Una de las preguntas más frecuentes durante mis sesiones de formación gira entorno a la privacidad de los dispositivos supervisados. Un dispositivo supervisado es un dispositivo que una empresa o institución da a sus empleados y sobre el que ejerce cierto grado de control, desde instalar actualizaciones a distancia a forzar el uso de un servicio de correo corporativo concreto o a impedir que los estudiantes usen su iPad para descargar juegos.
Cuando una empresa o una escuela tiene cientos o miles de dispositivos "prestados" es natural que quiera poder localizarlos, gestionarlos, actualizarlos y asegurarse de que funcionan adecuadamente en el entorno para el que están pensados. De la misma forma es natural que los usuarios de los mismos tengan preguntas sobre la privacidad de los datos que están contenidos en esos dispositivos.
Hoy en Apple vamos a aclarar algunos conceptos y dar algunas explicaciones.
¿Que es un dispositivo MDM?
Un dispositivo MDM es un dispositivo que esta inscrito en lo que llamamos Mobile Device Management o Manejo de Dispositivos Móviles. Una plataforma que permite al equipo técnico de una empresa o institución gestionar los diferentes dispositivos inscritos todos a la vez sin tener que actuar físicamente en cada uno de los dispositivos.
Supervisado o no supervisado
Lo primero que tenemos que determinar es si el dispositivo que está inscrito en el MDM está o no supervisado. Es realmente identificar un dispositivo supervisado puesto que cuando entramos en la app Ajustes en la parte superior aparece un mensaje "Este iPhone está supervisado y gestionado por [X]". Es muy importante que sepamos que de forma predeterminada los dispositivos no se inscriben como supervisados y que si un dispositivo no lo está hace falta borrarlo por completo y volver a configurarlo desde cero para que pase a estarlo.
¿Y por qué la supervisión? Porque da a la empresa o institución un mayor control de sus dispositivos. Con la supervisión un administrador puede por ejemplo impedir el uso de AirDrop o evitar las compras en la App Store. Además la supervisión permite por ejemplo actualizar aplicaciones o filtrar el uso de Safari.
Si el dispositivo en el que nos encontramos está supervisado podemos visitar Ajustes > General > Perfiles y supervisión del dispositivo para ver exactamente qué cambios respecto a la configuración de fábrica a hecho la empresa.
Y ahora entramos en la parte importante de la cuestión: aunque es cierto que un dispositivo supervisado es mucho más accesible por parte del equipo técnico de la empresa este acceso no es a los datos sino a la habilidad de poner restricciones a lo que el dispositivo puede o no puede hacer.
¿Puede el departamento técnico rastrear mi ubicación?
Esta es la pregunta estrella de los usuarios de iPhone corporativo. Y su respuesta tiene tres partes.
- Si nos conectamos al Wi-Fi de la empresa el departamento técnico puede saber que así lo hemos hecho y desde qué punto de acceso.
- Si nuestra empresa dispone de rastreo de dispositivos a través de redes móviles pueden (igual que las empresas de telefonía) localizar el dispositivo siempre que no esté en Modo Avión.
- Más allá de eso el acceso a la ubicación precisa solo es posible cuando el dispositivo se pone en modo perdido (y deja de ser utilizable) y eso solo puede hacerse en dispositivos supervisados.
¿Puede el departamento técnico leer mis iMessages?
No. Los SMS y los mensajes de iMessage no son visibles en ningún momento por nadie. Lo que sí puede verse es el número de mensajes pero nunca a quién se envían ni el contenido de los mismos. Los mensajes de SMS pueden obtenerse por medio de la operadora pero esto ya es algo que escapa a Apple o a iMessage.
Tengamos presente que el uso de Mensajes puede estar desactivado por completo, y también que si la empresa nos pide el dispositivo en cuestión simplemente desbloqueándolo verá los mensajes enviados, pero nunca de forma remota.
¿Puede el departamento técnico ver mis fotos de la app Fotos?
De forma similar a iMessage no hay ningún protocolo de MDM para ver, modificar o eliminar ninguna foto de la app Fotos (incluyendo las fotos en iCloud). El departamento técnico sí que puede ver cuántas fotos están almacenadas en el dispositivo y puede desactivar funciones como fotos en iCloud (sobretodo si se usa una Apple ID gratuita con un límite de 5GB de almacenamiento).
Tengamos presente que las aplicaciones de terceros que solicitan "Acceso a Fotos" tienen acceso libre a todas las fotos así como sus ubicaciones y pueden hacer con ellas prácticamente lo que les plazca.
¿Puede el departamento técnico leer el correo de mi cuenta personal?
Tanto si usamos Safari como la app Mail para acceder a nuestro correo el departamento técnico puede saber que así lo hemos hecho pero nunca leer qué hemos recibido o enviado. En el caso de la app Mail puede estar restringido el añadir cuentas personales a la misma.
¿Puede el departamento técnico controlar remotamente mi dispositivo?
En iOS no. En el Mac hay algunas opciones de control pero siempre con un aviso previo y una notificación de que el dispositivo está siendo controlado. En los Mac el departamento técnico puede usar algunas herramientas más agresivas para controlar la máquina pero Apple no provee ninguna API oficial para ello.
En general, si el Mac es nuestro, no deberíamos permitir instalar nada más que un perfil MDM.
¿Puede el departamento técnico ver el historial de navegación?
Usando MDM no. Pero con un MDM se puede impedir el acceso a ciertas páginas web, además en el caso de forzar el uso de un VPN corporativo sí se puede monitorizar el tráfico desde la red de la empresa.
Conclusión
En resumen, como podemos ver, las herramientas de MDM son para configurar y gestionar el dispositivo no para controlarlo y menos para acceder a los datos que contiene. Apple siempre ha cuidado y sigue cuidando la privacidad de sus usuarios y el diseño de sus herramientas MDM así lo demuestran.
En el caso de iOS las políticas MDM son estrictas pues Apple ha creado un ecosistema más cerrado, mientras en Mac la capacidad para instalar cualquier aplicación o hacer cualquier modificación en el sistema da margen para la utilización de herramientas no oficiales y que no siguen las políticas de privacidad de Apple.
Recordemos eliminar del dispositivo todas las cuentas personales con las que hayamos podido iniciar sesión antes de dejarlo al departamento para una reparación o devolverlo.