjunto estandarizado de API de gestión de Google introducido en 2014 y que ahora constituye el enfoque obligatorio para la gestión empresarial de Android. Antes de Android Enterprise, los equipos de TI dependían de la API de «Administrador de dispositivos», un conjunto de controles limitado e inconsistente que variaba enormemente de un fabricante a otro. Google dejó obsoleta esa API en Android 10, lo que significa que cualquier organización que siga utilizando una gestión basada en el «Administrador de dispositivos» debería haber migrado hace tiempo.

Android Enterprise ofrece capacidades de gestión coherentes, independientemente de si su parque de dispositivos está compuesto por dispositivos Samsung Galaxy, Google Pixel o una combinación de hardware de distintos fabricantes. Esa coherencia es lo que hace viable una gestión de dispositivos Android (MDM) escalable.

Explicación de los modos de implementación de Android Enterprise

El modo de implementación que elijas determina qué puede hacer el dispositivo, quién es su propietario y en qué medida lo controla el MDM. Elegir el modo incorrecto genera brechas de seguridad o dificultades innecesarias para los empleados.

Perfil de trabajo

El perfil de trabajo crea un contenedor independiente y cifrado en un dispositivo de propiedad personal. Las aplicaciones, el correo electrónico y los datos corporativos se almacenan dentro del perfil. Las aplicaciones y los datos personales permanecen fuera de él. El departamento de TI puede gestionar y borrar el perfil de trabajo sin tocar los datos personales.

Totalmente gestionado (propiedad de la empresa)

El MDM tiene control total sobre el dispositivo. Se utiliza para dispositivos propiedad de la empresa, en los que la organización es propietaria de todo lo que hay en el hardware. El departamento de TI puede aplicar cualquier política, bloquear cualquier aplicación y borrar todo el contenido del dispositivo. Adecuado para portátiles y teléfonos estándar de los empleados proporcionados por el departamento de TI.

Dispositivos dedicados (modo quiosco)

Diseñado para implementaciones con un único propósito: escáneres de almacén, terminales de punto de venta, señalización digital o tabletas compartidas en un entorno minorista. El dispositivo ejecuta una o varias aplicaciones bloqueadas. Los usuarios no pueden acceder a la configuración, instalar aplicaciones ni utilizar el dispositivo para nada que no sea su función designada.

COPE (propiedad de la empresa, habilitado para uso personal)

Hardware propiedad de la empresa con un perfil de trabajo instalado. La empresa controla el dispositivo a nivel de hardware, pero reserva un espacio personal para el empleado. Esto proporciona al departamento de TI los máximos controles de seguridad, al tiempo que permite a los empleados un cierto uso personal. Es un término medio que funciona bien para las organizaciones que proporcionan dispositivos pero desean reducir las llamadas al servicio de asistencia técnica relacionadas con las restricciones de las aplicaciones personales.

Es fundamental seleccionar el modo de implementación correcto antes de inscribir un solo dispositivo. Cambiar de modo a posteriori suele requerir un restablecimiento de fábrica.

Inscripción «Zero-Touch» y aprovisionamiento masivo en Android

Inscribir manualmente cientos de dispositivos Android no es un proceso sostenible. La inscripción sin intervención de Android resuelve este problema a gran escala al vincular los dispositivos a su MDM antes de que lleguen al usuario final.

Así es como funciona en la práctica:

1. Adquieres los dispositivos a través de un distribuidor de «Zero-Touch» o directamente mediante el programa de hardware de Google.
2. Los dispositivos se registran en el portal «zero-touch» y se asignan a la configuración de su MDM.
3. Cuando el dispositivo se enciende y se conecta a una red Wi-Fi, descarga automáticamente su perfil MDM, aplica su configuración básica e instala las aplicaciones necesarias.
4. El usuario recibe un dispositivo listo para usar sin que sea necesaria la intervención del departamento de TI in situ.

Para las organizaciones que implementan 50 o más dispositivos a la vez, la tecnología «zero-touch» reduce el tiempo de aprovisionamiento de horas a minutos por dispositivo. Samsung añade aquí otra capa con Samsung Knox Mobile Enrollment, que ofrece capacidades «zero-touch» similares, pero requiere hardware compatible con Knox y un portal Knox independiente. Si su parque de dispositivos está compuesto principalmente por Samsung, el registro con Knox puede funcionar junto con Android Enterprise, pero se añade otra superficie de gestión que mantener.

Otros métodos de inscripción para implementaciones más pequeñas incluyen el aprovisionamiento mediante código QR (la cámara del dispositivo escanea un código QR de inscripción durante la configuración) y el aprovisionamiento por contacto NFC (un toque NFC transfiere la configuración de inscripción de un dispositivo a otro). Ambos son más rápidos que la inscripción manual, pero no están a la altura de la tecnología «zero-touch» para implementaciones a gran escala.

Google Play gestionado y despliegue de aplicaciones

A diferencia de la implementación de aplicaciones para consumidores, Google Play gestionado ofrece a los administradores de TI el control sobre qué aplicaciones están disponibles para los usuarios y cómo se configuran antes de la instalación.

A través de Google Play gestionado, los equipos de TI pueden:

• Incluir aplicaciones específicas en una lista de permitidos para que solo aparezcan las aplicaciones aprobadas en la Play Store del perfil de trabajo
• Distribuir aplicaciones de forma silenciosa a los dispositivos sin interacción del usuario
• Preconfigurar aplicaciones mediante configuraciones gestionadas (AppConfig) antes de su instalación, de modo que los clientes de correo electrónico, las aplicaciones VPN y las herramientas de productividad se instalen ya configuradas
• Bloquear la instalación paralela de aplicaciones personales en el perfil de trabajo
• Distribuir aplicaciones internas privadas sin publicarlas

Las configuraciones gestionadas eliminan una carga significativa de soporte técnico. Cuando un nuevo empleado inscribe su dispositivo, su cliente de correo electrónico ya está configurado para conectarse a tu servidor Exchange, su cliente VPN ya tiene la dirección del servidor y su certificado de autenticación ya está instalado. El usuario abre la aplicación y esta funciona.

Fragmentación del sistema operativo: el desafío persistente de Android

La fragmentación de Android es el aspecto más frustrante desde el punto de vista operativo en la gestión de dispositivos Android. A diferencia de iOS, donde Apple controla todo el proceso de actualizaciones, las actualizaciones de Android pasan primero por Google, luego por el fabricante (OEM) y, posteriormente, por el operador, y a veces ni siquiera llegan a su destino.

Las consecuencias prácticas para el departamento de TI:

• El cumplimiento de los parches es irregular. Un dispositivo Pixel de su parque puede recibir un parche de seguridad semanas antes que un dispositivo Samsung equivalente, y es posible que algunos dispositivos de fabricantes de equipos originales con versiones antiguas de Android nunca lo reciban.
• Los niveles de parches de seguridad varían en toda su flota. Incluso los dispositivos que ejecutan la misma versión de Android pueden tener diferentes niveles de parches de seguridad subyacentes en función de los calendarios de lanzamiento de los fabricantes de equipos originales.
• La disponibilidad de las API difiere. Ciertas API de gestión de Android Enterprise están disponibles en los dispositivos Google Pixel y en algunos dispositivos Samsung Knox, pero no en todo el hardware de los fabricantes de equipos originales.

El enfoque de mitigación que utilizan la mayoría de los equipos de TI empresariales consiste en estandarizar el uso de un número reducido de modelos de dispositivos aprobados, en lugar de permitir cualquier dispositivo Android. Esto no elimina por completo el problema, pero reduce el número de calendarios de parches de los fabricantes que hay que supervisar. Exigir una versión mínima de Android (actualmente Android 12 o 13 para la mayoría de las implementaciones empresariales) y establecer una política de cumplimiento que señale las versiones del sistema operativo obsoletas te proporciona visibilidad, incluso si no puedes forzar la actualización en sí.

Integración del proveedor de identidad para Android Enterprise

Un MDM para Android sin integración de identidades deja un vacío significativo en su estrategia de control de acceso. Cuando los dispositivos Android se autentican en los recursos corporativos, esas solicitudes deben pasar por su proveedor de identidades (Okta, Microsoft Entra ID o similar) para que las políticas de acceso condicional puedan evaluar el cumplimiento del dispositivo en tiempo real.

El flujo de trabajo es el siguiente:

1. Un usuario con un dispositivo Android registrado intenta acceder a una aplicación o recurso corporativo.

2. El proveedor de identidad comprueba el estado de cumplimiento del dispositivo a través del MDM.

3. Si el dispositivo está registrado, cumple con los requisitos (cifrado, PIN obligatorio, sistema operativo actualizado) y se verifica la identidad del usuario, se concede el acceso.

4. Si el dispositivo no está registrado, no cumple con los requisitos o la cuenta de usuario está desactivada, se bloquea el acceso.

El enfoque de Iru respecto a la gestión de dispositivos Android

Iru se creó como una solución MDM centrada en Apple, y ahí es donde sigue teniendo su mayor presencia. Pero la realidad operativa para la mayoría de los equipos de TI en 2026 es un parque de dispositivos mixto: MacBooks y iPhones por un lado, y teléfonos Android y, en ocasiones, equipos con Windows por el otro. Gestionar esos entornos con herramientas distintas implica consolas separadas, informes de cumplimiento separados y flujos de trabajo separados.

Iru amplía el mismo enfoque de configuración basado en plantillas que utiliza para macOS e iOS a los dispositivos Android, de modo que puedes definir una vez una base de referencia de seguridad y aplicarla en todas las plataformas, en lugar de tener que volver a crear tu conjunto de políticas en una segunda herramienta. La integración gestionada con Google Play se encarga del despliegue silencioso de aplicaciones y de la preconfiguración de AppConfig en Android de la misma forma que Iru gestiona Auto App en macOS. El registro sin intervención para Android se conecta al mismo flujo de trabajo de incorporación que ya has creado para el hardware de Apple.

En cuanto a la seguridad, la gestión de vulnerabilidades de Iru abarca los terminales Android, además de los de Mac y Windows, lo que te ofrece una visión unificada del cumplimiento de los parches y de las CVE abiertas en todo tu parque de dispositivos, en lugar de informes aislados por plataforma. La integración con los proveedores de identidad Okta y Entra ID permite aplicar políticas de acceso condicional que evalúan el cumplimiento de los dispositivos Android antes de conceder acceso a los recursos corporativos.

Para los equipos que, tradicionalmente, han evitado incluir Android en su ámbito de gestión de MDM porque ello suponía adoptar una segunda herramienta, Iru ofrece argumentos de peso para gestionarlo todo desde un mismo lugar.

Elegir una solución MDM para Android para tu parque de dispositivos

La solución MDM para Android adecuada depende de la composición de tu parque de dispositivos y de si necesitas una solución independiente para Android o una gestión unificada de terminales en todas las plataformas.

Si su entorno es exclusivamente Android y no tiene dispositivos Apple que gestionar, las herramientas de MDM para Android diseñadas específicamente para este sistema operativo pueden ofrecer funciones más avanzadas específicas para estos dispositivos. Si gestiona una flota mixta, añadir un segundo MDM genera una sobrecarga operativa que se acumula con el tiempo: flujos de trabajo de incorporación duplicados, paneles de control de cumplimiento independientes y una aplicación inconsistente de las políticas entre plataformas.

Evalúa cualquier solución MDM para Android según estos criterios:

• Compatibilidad con Android Enterprise: la solución debe utilizar las API de Android Enterprise, no la API de administrador de dispositivos, que ha quedado obsoleta.
• Cobertura de modos de implementación: debe ser compatible con el perfil de trabajo, la gestión completa, el modo dedicado y COPE.
• Inscripción sin intervención: Imprescindible para cualquier parque de más de 25 a 30 dispositivos.
• Integración gestionada con Google Play: el envío silencioso de aplicaciones y la compatibilidad con AppConfig son imprescindibles para el uso empresarial.
• Integración con proveedores de identidad: conectividad con Okta y Entra ID para el acceso condicional.
• Visibilidad de la fragmentación del sistema operativo: políticas de cumplimiento que muestren el nivel de parches y la versión del sistema operativo en los distintos fabricantes de equipos originales (OEM).
• Gestión multiplataforma: si dispones de dispositivos Mac, iOS o Windows, evalúa si la gestión de Android es de primera clase o si se ha añadido a posteriori.