MDM frente a MAM: ¿cuál es la diferencia?

Si estás decidiendo cómo proteger los datos corporativos en los dispositivos de los empleados, pronto te surgirás la duda entre MDM y MAM. La respuesta correcta depende de quién sea el propietario del dispositivo, cuáles sean tus requisitos de cumplimiento normativo y cuánto control necesite realmente tu organización.

Esta guía desglosa en qué se diferencian la gestión de dispositivos móviles y la gestión de aplicaciones móviles, en qué casos es adecuado cada enfoque y cómo combinarlos cuando uno solo no es suficiente. Los ejemplos que se incluyen se centran en Apple, ya que es ahí donde la mayoría de los equipos de TI de las medianas empresas y las grandes corporaciones están dedicando sus esfuerzos de gestión en este momento.

¿Qué es el MDM y cómo funciona?

La gestión de dispositivos móviles (MDM) ofrece a los administradores de TI control a nivel del sistema operativo. Cuando un dispositivo se inscribe en MDM, la plataforma se comunica directamente con el sistema operativo a través de un protocolo de gestión estandarizado. En los dispositivos de Apple, se trata del marco MDM propio de Apple, que ha evolucionado significativamente con la introducción de la gestión declarativa de dispositivos (DDM) en los últimos años.

A través del MDM, puedes:

• Aplicar políticas de cifrado de FileVault y de códigos de acceso
• Aplicar configuraciones de Wi-Fi, VPN y certificados
• Borrar de forma remota un dispositivo perdido o robado
• Restringir funciones de hardware (cámara, AirDrop, puertos USB)
• Implementar e instalar aplicaciones de forma silenciosa a través de la compra por volumen
• Consultar el inventario del dispositivo: versión del sistema operativo, número de serie, aplicaciones instaladas, especificaciones de hardware
• Imponer plazos para las actualizaciones de software

La inscripción es el paso clave. En el hardware de Apple propiedad de la empresa, la inscripción se realiza a través de Apple Business y la Inscripción Automática de Dispositivos (ADE), lo que significa que el perfil MDM se instala antes de que el usuario toque el dispositivo. Esa relación persiste tras los restablecimientos de fábrica, por lo que un dispositivo borrado se vuelve a inscribir automáticamente al iniciarse por primera vez.

Para conocer con más detalle cómo funciona la capa de gestión «bajo el capó», consulta cómo funciona la gestión de dispositivos y el contexto más amplio de la gestión de dispositivos Apple.

El MDM te ofrece una visibilidad y un control exhaustivos. La contrapartida es que requiere el registro de los dispositivos, lo que plantea cuestiones de privacidad para los empleados que utilizan dispositivos personales.

¿Qué es el MAM y cómo funciona?

La gestión de aplicaciones móviles (MAM) opera en la capa de aplicaciones, no a nivel del sistema operativo. En lugar de gestionar todo el dispositivo, la MAM gestiona aplicaciones específicas y los datos que contienen.

Las capacidades de MAM suelen incluir:

• Aplicar el uso de VPN y el cifrado de datos por aplicación
• Bloqueo de la función de copiar/pegar entre aplicaciones gestionadas y no gestionadas
• Impedir las copias de seguridad locales de los datos de las aplicaciones corporativas
• Borrar de forma remota solo los datos de las aplicaciones corporativas, sin tocar los datos personales
• Exigir una autenticación a nivel de aplicación (PIN o datos biométricos) independiente del desbloqueo del dispositivo
• Control de qué aplicaciones pueden compartir datos entre sí

En iOS y iPadOS, la gestión de aplicaciones móviles (MAM) se implementa principalmente a través de las políticas de protección de aplicaciones de Microsoft Intune o mediante el empaquetado de aplicaciones y la integración del SDK. Una aplicación se crea con compatibilidad con el SDK de MAM, o bien una herramienta de empaquetado inyecta la capa de aplicación de políticas en el binario de una aplicación existente. En cualquier caso, la política se aplica a la aplicación, no al dispositivo.

La ventaja significativa para los escenarios BYOD: MAM no requiere el registro del dispositivo. Un empleado instala una aplicación gestionada como Outlook o Teams, se autentica con su identidad corporativa y las políticas de MAM se aplican automáticamente. El departamento de TI controla los datos corporativos. El dispositivo sigue siendo totalmente privado.

MDM frente a MAM: comparación directa

A continuación se comparan ambos enfoques en los aspectos más importantes para los equipos de TI y seguridad:

Cuándo utilizar MDM: dispositivos propiedad de la empresa

El MDM es la opción adecuada cuando tu organización es propietaria del hardware. Esto abarca:

Flotas corporativas totalmente gestionadas. Cualquier iPhone, iPad o Mac asignado por el departamento de TI debe estar registrado en el MDM. La mera evidencia de cumplimiento ya lo justifica. Se puede demostrar a los auditores que los dispositivos están cifrados, actualizados y que solo ejecutan software autorizado.

Sectores regulados. Las organizaciones sanitarias sujetas a la HIPAA, las empresas de servicios financieros sujetas a la norma SOC 2 y los contratistas del sector público que trabajan para cumplir con la norma NIST 800-171 necesitan la evidencia a nivel de dispositivo que proporciona el MDM. Una solución MDM que aplique las configuraciones del CIS Benchmark y genere informes de cumplimiento reduce significativamente la carga que supone la auditoría.

Dispositivos compartidos o de quiosco. Un iPad de comercio minorista que ejecute una única aplicación en modo de «Acceso guiado», o un iPad compartido en un entorno sanitario, necesita un MDM para bloquear el sistema operativo, gestionar la sesión del usuario y actualizar las aplicaciones de forma silenciosa durante la noche.

Implementación «zero-touch» a gran escala. Cuando se aprovisionan 500 MacBook para una nueva oficina, la combinación de MDM con ADE garantiza que cada dispositivo llegue preconfigurado. El empleado lo enciende, inicia sesión con su cuenta Apple gestionada y dispone de un equipo totalmente configurado sin que el departamento de TI tenga que intervenir. Esto es especialmente importante a medida que los equipos crecen.

Cuándo utilizar MAM: entornos BYOD y en los que prima la privacidad

El MAM resulta más adecuado cuando la propiedad del dispositivo o la privacidad de los empleados es una consideración primordial:

Programas BYOD. Si los empleados utilizan sus iPhones personales para consultar el correo electrónico corporativo o acceder a Salesforce, inscribir esos dispositivos en un MDM completo genera fricciones legales y culturales. El departamento de TI podría, en teoría, ver datos personales, aplicar políticas de código de acceso en un dispositivo personal o borrar accidentalmente fotos personales durante un borrado remoto. El MAM evita todo esto. Los datos corporativos de las aplicaciones gestionadas están protegidos; todo lo demás es invisible para el departamento de TI.

Acceso de contratistas y trabajadores temporales. Los contratistas rara vez aceptan la inscripción en un sistema MDM en sus dispositivos personales. MAM te permite ampliar el acceso a Microsoft 365 o a tus herramientas internas sin necesidad de inscripción, al tiempo que se siguen aplicando las políticas de protección de datos.

Organizaciones con recursos de TI limitados. MAM es operativamente más ligero que un MDM completo. Si no dispones de los recursos necesarios para gestionar un ciclo de vida completo de inscripción, MAM para un conjunto definido de aplicaciones críticas puede proporcionarte una protección de datos significativa con menos sobrecarga.

Educación y escenarios de uso mixto. Los estudiantes o el profesorado que utilizan dispositivos personales para plataformas académicas se benefician del enfoque ligero de MAM. Los datos institucionales quedan protegidos sin necesidad de vigilar la actividad personal.

La particularidad específica de Apple: el registro de usuarios

Apple introdujo la inscripción de usuario como una vía intermedia que la mayoría de las comparaciones entre MDM y MAM pasan por alto. Merece la pena comprenderla.

La inscripción de usuario es un modo de inscripción MDM diseñado específicamente para BYOD. Requiere una cuenta Apple gestionada (aprovisionada a través de Apple Business) y crea una separación criptográfica entre los datos personales y los laborales en el dispositivo. El servidor MDM solo puede ver y gestionar los datos relacionados con el trabajo. No puede ver las aplicaciones personales, las cuentas personales ni el número de serie del dispositivo.

Las capacidades disponibles en el «User Enrollment» están limitadas intencionadamente en comparación con la inscripción completa del dispositivo:

• El departamento de TI puede gestionar cuentas de trabajo, aplicaciones de trabajo y datos de trabajo
• El departamento de TI no puede ver las aplicaciones personales ni aplicar políticas que afecten a todo el dispositivo
• Un borrado selectivo elimina los datos laborales sin afectar al contenido personal

Esto convierte a la «Inscripción de usuario» en una opción muy atractiva para las organizaciones que dan prioridad a Apple y desean una gestión al estilo MDM con límites de privacidad al estilo MAM. Si tu plantilla utiliza iPhones y tienes en marcha un programa BYOD, la «Inscripción de usuario» suele ser una opción más adecuada que el MAM puro a través de un SDK de terceros.

Combinación de MDM y MAM: cuando se necesitan ambos

Para muchas organizaciones, la verdadera respuesta a la disyuntiva entre MDM y MAM es MDM más MAM. Así es como se traduce esto en la práctica.

Imaginemos una empresa de servicios financieros con 600 empleados. Su parque de dispositivos es el siguiente:

• 400 MacBook y iPhone proporcionados por la empresa: totalmente inscritos en MDM, configuraciones de CIS Benchmark aplicadas, certificados implementados, FileVault y DNS cifrado activados
• 200 empleados que utilizan iPhones personales para Microsoft Teams y Outlook: políticas de MAM aplicadas a través de Intune App Protection, que bloquean la exportación de datos a aplicaciones personales y exigen autenticación biométrica para abrir aplicaciones corporativas

La capa MDM se encarga de las pruebas de cumplimiento, la aplicación de parches y el acceso de red de confianza cero para el hardware corporativo. La capa MAM amplía la protección de datos a los dispositivos personales sin generar el riesgo legal que supone el registro completo del dispositivo. Ninguno de estos enfoques por sí solo cubriría a ambos grupos de usuarios.

Concretamente en las arquitecturas de confianza cero, esta combinación se está convirtiendo cada vez más en la norma. Los dispositivos corporativos se someten a un registro MDM completo como parte de la verificación de la confianza del dispositivo. Los dispositivos personales que necesitan acceso a aplicaciones reciben políticas MAM, además de controles de acceso condicional que restringen a qué pueden acceder dichas aplicaciones en función de su estado de cumplimiento.

Los marcos de cumplimiento y lo que realmente exigen

Un error común es pensar que los marcos de cumplimiento exigen el uso de MDM. No es así, al menos no de forma específica. Lo que exigen es una protección de datos demostrable, y el camino para lograrla varía según el marco.

HIPAA: Exige el cifrado de la ePHI en reposo y en tránsito, controles de acceso y registros de auditoría. El MDM proporciona pruebas de cifrado y la capacidad de borrado remoto. El MAM puede imponer el cifrado dentro de aplicaciones específicas. Cualquiera de los dos puede satisfacer el requisito de medidas de seguridad técnicas, pero el MDM ofrece pruebas más sólidas y un control más amplio.

NIST 800-53 / 800-171: La gestión de dispositivos móviles se menciona explícitamente en los controles del NIST para la gestión de la configuración y la protección del sistema. La inscripción completa en el MDM con configuraciones de referencia obligatorias (como los CIS Benchmarks para iOS o macOS) es la vía más clara para demostrar el cumplimiento.

SOC 2 Tipo II: Los auditores quieren comprobar que se controla el acceso, que los datos están cifrados y que los dispositivos están gestionados. El MDM, junto con políticas documentadas, suele cumplir estos requisitos. El MAM por sí solo puede dejar lagunas en el registro de pruebas, especialmente en lo que respecta al estado de los dispositivos.

En la mayoría de los entornos regulados, la MDM en los dispositivos corporativos es la norma básica. La MAM cubre las carencias del modelo BYOD (trae tu propio dispositivo) cuando no es viable una inscripción completa.

Cómo aborda Iru la seguridad de las aplicaciones y el MDM

Iru está diseñado exclusivamente para Apple. Este enfoque es importante a la hora de evaluar las opciones de MDM frente a las de MAM, ya que el marco de gestión de Apple cuenta con su propia arquitectura, sus propios modos de inscripción y sus propias capacidades, que las plataformas genéricas multiplataforma a menudo implementan de forma parcial o con retraso.

Iru es compatible con el protocolo MDM completo de Apple, incluida la gestión declarativa de dispositivos, que cambia el modelo de gestión de una arquitectura de registro basada en sondeos a un sistema de gestión de estado impulsado por los dispositivos. En la práctica, esto se traduce en una aplicación más rápida de las políticas y una mejor gestión de los estados de configuración complejos en dispositivos que no siempre están conectados a Internet.

En el caso de las flotas de dispositivos Apple propiedad de la empresa, la arquitectura Blueprint de Iru permite a los equipos de TI definir una configuración completa del dispositivo como un conjunto estructurado de perfiles, políticas y asignaciones de aplicaciones. Cualquier dispositivo asignado a ese Blueprint evalúa continuamente su propio estado de cumplimiento y se corrige automáticamente siempre que puede, sin esperar a un ciclo de comprobación de MDM. Esto elimina las lagunas que surgen durante las auditorías cuando un dispositivo ha estado desconectado durante un periodo prolongado.

Iru también incluye capacidades de seguridad de terminales en la misma plataforma. Para los equipos de seguridad que evalúan las opciones de MDM, MAM o un enfoque combinado, disponer de la aplicación de la configuración de MDM y la detección de amenazas en un único agente y una única consola elimina un importante quebradero de cabeza en materia de integración.

Para las organizaciones que necesitan políticas MAM de terceros (por ejemplo, las políticas de protección de aplicaciones de Intune en iOS), estas funcionan de forma independiente de la inscripción en MDM y pueden coexistir con la inscripción en MDM de Iru en el mismo conjunto de dispositivos.

Puede consultar las prácticas recomendadas de gestión de dispositivos y la gestión y seguridad de dispositivos para obtener más información sobre cómo crear un entorno Apple en el que prime la seguridad.

Elegir entre MDM, MAM o ambos para su parque de dispositivos Apple

Empiece por la titularidad de los dispositivos y, a continuación, tenga en cuenta sus requisitos de cumplimiento normativo y la realidad de su plantilla.

Utilice MDM si:

• Tu organización es propietaria de los dispositivos
• Perteneces a un sector regulado (sanidad, finanzas, administración pública)
• Necesitas la aplicación de parches, pruebas de cifrado o el borrado remoto a nivel de dispositivo
• Estás realizando una implementación a gran escala y necesitas un aprovisionamiento sin intervención

Utiliza MAM si:

• Los empleados utilizan dispositivos personales para las aplicaciones corporativas
• Tu plantilla no acepta el registro completo de los dispositivos
• Necesitas ampliar la protección de datos limitada a los contratistas o al personal a tiempo parcial
• Quieres proteger los datos de unas pocas aplicaciones específicas sin la carga que supone la gestión completa de los dispositivos

Utiliza ambas opciones si:

• Dispones de un parque mixto de dispositivos corporativos y personales
• Tu arquitectura de seguridad requiere la verificación de la fiabilidad de los dispositivos para algunos grupos y controles a nivel de aplicación para otros
• Estás trabajando para implantar un modelo de acceso a la red de confianza cero

Para escenarios BYOD específicos de Apple, evalúa User Enrollment antes de recurrir por defecto a una solución MAM de terceros. Te ofrece una separación de datos significativa con soporte nativo del sistema operativo y evita la dependencia de la integración del SDK para cada aplicación.

Si gestiona una flota corporativa de dispositivos Apple y aún no ha evaluado una plataforma MDM de Apple diseñada específicamente para este fin, merece la pena descubrir lo que Iru puede ofrecerle. La combinación de MDM nativo, seguridad de terminales y cumplimiento normativo basado en Blueprint en una única plataforma elimina una capa de complejidad que las herramientas multiplataforma no suelen poder igualar. Solicita una demostración para ver cómo gestiona Iru la configuración específica de tu parque de dispositivos.