MDM para colegios: gestionar tablets y portátiles en el aula

MDM para colegios significa usar un software de gestión de dispositivos móviles para configurar, proteger y controlar las tablets, los portátiles y los Chromebooks que utilizan a diario el alumnado y el profesorado. Una consejería o una red de centros con 2000 iPad puede distribuir apps, bloquear las pantallas durante un examen y borrar un dispositivo perdido desde una única consola. Sin MDM, su equipo de TI configura cada dispositivo a mano, uno por uno, y vuelve a hacerlo cada año al empezar el curso.

¿Por qué necesitan MDM los centros educativos?

Un MDM de empresa parte de la idea de que un dispositivo pertenece a una persona. En educación ocurre lo contrario. Un mismo iPad puede compartirlo un grupo de 30 alumnos a lo largo de seis horas de clase, y cada grupo necesita apps, restricciones y contenidos distintos.

A esto se suma la escala. Una administración educativa mediana gestiona entre 5000 y 15 000 dispositivos, y un campus universitario puede llegar a 50 000. El presupuesto de TI es casi siempre una fracción de lo que gastaría una empresa con el mismo número de dispositivos.

Tres puntos distinguen la gestión de dispositivos en un centro educativo del uso en una empresa:

• Dispositivos compartidos. Con la función iPad compartido de Apple y los perfiles multiusuario de Android, el alumnado inicia sesión en un dispositivo común y recupera sus propias apps y datos. El MDM gestiona ese funcionamiento.
• Filtrado de contenidos y bloqueo de exámenes. Hay que bloquear las redes sociales en clase, limitar la navegación a los sitios autorizados y dejar los dispositivos fijados en una sola app de examen (de eso se encarga el modo quiosco).
• Presión normativa. El RGPD impone requisitos estrictos sobre los datos de menores. Proteger los datos del alumnado no es opcional, y las políticas del MDM deben hacerlo cumplir en cada dispositivo.

¿Qué hace un MDM en un colegio, en concreto?

Piense en el MDM como la capa de control entre su equipo de TI y cada dispositivo del centro.

Distribución de apps. Su profesorado necesita Kahoot, Google Classroom, una calculadora gráfica y la plataforma de aprendizaje de la administración educativa. Con el MDM, las cuatro llegan a 500 dispositivos en unos minutos. Sin contraseña de la tienda de apps y sin que el alumnado haga nada: las apps aparecen en segundo plano. Al final del curso, las retira con la misma rapidez.

Restricciones del dispositivo. Durante un examen, bloquea cada iPad en una única app de prueba. Safari, la cámara y el intercambio de respuestas por AirDrop quedan fuera de alcance. Terminado el examen, las restricciones se levantan solas. El perfil se crea una vez y se distribuye a todos los dispositivos afectados.

Configuración de red. Quinientos dispositivos nuevos necesitan las credenciales WPA2 Enterprise del centro, los ajustes del proxy y el certificado. El MDM lo transmite todo en segundo plano durante la inscripción. Sin instrucciones impresas y sin consultas de profesores desconcertados.

Respuesta ante dispositivos perdidos o robados. Un alumno pierde su tablet en el autobús. Su administrador la bloquea a distancia en pocos minutos, muestra el mensaje «Entréguelo en secretaría» y la borra si no aparece. Para quien la encuentre, el dispositivo no vale nada, y los datos del centro siguen protegidos.

¿Cómo equipar miles de dispositivos sin perder el control?

El inicio de curso es la época más dura para los equipos de TI de los centros. Llegan cientos o miles de dispositivos nuevos en cajas, y todos deben estar listos el primer día de clase.

La inscripción zero-touch lo hace posible. En los dispositivos Apple comprados a través de Apple School Manager, cada iPad se inscribe automáticamente en su MDM en cuanto se enciende por primera vez. Sin ningún paso manual: el dispositivo descarga su perfil, instala las apps adecuadas, aplica las restricciones correspondientes y queda listo para la clase.

Los dispositivos Android funcionan con el mismo principio mediante Android Enterprise y la inscripción zero-touch. Los Chromebooks siguen su propio camino a través de la consola de administración de Google, que explicamos más abajo.

La cuenta es sencilla. La configuración manual lleva unos 15 minutos por dispositivo. Con 2000 dispositivos son 500 horas de trabajo. Con zero-touch, ese esfuerzo baja casi a cero.

¿Qué aportan Apple School Manager, las cuentas Apple gestionadas y Classroom?

Apple School Manager (ASM) es el portal con el que un centro educativo gestiona sus dispositivos, sus usuarios y sus compras de apps. Permite la inscripción automática y la distribución de licencias por volumen, y además crea las cuentas Apple gestionadas del alumnado y del profesorado. Sin ASM, se queda con la configuración manual y con cuentas personales en dispositivos del centro, justo lo que conviene evitar.

Tres puntos que los centros suelen descubrir demasiado tarde:

• Las cuentas Apple gestionadas pertenecen al centro, no al alumno. Cuando el alumno cambia de centro, la cuenta se desactiva y los datos se devuelven o se eliminan según su política. Una cuenta personal que un niño creó por su cuenta en 5.º de primaria no se puede recuperar.
• Las compras de apps están asociadas al centro y se pueden reasignar. Una licencia liberada en junio puede reutilizarse en septiembre. Es la diferencia entre un presupuesto que aguanta y otro que se dispara.
• Classroom es una herramienta para el profesorado, no para los administradores. Complementa al MDM, que sigue siendo la capa de configuración. No espere del MDM un control pedagógico en tiempo real, ni de Classroom que haga cumplir políticas de seguridad.

La documentación de referencia es la guía de despliegue de Apple para educación. Reserve media jornada de lectura antes de lanzar una licitación: le ahorrará tres reuniones.

¿Cómo funciona el modo examen y qué se bloquea de verdad?

«Bloquear la tablet durante el examen» puede significar al menos tres mecanismos distintos. Quien los confunde se lleva sorpresas el día de la prueba.

El bloqueo de app impuesto por el MDM. El dispositivo queda fijado de forma permanente en una sola app mediante configuración. Es el modo quiosco. Nadie puede salir desde el propio dispositivo. Es la opción más robusta y también la más rígida: para levantarla hace falta una acción en la consola o una programación horaria.

El acceso guiado se activa en el propio dispositivo y lo protege un código que conoce el profesor que vigila. Es flexible y encaja bien con una clase, pero exige una acción humana en cada dispositivo.

El modo de evaluación de Apple, que una app de examen solicita al sistema. Durante la prueba desactiva funciones que facilitarían copiar, como el portapapeles, la corrección automática o las capturas de pantalla. Lo activa la app, no usted (consulte la documentación de Apple sobre Automatic Assessment Configuration).

Un consejo práctico válido para las tres variantes: pruebe con el modelo de dispositivo y la versión del sistema que realmente se usan en las aulas, no con los de su mesa. Un parque de dispositivos escolar suele reunir dos o tres generaciones de hardware, y el comportamiento cambia.

Piense también en todo lo que no es la pantalla: AirDrop entre compañeros de pupitre, teclados conectados, relojes inteligentes, compartir la conexión por punto de acceso. El bloqueo de app no cubre todo eso: son restricciones propias que se definen en el perfil. Nuestra guía del modo quiosco para Android e iOS detalla esos ajustes.

¿Cómo funcionan el iPad compartido y el modo multiusuario de Android?

Con la función iPad compartido de Apple, varios alumnos utilizan el mismo dispositivo en sesiones separadas. Cada persona inicia sesión con una cuenta Apple gestionada creada en Apple School Manager y recupera su espacio reservado, los datos de sus apps y sus ajustes. El dispositivo debe estar supervisado, y el almacenamiento disponible determina cuántas sesiones se guardan en local (resumen de iPad compartido en Apple).

Su MDM define cuántos usuarios se guardan por dispositivo, si se permite una sesión de invitado y cuánto tiempo pasa hasta el cierre de sesión automático. Aquí la política se encuentra con la pedagogía: si una clase dura 45 minutos, ajuste el cierre automático un poco por encima, no a dos horas.

En Android el panorama es más desigual. Algunos fabricantes admiten perfiles multiusuario de forma nativa, otros se apoyan en el enfoque del perfil de trabajo de Android Enterprise. La experiencia es menos pulida que en Apple, pero funciona. Nuestra guía de gestión de dispositivos Android describe los modos disponibles.

Un enfoque alternativo, a menudo más sencillo cuando los dispositivos no salen del aula: no personalizar las sesiones y tratar los dispositivos como un conjunto de dispositivos compartidos, fijados a un conjunto de apps y restablecidos a un estado definido entre dos usos. Es menos personalizado, pero da muchos menos problemas.

¿Qué puede hacer un MDM de terceros con los Chromebooks y qué no?

Lo decimos con claridad, porque en las licitaciones este punto genera malentendidos una y otra vez. Un Chromebook se gestiona desde la consola de administración de Google, con una licencia de gestión de Chrome Enterprise o Education por dispositivo. Google ofrece la inscripción, las políticas, el bloqueo y el modo examen en ChromeOS (documentación de Google).

Un MDM de terceros no sustituye esa consola. Appaloosa no gestiona ChromeOS: nuestro ámbito cubre iOS y iPadOS, Android, Windows y macOS. Si su centro ha pasado por completo a Chromebooks, la consola de Google es su herramienta. Preferimos decírselo a venderle un piloto que va a fracasar.

Un MDM de terceros cobra sentido en un parque de dispositivos mixto, el caso más habitual: Chromebooks en algunas aulas, iPad en primaria o en las clases de idiomas, PC en el aula de informática, tablets Android prestadas. Usted conserva Google Admin para ChromeOS y reúne el resto en una sola consola, en lugar de multiplicar las consolas.

¿Cómo proteger los datos del alumnado según el RGPD?

Los centros no gestionan solo dispositivos. Gestionan dispositivos que usan menores. Eso cambia las obligaciones, y también lo que resulta defendible recoger.

El RGPD se aplica a los datos del alumnado con un peso especial: según el artículo 8, el consentimiento de un menor para servicios en línea exige, con carácter general, tener 16 años, y por debajo de esa edad hace falta la autorización de quien ejerza la patria potestad; los Estados miembros pueden rebajar el límite hasta los 13 años. En España, el artículo 7 de la LOPDGDD lo fija en 14 años (más detalle en nuestra guía sobre LOPDGDD y dispositivos móviles). Su configuración del MDM debería desactivar la telemetría innecesaria, limitar el envío de datos de diagnóstico y garantizar que el tráfico de gestión permanezca dentro de la Unión Europea. Para el marco general, consulte nuestra guía de RGPD y gestión de dispositivos móviles.

El principio que debería guiar toda la configuración: recoja lo mínimo posible y explíqueselo a las familias. En concreto: nada de geolocalización en los dispositivos del alumnado si solo se trata de encontrar un dispositivo al final del curso, nada de almacenamiento personal del historial de navegación y nada de vigilancia de pantalla fuera de los periodos de examen claramente delimitados. Que una función esté disponible técnicamente no significa que deba activarla.

Después viene la pregunta sobre el proveedor. Pregunte dónde están alojados los servidores, a qué derecho está sometido el proveedor, quién trata los datos y si se ha realizado una evaluación de impacto relativa a la protección de datos para su uso en centros educativos. La ubicación de los servidores por sí sola no basta: una empresa sujeta al derecho estadounidense sigue sometida a la CLOUD Act aunque sus máquinas estén en Europa. Appaloosa se aloja en Francia. Solo la infraestructura de alojamiento, no Appaloosa, está cualificada SecNumCloud por la ANSSI, y Appaloosa no dispone de certificado ISO 27001: preferimos que lo oiga de nosotros antes de descubrirlo en el procedimiento de contratación.

¿Cómo elegir un MDM para su colegio o su administración educativa?

En el mercado hay proveedores conocidos, como Jamf School, centrado en Apple, Hexnode y Google Admin para Chromebooks. Appaloosa admite parques de dispositivos con Apple, Android, Windows y macOS e incluye la gestión de aplicaciones. Es relevante si, además de apps comerciales, distribuye apps educativas internas.

Los criterios, en el orden en que los proyectos suelen fracasar por ellos:

• El modelo de dispositivos compartidos. ¿Sesiones individuales por alumno o un conjunto de dispositivos neutros? Ambos son defendibles, pero requieren herramientas distintas. Decídalo antes de pedir ofertas.
• La integración con Apple School Manager. La inscripción automática y la distribución de licencias deben funcionar de serie, sin scripts caseros.
• La cobertura real de los sistemas operativos de su parque de dispositivos. Cuente sus dispositivos por sistema antes de leer un folleto. Una herramienta que cubre el 80 % de sus dispositivos le deja igualmente con dos consolas.
• Herramientas para el profesorado. Supervisión de pantallas, distribución de apps durante la clase, bloqueo temporal: algunos productos hacen de esto su especialidad y otros no. Si es su necesidad principal, dígalo desde el principio.
• Alojamiento y derecho aplicable. Para una entidad pública no es un criterio de comodidad. Si su contratación exige el Esquema Nacional de Seguridad, pida por escrito qué cubre el proveedor (véase nuestra guía sobre ENS y MDM).
• El coste a tres años, incluida la reposición. En los centros se pierden y se rompen dispositivos. Cuente la tasa de reposición, no solo el precio por licencia.

Empiece con un piloto. Elija un curso o un edificio. Despliegue entre 50 y 100 dispositivos, ajuste perfiles y políticas durante un trimestre completo, con un periodo de exámenes incluido, y solo entonces amplíe. Quien quiere desplegar toda la administración educativa el primer día elige la receta de un proyecto fallido. Las condiciones para centros educativos se ofrecen bajo petición y según elegibilidad, sin precio publicado. Las tarifas generales están en nuestra página de precios.

Preguntas frecuentes

¿Qué es el MDM para colegios?

El MDM para colegios es la gestión de dispositivos móviles aplicada a los parques de dispositivos de los centros educativos: iPad, tablets Android, portátiles y Chromebooks que usan alumnado y profesorado. Inscribe los dispositivos automáticamente, instala las apps de cada etapa, aplica filtros de contenido y bloqueos de examen, y permite al equipo de TI bloquear o borrar a distancia un dispositivo perdido. A diferencia de una empresa, debe tener en cuenta los dispositivos compartidos y las normas de protección de datos de los menores.

¿Existe un MDM gratuito para colegios?

Solo en parte. Apple School Manager es gratuito, pero solo cubre la inscripción, las cuentas y las licencias de apps, no la gestión diaria de los dispositivos. Algunos proveedores ofrecen un nivel gratuito para unos pocos dispositivos. Para un parque completo de iPad o tablets Android, lo normal es contar con una suscripción de pago por dispositivo. Antes de elegir una opción gratuita, compruebe que incluye bloqueo de examen y dispositivos compartidos.

¿Cómo gestiona un MDM los iPad compartidos en un colegio?

Con iPad compartido, cada alumno inicia sesión con una cuenta Apple gestionada creada en Apple School Manager y obtiene en la tablet común una sesión personal, con su pantalla de inicio, los datos de sus apps y sus marcadores. El MDM define cuántos usuarios se guardan en el dispositivo, si se permite una sesión de invitado temporal y cuánto tarda el cierre de sesión automático, normalmente ajustado a la duración de la clase.

¿En qué debe fijarse un colegio al elegir un MDM?

Cuatro puntos deciden la mayoría de las selecciones: inscripción automática con Apple School Manager y zero-touch de Android, compatibilidad con dispositivos compartidos, bloqueo de app para exámenes y un alojamiento que encaje con su marco jurídico. Appaloosa cubre iOS, iPadOS, Android, Windows y macOS desde una sola consola, con alojamiento en Francia. Appaloosa no gestiona ChromeOS.

Seguir leyendo: MDM para operarios de campo: gestionar dispositivos sin escritorio