Las aplicaciones de un iPhone se gestionan en Ajustes > General > Almacenamiento del iPhone. Allí aparece cada app instalada con el espacio que ocupa y la fecha del último uso, y desde ahí puede desinstalarla o eliminarla. Con un dispositivo es suficiente. Con doscientos, la gestión de aplicaciones pasa a una consola central que instala, actualiza y retira apps sin que nadie tenga que tocar un solo móvil.
Este artículo separa las dos capas. Primero lo que hace iOS por sí solo, después el punto exacto en el que deja de bastar, y por último cómo se opera un parque de dispositivos.
Dónde está realmente la gestión de apps en iOS
Apple reparte estas funciones en tres sitios distintos, lo que explica que casi nadie las encuentre todas:
- Ajustes > General > Almacenamiento del iPhone: la lista completa, ordenada por espacio ocupado. Es la única vista que dice cuándo se usó cada app por última vez.
- Pantalla de inicio: mantenga pulsado un icono para entrar en modo edición. Crear carpetas, mover apps o quitar un icono de la pantalla sin borrar la aplicación.
- Biblioteca de apps: desde iOS 14, el cajón ordenado por categorías que hay a la derecha del todo. Ordena, no gestiona.
La distinción práctica más útil de esta capa es la que hay entre desinstalar y eliminar. Al desinstalar se borra el binario de la app y se conservan sus datos locales: el icono se queda con una nubecita al lado. Al eliminar desaparece todo. Quien recibe quejas continuas de falta de espacio casi siempre tiene desactivada la desinstalación automática de apps sin usar.
Los permisos importan más que el almacenamiento
El espacio rara vez es el problema real. Los permisos sí. En Ajustes > Privacidad y seguridad puede revisar por categoría qué aplicaciones tienen acceso a ubicación, cámara, micrófono, contactos o fotos. Revisar por categoría es mucho más rápido que revisar app por app, porque de un vistazo ve las catorce apps que se han quedado con la ubicación en segundo plano.
Lo que las herramientas nativas no pueden hacer
Todo lo anterior parte de una premisa: alguien tiene el teléfono en la mano. Ahí está el límite. En una empresa faltan cuatro cosas:
- Distribución. No hay forma de instalar una app en cien dispositivos sin pedir a cien personas que la busquen en el App Store. Por experiencia, lo hace algo más de la mitad.
- Control de versiones. La actualización automática es un interruptor por dispositivo, no una política. Usted no sabe quién está en qué versión.
- Licencias. Una app comprada con un Apple ID personal pertenece a esa persona, no a la empresa. Cuando se marcha, se va con ella.
- Evidencia. No existe ningún listado que pueda entregar a un auditor.
No es un defecto de iOS. La app Ajustes está pensada para un dispositivo personal, no para un parque de dispositivos.
MDM y MAM: dos capas que conviene no mezclar
Son dos siglas que se confunden con frecuencia. MDM (Mobile Device Management) gestiona el dispositivo: inscripción, políticas de seguridad, código de acceso, cifrado, soporte remoto. MAM (Mobile Application Management) gestiona las apps: cuál llega a qué dispositivo, en qué versión y con qué configuración. En la práctica una solución MDM cubre las dos capas, pero la distinción resulta muy útil en los móviles personales, donde a menudo solo interesa la segunda.
El circuito habitual de una app en iOS es este:
- La app se adquiere desde Apple Business Manager en el número de licencias necesario, aunque sea gratuita. Así las licencias son de la empresa y se pueden recuperar cuando alguien deja el puesto.
- Esas licencias se vinculan al servidor MDM y la app se asigna a un grupo de dispositivos.
- La instalación es silenciosa: sin Apple ID en el dispositivo y sin ninguna acción por parte del usuario.
- Las apps internas, las que nunca aparecerán en el App Store, siguen la misma ruta como app personalizada a través de Apple Business Manager.
- Valores de configuración como la dirección del servidor o el identificador de cliente viajan con la app. Nadie teclea una URL a mano.
Una app instalada por esta vía queda marcada como app gestionada, y eso es más que una etiqueta. Apple permite decidir si los documentos de apps gestionadas pueden abrirse en apps no gestionadas, si AirDrop cuenta como destino no gestionado y si las apps gestionadas guardan datos en iCloud. Esa frontera es la ganancia real de seguridad, no la instalación en sí.
iPhone personal o dispositivo de empresa: dos procedimientos distintos
La diferencia condiciona casi todo lo demás y se pasa por alto con demasiada frecuencia.
Dispositivos de empresa
Un dispositivo registrado en Apple Business Manager se inscribe solo la primera vez que se enciende. La inscripción zero-touch aplica políticas y apps antes de que nadie toque la primera pantalla. El dispositivo queda supervisado y el margen de actuación es amplio: forzar apps, bloquear el App Store, activar el modo quiosco para un único uso. En equipos de campo con dispositivos compartidos, este es el caso normal.
Dispositivos personales
En un iPhone personal, la inscripción instala un perfil de gestión que limita Appaloosa a las aplicaciones y cuentas que distribuye la empresa. La consola de administración solo reporta esas aplicaciones gestionadas, no las que el usuario ha instalado por su cuenta. Tres puntos que conviene tener claros antes de explicárselo a nadie:
- El BYOD se aplica a iOS y Android. Los PC con Windows y los Mac se gestionan como dispositivos de empresa: ahí no existe modo BYOD.
- En modo BYOD no hay localización. No es una opción desactivada, es una función que no aparece en la consola. Solo está disponible en dispositivos Android gestionados por la empresa.
- Cuando alguien se marcha, el administrador elimina los datos gestionados en iOS o el perfil de trabajo en Android. En un Android personal, el propio sistema limita el comando de borrado a ese perfil de trabajo.
Lo que hay que resolver en España antes de desplegar
Montar la distribución de apps lleva una tarde. La parte jurídica lleva más, y es la que suele descubrirse tarde.
El artículo 87 de la LOPDGDD reconoce el derecho a la intimidad en el uso de dispositivos digitales puestos a disposición por la empresa, y obliga a fijar unos criterios de utilización. Esos criterios deben elaborarse con participación de la representación de los trabajadores, y hay que informar de forma clara de los usos permitidos y de los controles previstos. Si el móvil es de la persona, el umbral sube: el acceso al dispositivo solo puede alcanzar la finalidad concreta que lo justifica.
A eso se suma la capa RGPD: contrato de encargado de tratamiento del artículo 28, medidas técnicas y organizativas documentadas según el artículo 32 y, cuando el tratamiento pueda suponer un riesgo alto, una evaluación de impacto. El listado de la sección anterior sirve mucho mejor como base para ese análisis que cualquier promesa comercial.
Un orden de trabajo que funciona
- Cree la cuenta de Apple Business Manager y vincúlela al servidor MDM. Sin ese paso, todo lo demás sigue siendo trabajo manual.
- Agrupe los dispositivos por función, no por departamento. El equipo comercial necesita apps distintas que administración, aunque compartan planta.
- Prepare dos configuraciones, una para dispositivos de empresa y otra para personales. Se parecen mucho menos de lo que aparentan.
- Pruebe con cinco dispositivos por grupo, incluyendo el escenario de baja. El borrado es la parte que nadie ensaya y que todo el mundo acaba necesitando.
- Despliegue después, por fases y con una persona de contacto identificada durante la primera semana.
Conclusión
En un iPhone personal, gestionar aplicaciones es cuestión de tres menús. En cuanto hay un parque de dispositivos detrás, la pregunta cambia: quién recibe qué app, en qué versión y qué ocurre el día de la baja. Si está en ese punto, el siguiente paso razonable es inventariar las apps ya repartidas y de dónde salieron sus licencias. Con ese inventario delante, elegir una solución MDM deja de ser una decisión abstracta.